Como montar uma imagem dd de uma partição?

Criei uma imagem dd de uma partição (contendo um HFS + FS) de um dos meus discos (e não o disco inteiro) alguns dias atrás, usando o seguinte comando -

dd conv=sync,noerror bs=8k if=/dev/sdc2 of=/path/to/img

Como posso montá-lo? Eu tentei o seguinte, mas não funciona -

mount -o loop,ro -t hfsplus /path/to/img /path/to/mntDir

Me dá

mount: wrong fs type, bad option, bad superblock on /dev/loop1,
       missing codepage or helper program, or other error
       In some cases useful info is found in syslog - try
       dmesg | tail or so

e dmesg | tailme dá -

[5248455.568479] hfs: invalid secondary volume header
[5248455.568494] hfs: unable to find HFS+ superblock
[5248462.674836] hfs: invalid secondary volume header
[5248462.674843] hfs: unable to find HFS+ superblock
[5248550.672105] hfs: invalid secondary volume header
[5248550.672115] hfs: unable to find HFS+ superblock
[5248993.612026] hfs: unable to find HFS+ superblock
[5248998.103385] hfs: unable to find HFS+ superblock
[5249031.441359] hfs: unable to find HFS+ superblock
[5249036.274864] hfs: unable to find HFS+ superblock

Há algo errado que estou fazendo?

Eu tentei pesquisar sobre como fazer isso, mas todos os resultados são apenas sobre a montagem de uma partição a partir de uma imagem de disco completa, usando a opção offset com mount - ninguém fala sobre o caso em que a imagem em si é a de uma partição.

Obrigado.

PS: Estou executando o Arch Linux de 64 bits, e a partição do disco original é /dev/sdc2boa.

linux mount dd disk-image

— 0cd
fonte

O seu disco rígido original ainda está disponível? Você já leu este artigo? viaforensics.com/computer-forensics/…

— JohannesM

Eu apenas fiz. Isso novamente usa uma imagem de disco completo e um valor de deslocamento passado ao comando mount para escolher uma partição. No meu caso, a imagem é apenas uma partição.

— 0cd

Percebo que você está usando noerrorem sua linha dd. Quantos setores ilegíveis o disco de origem possui - um pode ter atingido algo crítico. Especialmente com o tamanho do bloco de 8k (o disco provavelmente é 512b ou no máximo 4k). O disco de origem é montado?

— Derobert 17/10/12

interessante. Não tenho certeza se o disco de origem possui setores ilegíveis. É montado sem problemas e eu consigo acessar os arquivos nele.

— 0cd

Respostas:

Você pode primeiro precisar usar losetup para criar um dispositivo a partir do seu arquivo e depois montar esse dispositivo. Aqui está o que eu faço para montar um arquivo de backup com a imagem da partição dentro:

losetup /dev/loop1 /home/backup-file
mount /dev/loop1 /mnt/backup

Minha partição aparece em / mnt / backup e o arquivo original é / home / backup-file. Talvez você possa fazer isso tudo com "mount -o loop", mas eu não tive sucesso com isso, então estou usando losetup separadamente.

Após terminar, desmontei a partição e excluí o loop com "losetup -d / dev / loop1", apenas por precaução.

Além disso, você pode usar o losetup para descobrir qual dispositivo de loop está atualmente livre no seu sistema, com losetup -f

Deixe-me saber se isso funciona.

— Piotr Kempa
fonte

mount -o loopaloca automaticamente automaticamente um dispositivo de loopback, portanto, atribuir manualmente a imagem a um dispositivo de loopback é um trabalho extra e desnecessário.

— Dario Russo

Obrigado pela informação. mas o spyroboy está certo - a montagem aloca internamente um dispositivo de loopback.

— 0cd

Sim, eu suspeitava disso, apesar de ter um problema semelhante ao seu e resolvi fazê-lo manualmente, ou seja, atribuir o dispositivo de loop ao losetup. De qualquer forma, talvez isso ajude você a identificar o problema.

— Piotr Kempa

a corrida mount -o loopdeve realizar o que você deseja fazer, mas, claramente, não é.

isso me leva a acreditar que o driver do sistema de arquivos que você está tentando usar não está funcionando corretamente.

isso pode ser um exagero e eu não sei como o HFS + funciona .. mas é possível que o HFS + armazene partições dentro de partições? talvez semelhante ao LVM?

Outra coisa que vem à mente é a criptografia. parece que as partições HFS + podem ser criptografadas. isso soa muito para você?

— Dario Russo
fonte

não tenho certeza sobre os elementos internos do HFS +, mas a partição definitivamente não está criptografada. De fato, ainda tenho o disco original e a partição dessa montagem é boa.

— 0cd