Tool zur analyze von disk-images gesucht

[Dergute W. (derguteweka)]

Moin,

Hab' hier ein image von einer Festplatte rumfliegen, in deren 
Partitionstabelle Mumpitz steht.
Um die einzelnen Partitionen aber unter Linux mounten zu koennen, 
muesst' ich wissen an welchem Offset die jeweils anfangen. Also das, was 
in einer "guten" Partitionstabelle steht.
Kennt wer ein tool, mit dem man dieses Image mit den Partitionen 
durchforsten kann, um die Anfaenge zu finden?
binwalk geht gleich zu sehr ins Detail und listet Zeugs aus den Dateien 
auf...

Gruss
WK

[DPA (Gast)]

Dergute W. schrieb:
> binwalk geht gleich zu sehr ins Detail und listet Zeugs aus den Dateien
> auf...

Kannst du das nicht durch grep laufen lassen? Oh, moment, da steht das 
binwalk selbst sogar einen Filter dafür hat: 
https://github.com/ReFirmLabs/binwalk/wiki/Usage

binwalk -y 'filesystem' firmware.bin

[Peter M. (r2d3)]

Hallo DerGute W.,

Dergute W. schrieb:

> Kennt wer ein tool, mit dem man dieses Image mit den Partitionen
> durchforsten kann, um die Anfaenge zu finden?

testdisk von Christophe Grenier kann das und noch vieles mehr.

https://www.cgsecurity.org/

Englische Bedienungsanleitung "testdisk.pdf" vorhanden,
Anwendungsbeispiele liegen in vielen Sprachen auf der Internetseite vor.

Mittlerweile gibt es auch eine Chance auf Antworten im deutschen Forum 
zu Testdisk und Photorec. :)

Viel Erfolg!

[Dergute W. (derguteweka)]

Moin,

Merci fuer die Vorschlaege!
Derweilen bin ich schlauer: Das image stammte von einem clonezilla, der 
partclone in der Version 0.2.89 hernahm. Und 0.2.89 ist anscheinend 
inkompatibel zu partclone-0.3.11 was ich wieder zum "aufblasen" hernahm. 
Da kommt dann was raus, was aussieht wie eine gammelige 
Partitionstabelle...

Gruss
WK

[Sebastian S. (amateur)]

Falls es das noch gibt: Nero DiscSpeed

[Sebastian S. (amateur)]

Ich Vergaß:
Das Teil hat einen Scanmodus für das Dateisystem, falls bekannt, und 
einen reinen Lesetest für einen Oberflächenscan.

[Dergute W. (derguteweka)]

Moin,

Hups: ganz vergessen explizit zu schreiben: In dem Image ist alles OK, 
es sah' nur durch die Inkompatibilitaet der Versionen von partclone so 
aus, als waere da eine kaputte Partitionstabelle drinnen. War's aber 
nicht.

Gruss
WK

[Peter M. (r2d3)]

Hallo Sebastian S.,

Sebastian S. schrieb:
> Ich Vergaß:
> Das Teil hat einen Scanmodus für das Dateisystem, falls bekannt, und
> einen reinen Lesetest für einen Oberflächenscan.

Nero DiscSpeed ist für die genannte Aufgabenstellung untauglich.

[Ingo W. (uebrig)]

fdisk kann auch mit disk-images umgehen.
fdisk -l imagedatei
sollte die Partitionstabelle des Plattenimages anzeigen

[Peter M. (r2d3)]

Ingo W. schrieb:
> disk kann auch mit disk-images umgehen.
> fdisk -l imagedatei
> sollte die Partitionstabelle des Plattenimages anzeigen

Auch fdisk ist für die genannte Aufgabe untauglich.

Es geht um die Erkennung von Partitionen auf Festplatten - 
typischerweise anhand von Sektoren, die wie Bootsektoren von Partitionen 
anmuten.

[Dergute W. (derguteweka)]

Moin,

Ingo W. schrieb:
> fdisk -l imagedatei
> sollte die Partitionstabelle des Plattenimages anzeigen

Jepp. Das tat es auch. Nur stand da halt Bloedsinn drinnen. Wenn man die 
offsets mit 512 multipliziert hatte und da einen mount drauf losgelassen 
hat, hat der nur gequengelt, dass da alles moegliche steht, aber kein 
Filesystem. Auch waren die 4 angezeigten Filesysteme in Summe deutlich 
groesser als das Gesamtimage.
Was im nachhinein auch kein Wunder war, denn in dem original-Image war 
eigentlich gar keine Partitionstabelle, weils nur ein Image einer 
Partition war. Die Partitionstabelle ist da erst durch die inkompatiblen 
Versionen von partclone reingekommen...
Keine Ahnung, was sich da am internen Imageaufbau von partclone images 
zwischen Version 0.2.89 und 0.3.11 geaendert hat; es passt auf jeden 
Fall nicht zusammen, gibt aber auch kein Mecker, sondern eben "nur" eine 
schwindelige Partitionstabelle wo eh' keine hingehoert.

Gruss
WK

[Jörg E. (jackfritt)]

Hier mal ein Script das Ich irgendwo gefunden hatte.
Hat mir bisher imer gut geholfen.

#!/bin/bash 
#----------------------------------------------------------------------
# Author: haveaniceday
# Version: 1, Last updated: 12/2007
#----------------------------------------------------------------------
 
 # fdisk finden 
 PATH="/sbin:$PATH" 
 if [ $# -lt 1 ] 
 then 
         echo "usage: ${0##*/} <image>" 
         exit 1 
 fi 
 
 IMAGE=$1 
 if [ ! -f $IMAGE ] 
 then 
         echo "Warnung, $IMAGE ist kein File" 
 fi 
 
 # tr -d '*' => bootflag entfernen 
 LANG=C fdisk -lu $IMAGE  2>&1 | tr -d '*' | grep "$IMAGE[a-z0-9]" | while read part start end blocks id rest 
 do 
         echo 
         echo "$read $part $start $end $blocks $id $rest" 
         case $id in 
         5|f|85) echo "Ignoriere extended partition" 
            continue 
            ;; 
         82) echo "Ignoriere Swap" 
            continue 
            ;; 
         *) 
           ;; 
         esac 
 
         let offset=$start*512 
         echo mount -o loop,ro,offset=$offset $IMAGE /mnt 
 done 
 exit 0

./m.sh Medoin1GB.ddr

 Medoin1GB.ddr1 2048 1953525167 1953523120 931.5G 7 HPFS/NTFS/exFAT
mount -o loop,ro,offset=1048576 Medoin1GB.ddr /mnt