Jak mogę zamontować obraz DD partycji?

Kilka dni temu utworzyłem obraz dd partycji (zawierającej HFS + FS) jednego z moich dysków (a nie całego dysku) za pomocą następującego polecenia -

dd conv=sync,noerror bs=8k if=/dev/sdc2 of=/path/to/img

Jak mogę go zamontować? Próbowałem następujących, ale to nie działa -

mount -o loop,ro -t hfsplus /path/to/img /path/to/mntDir

To daje mi

mount: wrong fs type, bad option, bad superblock on /dev/loop1,
       missing codepage or helper program, or other error
       In some cases useful info is found in syslog - try
       dmesg | tail or so

i dmesg | taildaje mi -

[5248455.568479] hfs: invalid secondary volume header
[5248455.568494] hfs: unable to find HFS+ superblock
[5248462.674836] hfs: invalid secondary volume header
[5248462.674843] hfs: unable to find HFS+ superblock
[5248550.672105] hfs: invalid secondary volume header
[5248550.672115] hfs: unable to find HFS+ superblock
[5248993.612026] hfs: unable to find HFS+ superblock
[5248998.103385] hfs: unable to find HFS+ superblock
[5249031.441359] hfs: unable to find HFS+ superblock
[5249036.274864] hfs: unable to find HFS+ superblock

Czy robię coś złego?

Próbowałem szukać, jak to zrobić, ale wszystkie wyniki, które otrzymuję, mówią tylko o zamontowaniu partycji z obrazu pełnego dysku, przy użyciu opcji offset z zamontowaniem - nie ma mowy o przypadku, w którym sam obraz jest partycją.

Dzięki.

PS: Korzystam z 64-bitowego Arch Linuxa, a partycja z oryginalnego dysku /dev/sdc2pasuje poprawnie.

linux mount dd disk-image

— 0cd
źródło

Czy twój oryginalny dysk twardy jest nadal dostępny? Czy przeczytałeś już ten artykuł? viaforensics.com/computer-forensics/…

— JohannesM

Właśnie zrobiłem. To ponownie używa obrazu pełnego dysku i wartości przesunięcia przekazanej do polecenia mount w celu wybrania partycji. W moim przypadku obraz ma tylko 1 partycję.

— 0cd

Zauważyłem, że używasz noerrorw linii dd. Ile nieczytelnych sektorów miał dysk źródłowy - jeden mógł trafić w coś krytycznego. Zwłaszcza przy rozmiarze bloku 8k (dysk ma prawdopodobnie 512b lub co najwyżej 4k). Czy dysk źródłowy się montuje?

— derobert

ciekawy. Nie jestem pewien, czy dysk źródłowy ma jakieś nieczytelne sektory. Montuje się bez problemów i jestem w stanie uzyskać dostęp do plików na nim.

— 0cd

Odpowiedzi:

Być może najpierw trzeba będzie użyć programu losetup, aby utworzyć urządzenie z pliku, a następnie zamontować to urządzenie. Oto, co robię, aby zamontować plik kopii zapasowej z obrazem partycji w środku:

losetup /dev/loop1 /home/backup-file
mount /dev/loop1 /mnt/backup

Moja partycja pojawi się w folderze / mnt / backup, a oryginalny plik to / home / backup-file. Być może możesz zrobić to wszystko za pomocą „mount -o loop”, ale nie udało mi się to, więc używam losetup osobno.

Po zakończeniu podłączam partycję, a na wszelki wypadek usuwam pętlę za pomocą polecenia „losetup -d / dev / loop1”.

Możesz także użyć programu losetup, aby dowiedzieć się, które urządzenie pętli jest aktualnie wolne w systemie, za pomocą programu losetup -f

Daj mi znać, czy to działa.

— Piotr Kempa
źródło

mount -o loopwewnętrznie automatycznie przydziela urządzenie sprzężenia zwrotnego, więc ręczne przypisanie obrazu do urządzenia sprzężenia zwrotnego jest dodatkową, niepotrzebną pracą.

— Dario Russo

dzięki za informację. ale program szpiegujący ma rację - mount wewnętrznie przydziela urządzenie sprzężenia zwrotnego.

— 0cd

Tak, tak samo podejrzewałem, chociaż miałem podobny problem do twojego i rozwiązałem go ręcznie, tj. Przypisując urządzenie pętlowe z losetup. W każdym razie być może pomoże ci to zlokalizować problem.

— Piotr Kempa,

bieganie mount -o looppowinno osiągnąć to, co chcesz, ale najwyraźniej tak nie jest.

to prowadzi mnie do przekonania, że sterownik systemu plików, którego próbujesz użyć, nie działa poprawnie.

to może być odcinek i nie wiem, jak działa HFS + .. ale czy to możliwe, że HFS + przechowuje partycje w obrębie partycji? może podobny do LVM?

Inną rzeczą, która przychodzi na myśl, jest szyfrowanie. wygląda na to, że partycje HFS + można szyfrować. czy to dzwoni dla ciebie?

— Dario Russo
źródło

nie jestem pewien co do wewnętrznych elementów HFS +, ale partycja zdecydowanie nie jest szyfrowana. W rzeczywistości nadal mam oryginalny dysk, a partycja z niego się ładuje.

— 0cd