电子取证不能只打包文件，得把整个硬盘的现场封存起来。 ZIP只管现有文件：它只打包系统认得到的文件。一旦文件被删，或者藏在死角里，ZIP就抓瞎了。 DD是物理全盘抄写：它绕过系统，把硬盘每个扇区原样拷下来。连回收站清空的数据、没用的死角全留着。只要没被覆盖就能恢复。…
推荐理由本文围绕「ZIP」、「VHDX」等主题展开。