O que é o formato de ficheiro DD?
O arquivo .dd é uma imagem de disco raw - uma cópia bit a bit de cada setor em um disco, partição, cartão flash ou outro meio de armazenamento. É a saída direta do comando Unix dd e de ferramentas de imagem forense dedicadas, como dcfldd e dc3dd. Como ele captura tudo na origem - incluindo setores de inicialização, tabelas de partição, espaço não alocado e remanescentes de arquivos excluídos - o .dd é um formato padrão em recuperação de dados e computação forense digital.
Uma imagem .dd não possui contêiner ou cabeçalho próprio; o arquivo começa no deslocamento zero com os bytes exatos do meio de origem. Uma imagem de disco inteiro começa com uma tabela de partição MBR ou GPT; uma imagem de partição começa com um setor de inicialização do sistema de arquivos. Identificar o conteúdo requer a leitura de estruturas incorporadas: a assinatura FAT/NTFS 55 AA no deslocamento 510, o magic GPT EFI PART no deslocamento 512, ou um magic de superbloco ext4 0x53EF no deslocamento 0x438 dentro de uma partição.
O formato .dd é intercambiável com .img e .raw - a maioria das ferramentas forenses e de imagem os trata de forma idêntica. Quando a compressão ou metadados de cadeia de custódia são necessários, as imagens são normalmente compactadas com gzip ou convertidas para o contêiner forense E01, que incorpora hashes MD5/SHA-256 e notas de caso junto com os dados brutos.
Nota: a extensão .dd também foi usada historicamente pelo Doodle!, um programa de gráficos raster para o Commodore 64. Esse formato de imagem legado não tem nenhuma relação com imagens de disco.
Segurança e proteção
RISCO: MEDIUMUm .dd consiste em dados brutos passivos e não será executado por conta própria, mas carrega precauções reais. Primeiro, ele pode conter qualquer coisa que o disco de origem continha - incluindo malware e, em imagens forenses, dados pessoais sensíveis e remanescentes de arquivos excluídos - portanto, monte-o como SOMENTE LEITURA (e idealmente em um ambiente isolado) e manuseie-o com cuidado. Segundo, GRAVAR um .dd de volta em um disco com «dd» ou balenaEtcher sobrescreve todo o dispositivo de destino, portanto, um nome de dispositivo errado apaga o disco errado. Terceiro, ao criar imagens para evidência, faça o hash da imagem (MD5/SHA-256) e use um bloqueador de gravação para que a cópia seja comprovadamente inalterada. Baixe ferramentas forenses (FTK Imager, Autopsy, Sleuth Kit) apenas de seus fornecedores oficiais.
Detalhes do formato
em resumo- Imagem Doodle (Commodore 64) - Um bitmap de alta resolução raro do C64 dos anos 80 (normalmente 9026 bytes, muitas vezes nomeado «dd» como um prefixo de nome de arquivo); relevante apenas para usuários de retrocomputação/emuladores, não para imagens de disco modernas.
- Arquivo compactado DiskDoubler (classic Mac OS) - O DiskDoubler da Symantec usava .dd para arquivos compactados no classic Mac OS; obsoleto, aberto apenas pelo The Unarchiver ou ferramentas antigas de Mac.
Programas que abrem arquivos DD
Windows4 apps
7-Zip
Código aberto Botão direito > 7-Zip > Abrir arquivo para navegar e extrair arquivos de muitas imagens .dd sem montar. 
FTK Imager
Gratuito File > Add Evidence Item > Image File, selecione o .dd, então navegue e exporte arquivos dos sistemas de arquivos incorporados. O visualizador forense gratuito padrão.
OSFMount / Arsenal Image Mounter
Gratuito Monte o .dd como um disco virtual somente leitura e navegue nele no Explorer como uma unidade normal.
Autopsy (The Sleuth Kit)
Código aberto Crie um caso e adicione o .dd como uma fonte de dados para análise forense completa (recuperação de arquivos, linhas do tempo, arquivos excluídos). 
macOS2 apps
hdiutil / Disk Utility (built-in)
Integrado Anexe a imagem raw: «hdiutil attach -imagekey diskimage-class=CRawDiskImage disk.dd» (somente leitura) para montar e navegar nela.
The Sleuth Kit / Autopsy
Código aberto Use as ferramentas de linha de comando TSK (fls, icat) ou Autopsy para examinar a imagem .dd e extrair arquivos. 
Linux3 apps
mount (loop device, built-in)
Integrado Para uma imagem de partição: «sudo mount -o loop,ro disk.dd /mnt». Para uma imagem de disco inteiro, anexe com «losetup -fP disk.dd» e monte a partição (ex: /dev/loop0p1).
The Sleuth Kit / Autopsy / Guymager
Código aberto Examine com TSK (fls/icat) ou Autopsy; crie/verifique imagens raw com Guymager ou «dd»/«dcfldd».
dd / dcfldd (CLI)
Código aberto Criar: «dd if=/dev/sdX of=disk.dd bs=4M». Restaurar: «dd if=disk.dd of=/dev/sdX bs=4M» (o destino é sobrescrito - escolha o dispositivo com cuidado). Detalhes técnicos
especificação profunda| Contêiner | Nenhum - setores binários brutos sem invólucro, cabeçalho ou metadados de qualquer tipo |
| Codificação | Binário (cópia byte a byte do meio de origem) |
| Tamanho do arquivo | Espelha a origem exatamente - de alguns KB para partições pequenas a vários TB para discos inteiros |
| Bytes mágicos | Nenhum intrínseco; imagens de disco inteiro expõem uma assinatura MBR 55 AA no deslocamento 510 ou GPT «EFI PART» no deslocamento 512 |
| Compressão | Nenhuma incorporada; comumente arquivada após a captura com gzip, bzip2 ou zstd (produzindo .dd.gz, .dd.bz2, etc.) |
| Criptografia | Nenhuma no nível da imagem; os volumes de origem podem conter dados BitLocker, LUKS ou FileVault |
| Integridade | Nenhum checksum integrado; a prática forense armazena um hash MD5 ou SHA-256 separado do arquivo de imagem ao lado dele |
| Tipo MIME | application/octet-stream |
| Capacidade de montagem | Montável como um dispositivo de loop no Linux (losetup / mount); via OSFMount ou Arsenal Image Mounter no Windows; via hdiutil no macOS |
| Escopo capturado | Cada byte da origem - estruturas do sistema de arquivos, setores de inicialização, slack space, espaço não alocado e artefatos de arquivos excluídos |
| Comando de criação | dd if=/dev/sdX of=image.dd bs=4M status=progress |
| Uso primário | Forense digital, recuperação de dados, clonagem de disco e provisionamento de máquinas virtuais |
| Intercambialidade | Funcionalmente idêntico a .img e .raw; a maioria das ferramentas forenses e de imagem trata os três como o mesmo formato |
| Variantes forenses | dcfldd e dc3dd adicionam hashing MD5/SHA-256 em tempo real durante a aquisição; EWF/E01 envolve os mesmos dados brutos com hashes incorporados e metadados de caso |
| Lançado | The 'dd' utility dates to early Unix (1970s); raw imaging is a long-standing convention |
| Versão mais recente | No format version - a .dd is just raw bytes; tooling evolves (GNU coreutils dd, dcfldd, dc3dd, ewfacquire) |
| Padrão aberto | Sim · livre de royalties |
| Especificação | en.wikipedia.org |
Conversões de DD
Perguntas e Respostas da Comunidade
perguntado por usuáriosAinda não há perguntas - seja o primeiro a perguntar sobre arquivos DD.
