FAT32 Image mounten
Otto
- software
0 krischi0 Der Martin
0 Otto0 krischi0 Der Martin
0 Otto
0 Otto
Hallo,
ich habe ein Disk-Image in welches sich eine FAT32 Partition befindet. Dieses würde ich gern unter Linux mounten.
Probiert habe ich es mit:
mount -t vfat -o loop disk.img /mnt
liefert die Meldung wrong fs type, bad option, bad superblock on /dev/loop0
Ok. Ich werde bei den mount Optionen noch den Offset angeben müssen. Aber wie finde ich den raus?
Mit hexdump -C disk.img |grep --color "FAT" finde ich nicht mal den String FAT32.
Mit dem Windows Programm FTK-Imager kann ich das Image problemlos öffnen. Es wird mir die vorhandene FAT32 Partition angezeigt und auch der String FAT32 ist vorhanden.
ein fdisk -l disk.img liefert keine Informationen.
Jemand eine Idee wie ich das mounten unter Linux hin bekomme?
MfG
Otto
Hi krischi,
nein leider nicht. Beide Ansätze liefern mir keine Informationen.
Otto
hmmm....
probier mal da
http://www.forensicswiki.org/wiki/Mounting_Disk_Images#Linux
sonst kann ich leider nicht weiterhelfen
gruß Krischi
Hi,
ich habe ein Disk-Image in welches sich eine FAT32 Partition befindet.
Mit hexdump -C disk.img |grep --color "FAT" finde ich nicht mal den String FAT32.
sieht schlecht aus ...
Mit dem Windows Programm FTK-Imager kann ich das Image problemlos öffnen. Es wird mir die vorhandene FAT32 Partition angezeigt und auch der String FAT32 ist vorhanden.
Frage 1: Womit wurde das Image erzeugt? Wie ich lese, kann FTK Imager ja eine Reihe von putzigen Sonderformaten verarbeiten.
Frage 2: Ist es ein Image nur einer FAT32-Partition, oder einer kompletten Disk mitsamt MBR, Partitionstabelle und einer Partition?
Jemand eine Idee wie ich das mounten unter Linux hin bekomme?
Back to the roots. Erst mal rausfinden, was das für ein Format ist.
So long,
Martin
Hi Der Martin,
Frage 1: Womit wurde das Image erzeugt? Wie ich lese, kann FTK Imager ja eine Reihe von putzigen Sonderformaten verarbeiten.
Habe ich keine Informationen drüber.
Frage 2: Ist es ein Image nur einer FAT32-Partition, oder einer kompletten Disk mitsamt MBR, Partitionstabelle und einer Partition?
Ja es ist ein Image von einer gesamten Disk.
Back to the roots. Erst mal rausfinden, was das für ein Format ist.
Das Linux Programm file liefert mir keine Informationen. Aufgrund der Dateiendung würde ich auf das hier schließen.
MfG
Otto
moinmoin Martin,
mit der Angabe des richtigen offset (und wie man den findet hab ich verlinkt) hätte es doch eigentlich gehen sollen? Das Thema interessiert mich jedenfalls auch. Bislang hatte ich keine Probleme mit dem mounten von Windoof-Laufwerken, aber wenn, dann sind Problemlösungen natürlich immer interessant. Irgendwelche Profitipps von dir dazu?
Gruß Krischi
Hallo,
mit der Angabe des richtigen offset (und wie man den findet hab ich verlinkt) hätte es doch eigentlich gehen sollen?
kommt drauf an.[tm]
Bislang hatte ich keine Probleme mit dem mounten von Windoof-Laufwerken, aber wenn, dann sind Problemlösungen natürlich immer interessant. Irgendwelche Profitipps von dir dazu?
So viel der Ehre ...
Nee, im Ernst: Otto deutet an, dass das Image mit EnCase angefertigt sein könnte. Das ist der Beschreibung nach ein hochentwickeltes Programm, und ich bin mir ziemlich sicher, dass es die Daten in einem irgendwie verschlüsselten und/oder komprimierten Format speichert. Wenn das so ist, hast du keine Chance, das Image regulär zu mounten.
Daher meine Frage, womit es erstellt worden ist, damit man gezielt ansetzen kann.
Aber nun bin ich natürlich auch kein Daten-Forensiker, und die in dieser Branche eingesetzte Software ist mir sicher fremd. Daher kann ich auch keine handfesten Vorschläge machen, sondern nur eine Richtung andeuten.
So long,
Martin
Hi Der Martin,
Die e01 Dateien sind wohl komprimiert. Laut diesen Blog ist es wohl möglich die auch unter Linux zu mounten. Habe das jetzt noch nicht ausprobiert.
Mit Sleuthkit (3.0.1) und den autpsy (2.21) Browser lassen sich die auch verarbeiten. Habe die aus dem Packman repo installiert. Allerdings gibt es beim starten einen Fehler bezüglich MD5, das scheint im Sleuthkit Paket zu fehlen.
Damit ich das eigentliche Ziel nicht aus den Augen verliere mache ich es einfach unter Windows.
Allen Helfern einen herzlichen Dank.
MfG
Otto
Hi Otto,
Zur Info: Habe durch zufalle gesehen das das FTK-Imager das e01 Image in ein dd Image konvertieren kann.
(1)e01 Image laden
(2)rechts klick auf das geladene Image und exportieren
(3)gewünschte Einstellungen im Dialog wählen
(4)Image kann nun mit Linux problemlos eingebunden werden.
MfG
Otto