ewfacquire                           LOCAL                          ewfacquire

<?><?><?> (NAME)
     ewfacquire - <?><?><?><?><?><?> <?> <?><?><?><?><?><?><?><?><?><?>
     <?><?><?><?><?><?><?> <?><?> <?><?><?><?> EWF

<?><?><?><?><?> <?><?><?><?><?> (SYNOPSIS)
     ewfacquire [-A codepage] [-b number_of_sectors] [-B number_of_bytes] [-c
     compression_values] [-C case_number] [-d digest_type] [-D description]
     [-e examiner_name] [-E evidence_number] [-f format] [-g
     number_of_sectors] [-l log_filename] [-m media_type] [-M media_flags] [-N
     notes] [-o offset] [-p process_buffer_size] [-P bytes_per_sector] [-r
     read_error_retries] [-S segment_file_size] [-t target] [-T toc_file] [-2
     secondary_target] [-hqRsuvVwx] source

<?><?><?><?><?><?><?> (DESCRIPTION)
     ewfacquire <?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?> <?>
     <?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?>
     <?><?> source <?> <?><?><?><?><?><?><?><?><?><?> <?><?> <?><?>
     <?><?><?><?> EWF (<?><?><?><?> <?><?><?><?><?><?><?><?><?><?>
     <?><?><?><?> <?><?><?><?> <?><?> Expert Witness Compression Format)
     <?><?><?>.  ewfacquire <?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?>
     <?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?> EnCase <?> FTK imager<?>
     <?><?> <?><?><?><?> <?><?><?><?><?><?><?> (<?><?><?><?><?><?><?>)<?>
     <?><?> <?><?><?> <?><?><?><?><?><?><?>. <?><?><?>
     <?><?><?><?><?><?><?><?><?><?><?><?><?><?> Linux<?> FreeBSD<?> NetBSD<?>
     OpenBSD <?> MacOS-X/Darwin<?> <?><?><?><?><?> ewfacquire <?><?>
     <?><?><?><?><?><?> <?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?><?>
     <?><?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?><?><?>. <?><?>
     <?><?><?><?> <?><?><?><?><?><?><?><?><?><?> ewfacquire
     <?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?> (dd) <?><?>
     <?><?> <?><?><?><?> EWF <?><?><?><?><?> <?><?><?>.

     ewfacquire <?><?><?><?> <?><?> <?><?><?><?> libewf <?><?><?>.  libewf
     <?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?> <?><?>
     <?><?><?><?> <?><?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?>
     (EWF) <?><?><?>.

     source <?><?><?><?>(<?><?><?>) <?><?><?><?> <?><?> <?><?><?><?><?><?>

     <?><?><?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?> <?><?><?><?><?>:

     -A codepage
             <?><?><?><?> <?><?> (<?><?><?><?><?>) <?><?><?>
             <?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?>: ascii
             (<?><?><?><?><?><?><?>)<?> windows-874<?> windows-932<?>
             windows-936<?> windows-949<?> windows-950<?> windows-1250<?>
             windows-1251<?> windows-1252<?> windows-1253<?> windows-1254<?>
             windows-1255<?> windows-1256<?> windows-1257 <?><?> windows-1258

     -b number_of_sectors
             <?><?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?> <?><?> <?><?>
             <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?><?> (<?><?>
             <?><?> <?><?><?>)<?> <?><?><?><?><?><?> <?><?><?><?>: 16<?> 32<?>
             64 (<?><?><?><?><?><?><?>)<?> 128<?> 256<?> 512<?> 1024<?>
             2048<?> 4096<?> 8192<?> 16384 <?><?> 32768

     -B number_of_bytes
             <?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?>
             <?><?><?><?><?><?> <?> <?><?><?><?><?><?><?><?><?><?>

     -c compression_values
             <?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?><?>
             <?><?> <?><?><?><?>: level <?><?> method:level

             <?><?><?><?><?><?><?><?><?> <?><?><?>
             <?><?><?><?><?><?><?><?><?><?>: deflate (<?><?><?><?><?><?><?>)

             <?><?><?><?><?><?><?><?><?> <?><?><?>
             <?><?><?><?><?><?><?><?><?><?>: none (<?><?><?><?><?><?><?>)<?>
             empty-block<?> fast <?><?> best

     -C case_number
             <?><?><?><?><?> <?><?><?><?><?><?> (<?><?><?><?><?><?><?>
             case_number <?><?><?>)

     -d digest_type
             <?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?><?>
             (<?><?><?><?><?><?>) <?><?><?><?><?> <?><?><?><?><?> <?><?>
             md5<?> <?><?><?><?><?><?><?><?>: sha1<?> sha256

     -D description
             <?><?><?><?><?><?><?> (<?><?><?><?><?><?><?> description
             <?><?><?>)

     -e examiner_name
             <?><?><?> <?><?><?><?><?><?><?><?><?><?><?> <?>
             <?><?><?><?><?><?><?> (<?><?><?><?><?><?><?> examiner_name
             <?><?><?>)

     -E evidence_number
             <?><?><?><?><?> <?><?><?><?> (<?><?><?><?><?><?><?>
             evidence_number <?><?><?>)

     -f format
             <?><?><?><?> <?><?><?><?> EWF <?><?><?><?> <?><?><?><?><?><?>
             <?><?><?><?><?><?><?><?>: ewf<?> smart<?> ftk<?> encase1<?>
             encase2<?> encase3<?> encase4<?> encase5<?> encase6
             (<?><?><?><?><?><?><?>)<?> encase7<?> linen5<?> linen6<?>
             linen7<?> ewfx.

     -g number_of_sectors
             <?><?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?> <?><?>
             <?><?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?><?> (error
             granularity) <?><?><?><?><?><?><?> <?><?><?><?><?><?><?>

     -h      <?><?><?><?><?> <?><?><?> <?><?><?><?><?><?>

     -l log_filename
             <?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?> <?>
             <?><?><?><?><?> <?><?><?><?><?> (<?><?>) <?><?> <?><?><?><?>
             <?><?><?> <?><?> <?><?><?> <?><?><?><?><?><?><?><?>

     -m media_type
             <?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?><?><?>: fixed
             (<?><?><?><?><?><?><?>)<?> removable<?> optical<?> memory

     -M media_flags
             <?><?><?><?><?><?><?><?> <?><?><?><?><?><?>
             <?><?><?><?><?><?><?><?>: logical<?> physical
             (<?><?><?><?><?><?><?>)

     -N notes
             <?><?><?><?><?><?><?><?><?><?> (<?><?><?><?><?><?><?> notes
             <?><?><?>)

     -o offset
             <?><?><?><?> (<?><?><?><?>) <?><?><?><?> <?><?><?><?><?><?>
             <?><?><?><?><?><?><?> (<?><?><?><?><?><?><?> 0 <?><?><?>)

     -p process_buffer_size
             <?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?>
             (<?><?><?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?><?><?>
             <?><?> <?><?><?> <?><?> chunk <?><?><?>)

     -P bytes_per_sector
             <?><?><?><?><?> <?><?><?><?><?><?><?> <?><?> <?><?>
             <?><?><?><?><?> (<?><?><?><?><?><?><?> 512 <?><?><?>) (<?><?>
             <?><?><?> <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>
             <?> <?><?><?> <?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?>
             <?><?> <?><?> <?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?>)

     -q      <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?>
             <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?><?>
             <?><?><?><?><?><?>

     -r read_error_retries
             <?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?> <?><?>
             <?><?><?><?> <?><?><?><?> <?><?><?><?> <?><?><?><?><?><?>
             (<?><?><?><?><?><?><?> 2 <?><?><?>)

     -R      <?><?> <?><?><?><?><?><?> <?><?><?><?><?><?>
             <?><?><?><?><?><?><?> <?><?> <?><?> <?><?><?><?> <?><?><?>

     -s      <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?><?><?><?>
             <?><?><?><?><?><?><?><?> <?><?><?><?><?> (<?><?> AB <?><?> BA)<?>
             (<?><?> <?><?><?> <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?>
             <?><?><?><?><?> <?><?><?><?> <?><?><?><?> big-endian <?> little-
             endian <?> <?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?>)

     -S segment_file_size
             <?><?><?><?><?><?> <?><?><?><?> <?><?><?><?> <?><?> <?><?><?>
             <?><?><?><?> (<?><?><?><?><?><?><?> 1.4 GiB <?><?><?>)<?>
             (<?><?><?><?><?> 1.0 MiB<?> <?><?><?><?><?><?> 7.9 EiB
             <?><?><?><?> <?><?><?><?><?><?><?><?> encase6 <?> encase7 <?> 1.9
             GiB <?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?>)

     -t target
             <?><?><?><?> <?><?><?><?> (<?><?><?><?> <?><?><?><?><?>)
             <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?>
             (<?><?><?><?><?><?><?> image <?><?><?>)

     -T toc_file
             <?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?>
             <?><?><?><?><?> (TOC) <?><?> <?><?><?><?> <?><?><?><?> <?><?><?>.
             <?><?><?><?> TOC <?><?><?><?> <?><?> <?><?><?><?> CUE
             <?><?><?><?>.

     -u      <?><?><?><?> <?><?><?><?><?><?><?><?><?> <?> <?><?><?><?><?><?>
             (<?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?> <?><?>
             <?><?><?><?><?>)

     -v      <?><?><?><?><?> <?><?><?><?> <?> <?><?> <?><?><?><?><?><?> <?><?>
             <?><?><?><?> <?><?><?><?><?><?><?><?><?> (stderr)

     -V      <?><?><?><?><?> <?><?><?><?>

     -w      <?><?><?> <?><?><?><?> <?><?><?><?><?><?><?> <?><?>
             <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?>
             (<?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?>
             EnCase)

     -x      <?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?><?>
             <?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?><?><?>
             <?><?><?><?><?><?> <?> <?><?><?><?><?> <?><?><?><?><?><?><?>

     -2 secondary_target
             <?><?><?><?> <?><?><?><?> <?><?><?> (<?><?><?><?>
             <?><?><?><?><?>) <?><?><?><?> <?><?><?><?><?>

     ewfacquire <?><?><?><?><?><?><?> <?><?> <?><?> <?><?> <?><?><?><?> <?><?>
     <?><?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?> <?><?> <?><?>
     <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?>
     <?><?><?><?><?> <?><?><?><?><?>. <?><?> <?><?><?><?><?> <?><?><?><?>
     <?><?><?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?><?>
     <?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?> <?><?><?><?><?>
     <?><?><?><?><?><?>. <?><?><?> ewfacquire <?><?><?><?><?><?> <?><?><?><?>
     <?><?> <?><?><?><?><?><?> <?><?><?><?><?> <?> <?><?> <?><?><?><?>
     <?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?><?><?><?>
     <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?>
     <?><?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?><?> <?><?> <?><?><?>
     (<?><?><?><?><?><?><?>) <?><?><?><?><?><?>. <?><?><?> ewfacquire
     <?><?><?><?><?> EnCase <?><?> <?><?><?><?><?><?><?><?><?> <?><?><?><?>
     <?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?>
     <?><?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?><?> <?><?> <?><?><?>
     <?><?><?><?><?><?>.

     <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?>
     (Empty block compression) <?><?><?><?><?><?><?><?><?> <?><?>
     <?><?><?><?><?><?><?> <?><?> <?><?> <?><?><?><?><?><?><?><?> <?><?><?><?>
     <?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?>
     <?><?><?><?><?><?><?> <?><?><?><?> <?> <?><?><?><?><?> <?><?> <?><?>
     <?><?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?><?><?><?><?><?><?><?>
     <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?>.

     <?><?><?><?><?><?><?><?> encase6 <?> encase7 <?><?><?><?><?>
     <?><?><?><?><?> <?><?><?><?><?><?><?><?> <?><?><?><?>
     <?><?><?><?><?><?><?> <?><?> 2 GiB (<?><?><?><?><?><?><?><?><?><?>
     <?><?><?><?>) <?><?> <?><?><?><?><?> <?><?><?><?><?><?><?>.

<?><?><?><?> (ENVIRONMENT)
     <?><?><?>

<?><?><?><?><?><?><?> (FILES)
     <?><?><?>

<?><?><?><?><?><?><?> (EXAMPLES)
     ewfacquire <?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?><?><?><?>
     <?><?><?><?>(<?><?><?>) <?><?><?><?><?> <?><?><?> RAW
     (<?><?><?><?><?><?><?> <?><?> split) <?><?> <?><?><?><?><?><?><?><?>
     <?><?><?><?><?> <?><?><?> RAW <?><?><?><?> <?><?><?><?>
     (<?><?><?><?><?><?><?>) <?><?><?><?><?> <?><?><?><?> <?><?><?>.
     ewfacquire <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?><?>
     <?><?><?><?><?><?> <?><?> <?><?> <?><?><?> <?><?><?><?><?><?>
     <?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?> <?><?><?><?><?>
     <?><?><?><?> <?><?><?> <?><?> <?><?> <?><?><?><?><?><?>
     <?><?><?><?><?><?> <?><?><?><?>.  <?><?> <?><?><?><?> <?><?>
     <?><?><?><?><?> (<?><?><?><?><?><?><?>)<?> ewfacquire
     <?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?> <?><?><?> <?><?> <?><?>
     <?><?><?><?><?> <?><?><?><?><?><?><?>.

   <?><?><?><?> <?><?><?><?> <?><?><?><?><?> <?><?> <?><?>
   <?><?><?><?><?><?><?><?><?><?>:
     # ewfacquire /dev/fd0
     ewfacquire 20120805

     Device information:
     Bus type:
     Vendor:                                 Y-E DATA
     Model:                                  USB-FDU
     Serial:

     Storage media information:
     Type:                                   Device
     Media size:                             1.4 MB (1474560 bytes)
     Bytes per sector:                       512

     Information about acquiry required, please provide the necessary input
     Image path and filename without extension: floppy
     Case number: 1
     Description: Floppy
     Evidence number: 1.1
     Examiner name: John D.
     Notes: Just a floppy in my system
     Media type (fixed, removable, optical, memory) [fixed]: removable
     Media characteristics (logical, physical) [logical]:
     Use EWF file format (smart, ftk, encase1, encase2, encase3, encase4, encase5, encase6, encase7, linen5, linen6, linen7, ewfx) [encase6]: encase5
     Compression method (deflate) [deflate]:
     Compression level (none, empty-block, fast, best) [none]:
     Start to acquire at offset (0 <= value <= 1474560) [0]:
     The number of bytes to acquire (0 <= value <= 1474560) [1474560]:
     Evidence segment file size in bytes (1.0 MiB <= value <= 1.9 GiB) [1.4 GiB]:
     The number of bytes per sector (1 <= value <= 4294967295) [512]:
     The number of sectors to read at once (16, 32, 64, 128, 256, 512, 1024, 2048, 4096, 8192, 16384, 32768) [64]:
     The number of sectors to be used as error granularity (1 <= value <= 64) [64]:
     The number of retries when a read error occurs (0 <= value <= 255) [2]:
     Zero sectors on read error (mimic EnCase like behavior) (yes, no) [no]:

     The following information was provided:
     Image path and filename:                floppy.E01
     Case number:                            1
     Description:                            Floppy
     Evidence number:                        1.1
     Examiner name:                          John D.
     Notes:                                  Just a floppy in my system
     Media type:                             removable
     Is physical:                            no
     EWF file format:                        Encase 5 (.E01)
     Compression method:                     deflate
     Compression level:                      none
     Acquiry start offset:                   0
     Number of bytes to acquire:             1.4 MiB (1474560 bytes)
     Evidence segment file size:             1.4 GiB (1572864000 bytes)
     Bytes per sector:                       512
     Block size:                             64 sectors
     Error granularity:                      64 sectors
     Retries on read error:                  2
     Zero sectors on read error:             no

     Continue acquiry with these values (yes, no) [yes]:

     Acquiry started at: Sun Aug  5 11:32:41 2012

     This could take a while.

     Status: at 2%.
             acquired 32 kB (32768 bytes) of total 1.4 MiB (1474560 bytes).

           ...

     Status: at 100%.
             acquired 1.4 MiB (1474560 bytes) of total 1.4 MiB (1474560 bytes).
             completion in 1 second(s) with 1 MiB/s (1474560 bytes/second).

     Acquiry completed at: Sun Aug  5 11:32:42 2012

     Written: 1.4 MiB (1474560 bytes) in 1 second(s) with 1 MiB/s (1474560 bytes/second).

     MD5 hash calculated over data:          ae1ce8f5ac079d3ee93f97fe3792bda3


   <?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?>
   <?><?><?><?><?><?><?> (split RAW) <?><?> <?><?> <?><?><?><?><?> EWF:
     # ewfacquire usb256.raw.0??
     ewfacquire 20120805

     Storage media information:
     Type:                                   RAW image
     Media size:                             262 MB (262144000 bytes)
     Bytes per sector:                       512

           ...


   <?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?> <?><?><?><?>
   <?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?> <?><?><?><?>
   <?><?><?><?><?> <?><?> <?><?> <?><?><?><?><?> EWF:
     # ewfacquire -T cdrom.cue cdrom.iso
     ewfacquire 20120805

     Storage media information:
     Type:                                   Optical disc RAW image
     Media size:                             42 MB (42885120 bytes)
     Bytes per sector:                       2048
     Sessions:
             total number: 2
             at sector(s): 0 - 20619 number: 20620
             at sector(s): 20620 - 20939 number: 320

           ...


<?><?><?><?><?><?><?><?> (DIAGNOSTICS)
     <?><?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?> <?><?>
     <?><?><?><?><?> -v <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>
     <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?> <?><?><?><?><?><?><?>
     <?><?><?><?><?><?><?><?><?><?><?> <?><?> <?><?><?><?>
     <?><?><?><?><?><?><?><?><?> (stderr) <?><?><?> <?><?><?><?><?><?><?>.
     <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?> <?>
     <?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?> <?><?><?><?><?>
     <?><?><?> <?><?><?><?><?><?><?> <?><?> <?><?> <?><?><?><?>
     <?><?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?> <?><?><?>
     <?><?><?><?><?>.

<?><?><?><?><?><?><?> (BUGS)
     <?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?>
     <?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?>
     <?><?><?><?><?> <?><?><?><?>: https://github.com/libyal/libewf-
     legacy/issues

<?><?><?><?><?><?><?> (AUTHOR)
     <?><?><?> <?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?> Kees Mastwijk
     <?><?><?><?><?> <?><?><?><?><?><?><?>.

     <?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?> <?><?><?><?> Joachim
     Metz <?><?><?><?><?> <?><?><?> <?><?><?>.

<?><?> <?><?><?> (COPYRIGHT)
     Copyright 2006-2014, Joachim Metz <joachim.metz@gmail.com>.

     <?><?><?> <?><?> <?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?>
     <?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?><?><?><?> <?><?> <?><?>
     <?><?><?><?> <?><?><?><?><?><?> <?><?><?><?>. <?><?><?><?><?><?><?><?>
     <?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?> <?><?><?> <?><?><?><?>
     <?><?><?><?><?><?> <?><?><?><?> <?><?> <?><?><?><?><?> <?><?> <?><?>
     <?><?><?> <?><?><?>.

<?><?><?><?><?><?> <?><?><?><?><?><?> (SEE ALSO)
     ewfacquirestream(1), ewfexport(1), ewfinfo(1), ewfmount(1),
     ewfrecover(1), ewfverify(1)

libewf                         January 14, 2023                         libewf