DiskForge：为教育目的对磁盘图像进行时间篡改

《Digital Threats: Research and Practice》：DiskForge: Timestomping on Disk Images for Educational Benefit

DiskForge是一种教育场景下可扩展的磁盘镜像编辑框架，通过结合取证工具解析功能与结构更新能力，实现文件系统元数据、日志及SQLite数据库的时间戳篡改，验证了其在时间戳精确修改上的优势，同时揭示现有取证工具对时间戳分析的脆弱性。

　　

摘要

尽管数字取证领域在自动生成练习工具方面取得了许多进展，但许多用于培训和教育的磁盘镜像仍然需要手动创建。虽然这些磁盘镜像通常具有一定的实用性，但由于需要清除生成过程中产生的伪迹，或者调整文件内容或时间戳以适应具体证据需求，它们往往需要进行修改。由于常见的取证工具不允许对证据进行简单编辑，我们推出了DiskForge这一可扩展框架，用于在教育场景中对磁盘镜像进行细微调整。DiskForge结合了传统磁盘取证工具的解析功能，并提供了更新和编辑磁盘内部结构的能力。为了展示DiskForge的实用性，我们以“时间戳篡改”（即修改文件系统元数据、日志文件和SQLite数据库中的时间戳）为例对该框架进行了演示。通过这些案例，我们证明了在磁盘镜像上操作时间戳时所实现的更高“便捷性”和“精确性”。然而，我们的评估也揭示了当前取证工具在时间戳解析方面的局限性，最终表明制作完美的伪造文件比仅仅修改磁盘上的数据要困难得多。