Jak mogę zamontować obraz DD partycji?

Kilka dni temu utworzyłem obraz dd partycji (zawierającej HFS + FS) jednego z moich dysków (a nie całego dysku) za pomocą następującego polecenia -

dd conv=sync,noerror bs=8k if=/dev/sdc2 of=/path/to/img

Jak mogę go zamontować? Próbowałem następujących, ale to nie działa -

mount -o loop,ro -t hfsplus /path/to/img /path/to/mntDir

To daje mi

mount: wrong fs type, bad option, bad superblock on /dev/loop1,
       missing codepage or helper program, or other error
       In some cases useful info is found in syslog - try
       dmesg | tail or so

i dmesg | taildaje mi -

[5248455.568479] hfs: invalid secondary volume header
[5248455.568494] hfs: unable to find HFS+ superblock
[5248462.674836] hfs: invalid secondary volume header
[5248462.674843] hfs: unable to find HFS+ superblock
[5248550.672105] hfs: invalid secondary volume header
[5248550.672115] hfs: unable to find HFS+ superblock
[5248993.612026] hfs: unable to find HFS+ superblock
[5248998.103385] hfs: unable to find HFS+ superblock
[5249031.441359] hfs: unable to find HFS+ superblock
[5249036.274864] hfs: unable to find HFS+ superblock

Czy robię coś złego?

Próbowałem szukać, jak to zrobić, ale wszystkie wyniki, które otrzymuję, mówią tylko o zamontowaniu partycji z obrazu pełnego dysku, przy użyciu opcji offset z zamontowaniem - nie ma mowy o przypadku, w którym sam obraz jest partycją.

Dzięki.

PS: Korzystam z 64-bitowego Arch Linuxa, a partycja z oryginalnego dysku /dev/sdc2pasuje poprawnie.

linux mount dd disk-image 0cd
źródło

Czy twój oryginalny dysk twardy jest nadal dostępny? Czy przeczytałeś już ten artykuł? viaforensics.com/computer-forensics/…

JohannesM

Właśnie zrobiłem. To ponownie używa obrazu pełnego dysku i wartości przesunięcia przekazanej do polecenia mount w celu wybrania partycji. W moim przypadku obraz ma tylko 1 partycję.

0cd

Zauważyłem, że używasz noerrorw linii dd. Ile nieczytelnych sektorów miał dysk źródłowy - jeden mógł trafić w coś krytycznego. Zwłaszcza przy rozmiarze bloku 8k (dysk ma prawdopodobnie 512b lub co najwyżej 4k). Czy dysk źródłowy się montuje?

derobert

ciekawy. Nie jestem pewien, czy dysk źródłowy ma jakieś nieczytelne sektory. Montuje się bez problemów i jestem w stanie uzyskać dostęp do plików na nim.

0cd

Odpowiedzi:

Być może najpierw trzeba będzie użyć programu losetup, aby utworzyć urządzenie z pliku, a następnie zamontować to urządzenie. Oto, co robię, aby zamontować plik kopii zapasowej z obrazem partycji w środku:

losetup /dev/loop1 /home/backup-file
mount /dev/loop1 /mnt/backup

Moja partycja pojawi się w folderze / mnt / backup, a oryginalny plik to / home / backup-file. Być może możesz zrobić to wszystko za pomocą „mount -o loop”, ale nie udało mi się to, więc używam losetup osobno.

Po zakończeniu podłączam partycję, a na wszelki wypadek usuwam pętlę za pomocą polecenia „losetup -d / dev / loop1”.

Możesz także użyć programu losetup, aby dowiedzieć się, które urządzenie pętli jest aktualnie wolne w systemie, za pomocą programu losetup -f

Daj mi znać, czy to działa.

Piotr Kempa
źródło

mount -o loopwewnętrznie automatycznie przydziela urządzenie sprzężenia zwrotnego, więc ręczne przypisanie obrazu do urządzenia sprzężenia zwrotnego jest dodatkową, niepotrzebną pracą.

Dario Russo

dzięki za informację. ale program szpiegujący ma rację - mount wewnętrznie przydziela urządzenie sprzężenia zwrotnego.

0cd

Tak, tak samo podejrzewałem, chociaż miałem podobny problem do twojego i rozwiązałem go ręcznie, tj. Przypisując urządzenie pętlowe z losetup. W każdym razie być może pomoże ci to zlokalizować problem.

Piotr Kempa,

bieganie mount -o looppowinno osiągnąć to, co chcesz, ale najwyraźniej tak nie jest.

to prowadzi mnie do przekonania, że sterownik systemu plików, którego próbujesz użyć, nie działa poprawnie.

to może być odcinek i nie wiem, jak działa HFS + .. ale czy to możliwe, że HFS + przechowuje partycje w obrębie partycji? może podobny do LVM?

Inną rzeczą, która przychodzi na myśl, jest szyfrowanie. wygląda na to, że partycje HFS + można szyfrować. czy to dzwoni dla ciebie?

Dario Russo
źródło

nie jestem pewien co do wewnętrznych elementów HFS +, ale partycja zdecydowanie nie jest szyfrowana. W rzeczywistości nadal mam oryginalny dysk, a partycja z niego się ładuje.

0cd