2. 存储介质物理结构
存储介质取证的第一原则是：先理解数据“住在哪里”，再谈数据“怎么取出来”。同一份文件，落在机械硬盘、固态硬盘、U 盘或存储卡上，其物理载体、寻址方式、接口协议和取证风险完全不同。本节从物理组成出发，说明这些差异如何直接决定取证工具的选择、镜像方式与证据解释边界。
一、机械硬盘（HDD）：盘片、磁头与扇区寻址
机械硬盘的核心是密封腔体内的盘片（Platter）、主轴电机、磁头组件（Head Stack Assembly）与前置放大器。盘片表面镀有磁性介质，数据以磁化方向记录在同心圆磁道（Track）上，磁道再被划分为扇区（Sector）。传统扇区为 512 字节，现代硬盘普遍采用 4096 字节的物理扇区（Advanced Format），但通过 512e 仿真对外仍报告 512 字节逻辑扇区。
寻址过程是“柱面—磁头—扇区”（CHS）的物理概念，但操作系统与取证工具实际使用的是逻辑块地址（LBA）线性寻址。取证时读取的是 LBA 序列，而硬盘固件负责将其翻译为磁道、磁头与扇区位置。这一层翻译由固件区（Service Area）中的缺陷表、翻译表（如 P-list、G-list）完成，因此固件区本身也是重要取证对象。
机械硬盘的取证影响主要有三点：其一，删除文件的数据往往仍留在原扇区，直到被覆盖，因此文件雕刻（File Carving）在 HDD 上成功率较高；其二，磁头与盘片是精密机械结构，跌落、通电异响、盘片划伤会导致物理损坏，此时不应反复通电，应送专业开盘实验室；其三，SMART 属性（如 05 重映射扇区计数、C5 待映射扇区、C6 不可校正扇区）可反映介质健康状态，是判断“是否值得继续镜像”的依据。
二、固态硬盘（SSD）：闪存颗粒、FTL 与 TRIM
SSD 由主控芯片（Controller）、NAND 闪存颗粒、DRAM 缓存（部分型号无）和固件组成。数据存储在 NAND 的页（Page）与块（Block）结构中：页是读写最小单位（常见 4KB～16KB），块是擦除最小单位（常见 256 页～1024 页）。NAND 只能“按页写、按块擦”，且每页有写入次数限制，因此主控必须通过闪存转换层（FTL）维护“逻辑地址 LBA → 物理页 PBA”的映射表。
FTL 带来两个关键取证后果。第一，同一 LBA 在不同时刻可能指向不同物理页，旧数据可能仍留在未擦除的页中，但取证工具通过标准接口只能看到当前映射，无法直接读取全部物理页。第二，TRIM 与垃圾回收（GC）会在后台擦除已删除数据所在块，导致删除数据迅速不可恢复。若系统启用了 TRIM，删除文件后短时间内数据即可能被清除。
此外，SSD 普遍支持磨损均衡（Wear Leveling），写入会分散到不同块，进一步降低雕刻成功率。取证时应优先写阻断，并注意：部分 SSD 在断电或只读模式下可能触发主控异常，需评估是否使用厂商专用指令或芯片级读取。
三、闪存与可移动介质：U 盘、SD 卡与 eMMC
U 盘、SD 卡、TF 卡、eMMC 芯片本质上都是NAND 闪存 + 主控的封装形态。SD 卡内部还有卡控制器，负责与主机通过 SD 总线协议通信。可移动介质的取证难点在于：主控差异极大、固件不公开、坏块管理策略不透明，同一品牌不同批次可能使用不同主控与颗粒。
常见风险包括：容量造假（实际容量小于标称，写入循环覆盖）、只读开关失效（SD 卡物理写保护开关仅提示主机，不保证真正只读）、磨损导致数据保持力下降（长期不通电的 U 盘可能电荷泄漏，数据逐渐丢失）。取证时应先做写阻断验证，再计算哈希，并记录介质型号、序列号、CID/CSD 等寄存器信息。
四、接口与取证链路：SATA、NVMe、USB、SD
接口决定了取证设备如何接入。SATA 硬盘可通过写阻断桥接入取证工作站；NVMe SSD 走 PCIe 通道，需使用支持 NVMe 的写阻断器或 M.2 转接卡；USB 移动硬盘需注意桥接芯片可能做地址翻译，导致 LBA 与物理介质不一致；SD 卡则通过读卡器接入，读卡器本身也可能引入兼容性问题。
取证链路中，写阻断器、转接卡、线缆、读卡器都是潜在故障点。建议在正式镜像前，用已知哈希的测试盘验证链路是否真正只读，并记录链路拓扑。
五、取证操作中的关键判断
面对一块未知介质，建议按以下顺序判断：第一步，识别介质类型与接口，通过标签、型号、SMART 或系统识别信息确认是 HDD、SSD 还是可移动介质；第二步，评估健康状态，HDD 看 SMART，SSD 看剩余寿命与通电次数，可移动介质看是否可稳定识别；第三步，选择写阻断方案，HDD 用 SATA 写阻断桥，NVMe 用专用写阻断器，SD 卡用带写保护的读卡器并验证；第四步，计算哈希并镜像，优先做物理镜像（dd/EWF），若介质不稳定则先做分段镜像并记录坏道位置；第五步，记录链路拓扑，包括写阻断器型号、转接卡、线缆、读卡器，确保可复现。
理解物理结构不是为了拆解硬件，而是为了在取证时做出正确判断：哪些数据可能还在、哪些操作会破坏数据、哪些接口会改变数据呈现方式。HDD 的机械特性决定了它怕摔不怕删，SSD 的 FTL 与 TRIM 决定了它怕删不怕摔，可移动介质的不透明主控决定了它必须“先验证、再操作”。把这三条差异记牢，后续的镜像、恢复与证据解释才有可靠基础。