mikrocontroller.net

Forum: PC-Programmierung Tool zur analyze von disk-images gesucht


Announcement: there is an English version of this forum on EmbDev.net. Posts you create there will be displayed on Mikrocontroller.net and EmbDev.net.
Autor: Dergute W. (derguteweka)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Moin,

Hab' hier ein image von einer Festplatte rumfliegen, in deren 
Partitionstabelle Mumpitz steht.
Um die einzelnen Partitionen aber unter Linux mounten zu koennen, 
muesst' ich wissen an welchem Offset die jeweils anfangen. Also das, was 
in einer "guten" Partitionstabelle steht.
Kennt wer ein tool, mit dem man dieses Image mit den Partitionen 
durchforsten kann, um die Anfaenge zu finden?
binwalk geht gleich zu sehr ins Detail und listet Zeugs aus den Dateien 
auf...

Gruss
WK

Autor: DPA (Gast)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Dergute W. schrieb:
> binwalk geht gleich zu sehr ins Detail und listet Zeugs aus den Dateien
> auf...

Kannst du das nicht durch grep laufen lassen? Oh, moment, da steht das 
binwalk selbst sogar einen Filter dafür hat: 
https://github.com/ReFirmLabs/binwalk/wiki/Usage
binwalk -y 'filesystem' firmware.bin

Autor: Peter M. (r2d3)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Hallo DerGute W.,

Dergute W. schrieb:

> Kennt wer ein tool, mit dem man dieses Image mit den Partitionen
> durchforsten kann, um die Anfaenge zu finden?

testdisk von Christophe Grenier kann das und noch vieles mehr.

https://www.cgsecurity.org/

Englische Bedienungsanleitung "testdisk.pdf" vorhanden,
Anwendungsbeispiele liegen in vielen Sprachen auf der Internetseite vor.

Mittlerweile gibt es auch eine Chance auf Antworten im deutschen Forum 
zu Testdisk und Photorec. :)

Viel Erfolg!

Autor: Dergute W. (derguteweka)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Moin,

Merci fuer die Vorschlaege!
Derweilen bin ich schlauer: Das image stammte von einem clonezilla, der 
partclone in der Version 0.2.89 hernahm. Und 0.2.89 ist anscheinend 
inkompatibel zu partclone-0.3.11 was ich wieder zum "aufblasen" hernahm. 
Da kommt dann was raus, was aussieht wie eine gammelige 
Partitionstabelle...

Gruss
WK

Autor: Sebastian S. (amateur)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Falls es das noch gibt: Nero DiscSpeed

Autor: Sebastian S. (amateur)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Ich Vergaß:
Das Teil hat einen Scanmodus für das Dateisystem, falls bekannt, und 
einen reinen Lesetest für einen Oberflächenscan.

Autor: Dergute W. (derguteweka)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Moin,

Hups: ganz vergessen explizit zu schreiben: In dem Image ist alles OK, 
es sah' nur durch die Inkompatibilitaet der Versionen von partclone so 
aus, als waere da eine kaputte Partitionstabelle drinnen. War's aber 
nicht.

Gruss
WK

Autor: Peter M. (r2d3)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Hallo Sebastian S.,

Sebastian S. schrieb:
> Ich Vergaß:
> Das Teil hat einen Scanmodus für das Dateisystem, falls bekannt, und
> einen reinen Lesetest für einen Oberflächenscan.

Nero DiscSpeed ist für die genannte Aufgabenstellung untauglich.

Autor: Ingo W. (uebrig)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
fdisk kann auch mit disk-images umgehen.
fdisk -l imagedatei
sollte die Partitionstabelle des Plattenimages anzeigen

Autor: Peter M. (r2d3)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Ingo W. schrieb:
> disk kann auch mit disk-images umgehen.
> fdisk -l imagedatei
> sollte die Partitionstabelle des Plattenimages anzeigen

Auch fdisk ist für die genannte Aufgabe untauglich.

Es geht um die Erkennung von Partitionen auf Festplatten - 
typischerweise anhand von Sektoren, die wie Bootsektoren von Partitionen 
anmuten.

: Bearbeitet durch User
Autor: Dergute W. (derguteweka)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Moin,

Ingo W. schrieb:
> fdisk -l imagedatei
> sollte die Partitionstabelle des Plattenimages anzeigen

Jepp. Das tat es auch. Nur stand da halt Bloedsinn drinnen. Wenn man die 
offsets mit 512 multipliziert hatte und da einen mount drauf losgelassen 
hat, hat der nur gequengelt, dass da alles moegliche steht, aber kein 
Filesystem. Auch waren die 4 angezeigten Filesysteme in Summe deutlich 
groesser als das Gesamtimage.
Was im nachhinein auch kein Wunder war, denn in dem original-Image war 
eigentlich gar keine Partitionstabelle, weils nur ein Image einer 
Partition war. Die Partitionstabelle ist da erst durch die inkompatiblen 
Versionen von partclone reingekommen...
Keine Ahnung, was sich da am internen Imageaufbau von partclone images 
zwischen Version 0.2.89 und 0.3.11 geaendert hat; es passt auf jeden 
Fall nicht zusammen, gibt aber auch kein Mecker, sondern eben "nur" eine 
schwindelige Partitionstabelle wo eh' keine hingehoert.

Gruss
WK

Autor: Jörg E. (jackfritt)
Datum:

Bewertung
0 lesenswert
nicht lesenswert
Hier mal ein Script das Ich irgendwo gefunden hatte.
Hat mir bisher imer gut geholfen.
#!/bin/bash 
#----------------------------------------------------------------------
# Author: haveaniceday
# Version: 1, Last updated: 12/2007
#----------------------------------------------------------------------
 
 # fdisk finden 
 PATH="/sbin:$PATH" 
 if [ $# -lt 1 ] 
 then 
         echo "usage: ${0##*/} <image>" 
         exit 1 
 fi 
 
 IMAGE=$1 
 if [ ! -f $IMAGE ] 
 then 
         echo "Warnung, $IMAGE ist kein File" 
 fi 
 
 # tr -d '*' => bootflag entfernen 
 LANG=C fdisk -lu $IMAGE  2>&1 | tr -d '*' | grep "$IMAGE[a-z0-9]" | while read part start end blocks id rest 
 do 
         echo 
         echo "$read $part $start $end $blocks $id $rest" 
         case $id in 
         5|f|85) echo "Ignoriere extended partition" 
            continue 
            ;; 
         82) echo "Ignoriere Swap" 
            continue 
            ;; 
         *) 
           ;; 
         esac 
 
         let offset=$start*512 
         echo mount -o loop,ro,offset=$offset $IMAGE /mnt 
 done 
 exit 0


./m.sh Medoin1GB.ddr

 Medoin1GB.ddr1 2048 1953525167 1953523120 931.5G 7 HPFS/NTFS/exFAT
mount -o loop,ro,offset=1048576 Medoin1GB.ddr /mnt

Antwort schreiben

Die Angabe einer E-Mail-Adresse ist freiwillig. Wenn Sie automatisch per E-Mail über Antworten auf Ihren Beitrag informiert werden möchten, melden Sie sich bitte an.

Wichtige Regeln - erst lesen, dann posten!

  • Groß- und Kleinschreibung verwenden
  • Längeren Sourcecode nicht im Text einfügen, sondern als Dateianhang

Formatierung (mehr Informationen...)

  • [c]C-Code[/c]
  • [avrasm]AVR-Assembler-Code[/avrasm]
  • [code]Code in anderen Sprachen, ASCII-Zeichnungen[/code]
  • [math]Formel in LaTeX-Syntax[/math]
  • [[Titel]] - Link zu Artikel
  • Verweis auf anderen Beitrag einfügen: Rechtsklick auf Beitragstitel,
    "Adresse kopieren", und in den Text einfügen




Bild automatisch verkleinern, falls nötig
Bitte das JPG-Format nur für Fotos und Scans verwenden!
Zeichnungen und Screenshots im PNG- oder
GIF-Format hochladen. Siehe Bildformate.

Mit dem Abschicken bestätigst du, die Nutzungsbedingungen anzuerkennen.