Re: Festplatten Image unbekanntes Dateisystem

[Hannes Eberhardt <heberhardt@angstroem.audio>]

Einen moment. Die Tools habe ich grade erst noch ausgeführt, da ich 
aktuell noch im HEX Editor versunken war.

$ file -k scsi_hdd.img
scsi_hdd.img: data

$ disktype scsi_hdd.img

--- scsi_hdd.img
Regular file, size 337.2 MiB (353539584 bytes)

Der HEX Editor zeigt allerdings einfach ein "roh" beschriebenes Image 
an. Ich nehme mal an die Konsole sucht in bestimmten Sektoren nach 
Firmware, lädt diese dann in den RAM und sucht dann die benötigten Daten 
aus den anderen Sektoren (Inklusive typischer Britischer Beleidigungen 
in Fehlermeldungen).

Ist das nicht ungefähr das verhalten eines EEPROM bloß mit der 
Möglichkeit zu schreiben?


On 12/28/2017 09:39 PM, Martin Steigerwald wrote:
> Hannes Eberhardt - 28.12.17, 21:02:
> > > Weitere Werkzeuge, die mir so einfallen:
> > >
> > > - file -k (für (Image-)Dateien) / file -sk (für Blockgeräte)
> > >
> > > - disktype (Extra-Paket). Das erkennt laut Paketbeschreibung ziemlich
> > > viele
> > > Partitionierungs-, Dateisystem-, Bootloader- und Was sonst noch-Strukturen
> > >
> > > - kpartx / partx, um Partitionen aus einer Image-Datei als Geräte-Dateien
> > > zugänglich zu machen
> > >
> > > - gpart und natürlich das bereits erwähnte testdisk
> > >
> > > - LVM / SoftRAID? (eher fraglich in diesem Fall, sollte disktype aber auch
> > > erkennen)
> > >
> > > Ciao,
> > die Ausgabe von fdisk ist:
> >
> > Disk scsi_hdd.img: 337.2 MiB, 353539584 bytes, 690507 sectors
> > Units: sectors of 1 * 512 = 512 bytes
> > Sector size (logical/physical): 512 bytes / 512 bytes
> > I/O size (minimum/optimal): 512 bytes / 512 bytes
> >
> > Ich habe das Image gerade einmal mit Bless geöffnet und siehe da! Da
> > stehen solche Sachen wie Firmware Versionen und Konfigurationen
> > Anscheinend wurde einfach ohne Filesystem o.ä.  auf die Festplatte
> > geschrieben.
> Und was meinen die von mir genannten Werkzeuge dazu? Insbesondere
>
> - file -k scsi_hdd.img
>
> - disktype scsi_hdd.img
>
> - gpart
>
> fdisk hat zwar eine Funktion eine leere Sun-Partitionstabelle zu erstellen,
> dürfte die also auch erkennen können, aber möglicherweise gibt es da ja auch
> andere, inkompatible Formate. Oder testdisk lag daneben.
>
> Ansonsten kannst Du Dich natürlich auch mal durch die forensics-Metapakte
> durchwühlen, inwiefern es da noch weitere nette, evtl. passende Werkzeuge
> gibt.
>
> Danke,