电子取证不能只打包文件，得把整个硬盘的现场封存起来。
ZIP只管现有文件：它只打包系统认得到的文件。一旦文件被删，或者藏在死角里，ZIP就抓瞎了。
DD是物理全盘抄写：它绕过系统，把硬盘每个扇区原样拷下来。连回收站清空的数据、没用的死角全留着。只要没被覆盖就能恢复。
VHDX适合查虚拟机：它能把虚拟磁盘直接挂载成只读硬盘。方便顺着虚拟环境往下挖线索。
E01最适合打官司：它不仅全盘拷贝，还自带校验和案件信息。每32KB数据都有独立校验，能证明证据没被动过手脚。
文章最后给了一套实战解法：拿到一个原始镜像后，先搜特征码找隐藏的虚拟盘。接着在死角里翻加密压缩包，从内存里抠密码。一层层剥开伪装，最终把核心证据还原出来。
一句话：取证不是整理资料，而是封存现场。