¿Cómo puedo montar la imagen dd de una partición?

Creé una imagen dd de una partición (que contiene un HFS + FS) de uno de mis discos (y no el disco completo) hace unos días usando el siguiente comando:

dd conv=sync,noerror bs=8k if=/dev/sdc2 of=/path/to/img

¿Cómo puedo montarlo? Intenté lo siguiente pero no funciona:

mount -o loop,ro -t hfsplus /path/to/img /path/to/mntDir

Me da

mount: wrong fs type, bad option, bad superblock on /dev/loop1,
       missing codepage or helper program, or other error
       In some cases useful info is found in syslog - try
       dmesg | tail or so

y dmesg | tailme da

[5248455.568479] hfs: invalid secondary volume header
[5248455.568494] hfs: unable to find HFS+ superblock
[5248462.674836] hfs: invalid secondary volume header
[5248462.674843] hfs: unable to find HFS+ superblock
[5248550.672105] hfs: invalid secondary volume header
[5248550.672115] hfs: unable to find HFS+ superblock
[5248993.612026] hfs: unable to find HFS+ superblock
[5248998.103385] hfs: unable to find HFS+ superblock
[5249031.441359] hfs: unable to find HFS+ superblock
[5249036.274864] hfs: unable to find HFS+ superblock

¿Hay algo mal que estoy haciendo?

Intenté buscar cómo hacer esto, pero todos los resultados que obtengo solo hablan sobre el montaje de una partición desde una imagen de disco completa, usando la opción de desplazamiento con montaje; ninguno habla sobre el caso en que la imagen en sí es la de una partición.

Gracias.

PD: estoy ejecutando Arch Linux de 64 bits, y la partición del disco original se /dev/sdc2monta bien.

linux mount dd disk-image 0cd
fuente

¿Su disco duro original todavía está disponible? ¿Ya has leído este artículo? viaforensics.com/computer-forensics/…

JohannesM

Lo acabo de hacer. Eso nuevamente utiliza una imagen de disco completo y un valor de desplazamiento pasado al comando de montaje para elegir una partición dentro. En mi caso, la imagen es solo 1 partición.

0cd

Me doy cuenta de que estás usando noerroren tu línea dd. ¿Cuántos sectores ilegibles tenía el disco de origen? Uno puede haber golpeado algo crítico. Especialmente con el tamaño de bloque de 8k (el disco es probablemente 512b o como máximo 4k). ¿Se monta el disco de origen?

derobert

interesante. No estoy seguro de si el disco de origen tiene sectores ilegibles. Se monta sin problemas y puedo acceder a los archivos que contiene.

0cd

Respuestas:

Es posible que primero tenga que usar losetup para crear un dispositivo a partir de su archivo y luego montar ese dispositivo. Esto es lo que hago para montar un archivo de respaldo con una imagen de partición dentro:

losetup /dev/loop1 /home/backup-file
mount /dev/loop1 /mnt/backup

Mi partición aparece debajo de / mnt / backup, y el archivo original es / home / backup-file. Tal vez pueda hacer todo esto con "mount -o loop", pero no he tenido éxito con eso, así que estoy usando losetup por separado.

Cuando termine, desmonto la partición y luego elimino el bucle con "losetup -d / dev / loop1", por si acaso.

Además, puede usar losetup para averiguar qué dispositivo de bucle está actualmente libre en su sistema, con losetup -f

Hazme saber si esto funciona.

Piotr Kempa
fuente

mount -o loopinternamente asigna automáticamente un dispositivo de bucle invertido, por lo que asignar manualmente la imagen a un dispositivo de bucle invertido es un trabajo adicional innecesario.

Dario Russo

gracias por la información. pero spyroboy tiene razón: mount asigna internamente un dispositivo de bucle invertido.

0cd

Sí, lo sospechaba, aunque tenía un problema similar al tuyo y lo resolví haciéndolo a mano, es decir, asignando el dispositivo de bucle con losetup. En cualquier caso, tal vez te ayude a identificar el problema.

Piotr Kempa

correr mount -o loopdebe lograr lo que quieres que haga pero, claramente, no lo es.

Esto me lleva a creer que el controlador del sistema de archivos que está intentando utilizar no funciona correctamente.

esto puede ser un poco exagerado y no sé cómo funciona HFS + ... pero ¿es posible que HFS + almacene particiones dentro de particiones? tal vez similar a LVM?

Otra cosa que viene a la mente es el cifrado. parece que las particiones HFS + se pueden cifrar. ¿Te suena esto?

Dario Russo
fuente

No estoy seguro acerca de lo interno de HFS +, pero la partición definitivamente no está encriptada. De hecho, todavía tengo el disco original y la partición de eso se monta bien.

0cd