Tomemos mi imagen S3 por ejemplo. Mi objetivo era acceder a la partición de datos de usuario y extraer los archivos. El S3 se supone que tiene particiones ext4 que yo debería ser capaz de montar y examinar en Linux.
BASH
$ MMLS GUID />
Sector Offset: 0
Las unidades están en sectores de 512 bytes
Slot Inicio Fin Longitud Descripción
00: Meta 0000000000 0000000000 0000000001 Tabla Seguridad
01: ----- 0000000000 0000008191 0000008192
Sin asignar 02: Meta 0000000001 0000000001 0000000001 GPT Header
03: Meta 0000000002 0000000033 0000000032 Partition Table
04: 00 0000008192 0000131071 0000122880 módem
05: 01 0000131072 0000131327 0000000256 SBL1
06: 02 0000131328 0000131839 0000000512 SBL2
07: 03 0000131840 0000132863 0000001024 SBL3
08: 04 0000132864 0000136959 0000004096 aboot
09: 05 0000136960 0000137983 0000001024 rpm
10: 06 0000137984 0000158463 0000020480 arranque
11: 07 0000158464 0000159487 0000001024 tz
12: 08 0000159488 0000160511 0000001024 pad
13: 09 0000160512 0000180991 0000020480 param
14: 10 0000180992 0000208895 0000027904 efs
15: 11 0000208896 0000215039 0000006144 modemst1
16: 12 0000215040 0000221183 0000006144 modemst2
17: 13 0000221184 0003293183 0003072000 sistema
18: 14 0003293184 0028958719 0025665536 userdata
19: 15 0028958720 0028975103 0000016384 persiste
20: 16 0028975104 0030695423 0001720320 caché
21: 17 0030695424 0030715903 0000020480 recuperación
22: 18 0030715904 0030736383 0000020480 fota
23: 19 0030736384 0030748671 0000012288 copia de seguridad
24: 20 0030748672 0030754815 0000006144 fsg
25: 21 0030754816 0030754831 0000000016 ssd
26: 22 0030754832 0030765071 0000010240 crecer
27: ----- 0030765072 0030777343 0000012272 asignado
$ sudo mount-o ro, loop, offset = $ ((3293184 * 512)) $ image / mnt
montaje: tipo fs mal, mala opción, mala superbloque on / dev/loop0,
faltante página de código o programa ayudante, u otro error
En algunos casos útil información se encuentra en syslog - tratar
dmesg | tail o algo así
$
|
Nota |
estoy yo ‘ he creado un vínculo de imagen para la imagen del dispositivo prima original para mantener los comandos simple.
|
Entonces, ¿qué ha pasado aquí? He utilizado el Sleuthkit MMLS herramienta para leer la tabla de particiones. Localicé la partición de interés – userdata – y trató de montarlo sólo lectura. Yo no especifica un tipo de sistema de archivos, sino que dejé de montaje auto-mágicamente determinarla. He utilizado las opciones de montaje de ro (sólo lectura), loop (para crear el dispositivo de bucle de retorno), y siempre que el desplazamiento a la partición. Desde el desplazamiento requerido por el monte es en bytes, he usado shell matemáticas para traducir el desplazamiento del sector prevista en la salida MMLS de bytes. Pero, al final, el monte no parece reconocer la partición.
¿Qué hacemos en tal situación? Podríamos utilizar la mount-v verbose para tratar de determinar lo que está mal.
BASH
$ sudo mount-v-o ro, loop, offset = $ ((3293184 * 512)) Imagen / mnt
montaje: permite bandera loopdev Autoclear
montar: va a utilizar el dispositivo de bucle / dev/loop0
montar: usted no especifica un tipo de sistema de ficheros para / dev/loop0
Voy a tratar de tipo ext4
montes: Tipo de fs mal, mala opción, mala superbloque on / dev/loop0,
faltante página de códigos o programa ayudante, u otro error
En algunos casos información útil se encuentra en syslog - probar
dmesg | tail o eso
$
En este caso, la salida verbosa no es de mucha ayuda que no sea lo que demuestra que intentaron montar utilizar ext4 como el tipo de sistema de archivos. Y, aunque ext4 es lo que esperaba por la partición, también, tal vez es un error. A falta de un editor hexadecimal, ¿cómo podemos comprobar un tipo de partición una imagen de disco?
El archivo es un bien herramienta conocida por ofrecer tipos de archivos mediante la lectura de la magia de archivos (firma hexadecimal del archivo). Pero ¿sabía usted que le dirá tipos de particiones también?
BASH
$ img_cat imagen-s 3293184 | archivo -
/ dev / stdin: Linux rev 1.0 Datos del sistema de archivos ext4,
UUID =-57f8f4bc abf4-655f-bf67-946fc0f9f25b (recuperación revista necesidades )
(extensiones) (archivos grandes)
$
El img_cat herramienta es otro miembro de la caja de herramientas Sleuthkit. Exporta datos de una imagen para la salida estándar en bloques. Aquí proporcionamos desplazamiento a la partición de datos de usuario y la pipa en el archivo el sector de arranque. El guión que sigue el archivo a cuenta archivo para usar stdout como entrada en lugar de un archivo.
¿Qué aprendimos en esta lista? Bueno, aunque hay un montón de información, dos valores son de particular interés. En primer lugar, el sistema de archivos es, de hecho, con formato ext4. En segundo lugar, parece que el diario del sistema de archivos está dañado. No es la prueba irrefutable de nuestro problema de montaje.
lo tanto, necesitamos una manera de arreglar la revista para poder montar la partición, pero no hay que alterar la imagen original. Tenemos algunas opciones: * Haga una copia de la imagen * hacer una copia de sólo la partición Inicialmente, la realización de copias no suena tan mal. Después de todo, sólo estamos hablando de 16 GB para la imagen o 12GB para la partición. Pero lo que si esta imagen de un 250gb decirlo, o más grande? Eso suena menos apetecible. Además, ya sea acción podría consumir una gran cantidad de recursos en forma de espacio de disco, capacidad de procesamiento y el tiempo.
