（三）计算机取证-制作启动盘WINFE的环境准备

一、环境准备：

1. 安装虚拟光驱

1. 将AIK放在虚拟光驱里面：添加文件

成功加载镜像

1. 运行AIK，进行安装

1. 安装AccessData_FTK_Imager（要用的工具）进行解压到当前目录

成功安装

二、制作WINFE

1. 以管理员身份运行AIK

制作：copype.cmd x86 c:winfe

1. 制作成功

注意：资源管理器正在读取子目录文件，不要进入子目录，发生加载或者逆加载的失败。

三、用WINPF进行修改

1. 将winpe.wim拷贝到ISO的sources里，并改名为boot.wim

回到winfe目录

注意：不需要winpe，因为它启动时会加载硬盘，修改数据；修改winpe：启动时不加载硬盘，不修改数据。

1. 加载镜像到mount目录下

imagex /mountrw c:winfeisosourcesboot.wim 1 c:winfemount

加载成功：显示隐藏文件

回到winfe目录

1. 修改配置参数：注册表，将文件SYSTEM加载到注册表编辑器里进行修改

①运行注册表编辑器：regedit

②修改winpe的注册表：

命名为：NoAutoMount（不要自动加载）

③开始修改：WinFE

双击NoAutoMount，修改参数：1（有效）

双击SanPolicy，修改参数：3

④卸载WinFE，关闭注册表编辑器

1. 放到要使用的工具

• 贝FTK Imager，放入镜像文件中

回到winfe目录

1. 重新打包镜像，检查mount目录下是空的

imagex.exe /unmount /commit c:winfemount

验证：为空

1. 删除booefix.bin文件，按“shift+delete”直接删除

回到winfe目录

1. 压制成iso的镜像

oscdimg -n -m -o -bc:winfeetfsboot.com c:winfeiso c:winfewinfe.iso

exit（退出）

镜像成功安装

注意：不能使用该镜像就重新制作，删除整个winfe文件

四、验证winfe.iso

1. 新建虚拟机：Microsoft Windows-windows 7

1. 挂载镜像winfe.iso

1. 虚拟机-电源-启动时进入BIOS(B)模式，修改虚拟机启动顺序

• Boot下，按“Shift+”号，将CD-ROM-Drive放到第一位
• 在Exit下，选择Exit Saving Changes
• 按“f10”保存

1. 加载取证工具

dir

cd..                  //dir查看当前文件夹的文件，cd.退到根目录，cd..退到上一级目录

cd..                  //cd .当前目录，cd /当前目录

cd

cd program files

cd “FTK Image”         //cd ftk，按Tab键

dir *.exe

“FTK Image.exe”        // “ftk，按Tab键