Montar un Archivo de Imagen Forense DD o Raw

  • Posted on: 15 July 2016
  • By: ReYDeS

Para montar un archivo de imagen como solo lectura (conteniendo el volcado de un disco completo, no de una sola partición) se puede utilizar el siguiente comando.

$ sudo mount -t tipo -o ro,loop,offset=$((512*inicio_particion)) opciones archivo_imagen.dd punto_montaje

Las “opciones” y la sintaxis del comando “mount” son conocidas.

En este caso sin embargo, un método de montar basado en un dispositivo “loop” “convierte” (virtualmente, sin alterar la fuente) una archivo de imagen (estático) en un dispositivo Linux (dinámico), permitiendo al Kernel montarlo como si fuese un dispositivo real.

La opción “loop” permite este tipo de abstracción y se deriva desde una aplicación implícita y automática hacia la capa siguiente del comando “losetup”, a través del cual se puede asociar un dispositivo “loop” hacia la imagen de nombre “imagen.dd”.

De esta manera se pueden ejecutar aplicaciones trabajando sobre dispositivos, también sobre imágenes de almacenamiento masivo.

Si se desea evitar el uso de “-o loop”, se debe antes de montar, crear un dispositivo “loop” utilizando el siguiente comando.

$ sudo losetup -r /dev/loop DiscoWindows7.001

El dispositivo loop podría ser utilizado como si fuese un disco fuente, para ser montado de la manera descrita previamente.

Así, siendo capaz de directamente utilizar “-o loop”, se evita la creación de un dispositivo “loop”, el cual se debe recordar cerrar con el comando “losetup -d /dev/loop0”.

Otra opción esencial cuando se monta un archivo de imagen conteniendo la adquisición de un disco completo (y por lo tanto, no de una única partición) es el “offset” o desplazamiento.

A través de la utilidad “mmls” se puede encontrar el desplazamiento de inicio de una partición del disco.

$ sudo mmls DiscoWindows7.001

Para montar la partición identificada como 03 por la salida del comando “mmls”, se debe especificar el “offset” multiplicado por 512.

En lugar de realizar el cálculo del “offset” o desplazamiento multiplicando por 512 el punto inicial de la partición obtenida con “mml”, se puede utilizar un operador matemático del shell, incluyendo como un “offset” el valor de $((512 * Inicio_Partición)), donde “Inicio_Partición” indica el byte del “offset” de la partición requerida a montar.

$ sudo mount -t ntfs -o ro,loop,noatime,noauto,noexec,offset=$((512*206848)) DiscoWindows7.001 /tmp/windows01/

Cuando se hayan completado las operaciones sobre los dispositivos, antes de desconectarlo del sistema, es necesario utilizar el comando “umount”.

$ sudo umount /tmp/windows01

Como ya se ha mencionado, estos comandos pueden ser utilizados para montar un archivo conteniendo el volcado de un disco completo. Si sólo se ha realizado el volcado de una única partición, no es necesario utilizar el parámetro “offset”, pues el inicio de la partición coincide con el del archivo.

Fuentes:

http://linux.die.net/man/8/mount
http://www.deftlinux.net/
http://www.deftlinux.net/doc/EN-deft7.pdf

Sobre el Autor


Alonso Eduardo Caballero Quezada - ReYDeS
Instructor y Consultor Independiente en Ciberseguridad
Correo Electrónico: ReYDeS@gmail.com
Twitter: https://twitter.com/Alonso_ReYDeS
LinkedIn: https://pe.linkedin.com/in/alonsocaballeroquezada/
Facebook: https://www.facebook.com/alonsoreydes
Youtube: https://www.youtube.com/c/AlonsoCaballero


Curso de Informática Forense