forensics - make virtual machine with E01[ewf] files on OSX ———— 电子取证 MAC OS平台仿真

最新推荐文章于 2023-07-28 22:49:39 发布
最新推荐文章于 2023-07-28 22:49:39 发布
阅读量682 收藏 2
点赞数 1
文章标签： linux mac os x
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/your_olym/article/details/120856854
版权

forensics - make virtual machine with E01[ewf] files on OSX

电子取证 MAC OS平台仿真

浏览了很多网站,基于OSX平台上的电子取证 工具很少,仿真实验室又不支持虚拟机,于是决定自己找办法,在OSX上直接仿真。主要百度,必应还有那个啥都找了,没有资料🤨

1挂载

自己是catalina(10.15)
Darwin XXX.local 19.6.0 Darwin Kernel Version 19.6.0: Thu Sep 16 20:58:47 PDT 2021; root:xnu-6153.141.40.1~1/RELEASE_X86_64 x86_64

首先我们来看一下挂载命令都有哪些

mount
diskutil mount
hdiutil mount

这些挂载命令在对linux文件系统执行时也会有较大的差异,平时也需要注意
等会需要用到 diskutil,这是一个系统自带的工具,比磁盘管理用处稍大

库安装

环境搭建到现在我好像安了挺多东西了,我会尽可能的列出来,还有没有的命令大家可以自己github一下或着评论留言

osxfuse

这是为libewf库做的基础
要注意不是 MacFuse 这两者也是存在区别的
https://github.com/osxfuse/osxfuse/releases/download/osxfuse-3.10.0/osxfuse-3.10.0.dmg

libewf

毫无疑问这是我迄今为止装的最久的库了,让我想到了在自带的python2下安装pwntools

建议大家下载旧一点点的libewf,我安装实验版还有最新的稳定版都存在错误
首先安装mac port 官网
https://www.macports.org/install.php
不同系统版本对应不同软件版本的像我Catalina是
https://github.com/macports/macports-base/releases/download/v2.7.1/MacPorts-2.7.1-10.15-Catalina.pkg
然后借用mac port安装一些能自动安装的环境

sudo port install git autoconf automake gettext libtool pkgconfig flex byacc

下载libewf工具
https://github.com/libyal/libewf-legacy/releases/download/20140811/libewf-20140811.tar.gz
解压后cd 进入目录然后输入三个命令进行安装

# dsa @ '(^-^)' in ~ [23:26:10] C:127
$ cd /Users/dsa/Downloads/libewf-20140811

# dsa @ '(^-^)' in ~/Downloads/libewf-20140811 [23:37:16]
$ ./configure --prefix=/usr/local --enable-python --with-pyprefix

checking for a BSD-compatible install... /usr/bin/install -c
checking whether build environment is sane... yes
checking for a thread-safe mkdir -p... ./install-sh -c -d
...
...
...
Features:
   Multi-threading support:                  pthread
   Wide character type support:              no
   Write support:                            yes
   ewftools are build as static executables: no
   Python (pyewf) support:                   3.7
   Verbose output:                           no
   Debug output:                             no
   Version 1 API compatibility:              no


# dsa @ '(^-^)' in ~/Downloads/libewf-20140811 [23:39:29]
$ make

...
...
...
Making all in msvscpp
make[1]: Nothing to be done for `all'.
make[1]: Nothing to be done for `all-am'.

# dsa @ '(^-^)' in ~/Downloads/libewf-20140811 [23:42:19]
$ make install DESTDIR=/

然后就可以使用libewf库了

在这里插入图片描述

2 虚拟机存储文件

我自己尝试过很多命令,试图直接实现windows下那样FTK Imager挂载后直接通过虚拟机访问磁盘来实现仿真,但是mac下好像挂载时没有办法挂载成物理磁盘,会被PD检测报错,VM就直接不报错了,直接输出帮助内容

qemu

于是我决定用挂载出的raw文件创建一个虚拟磁盘
这就用到了qemu-img
这是一个很强大的虚拟磁盘管理工具大家可以参考下面这篇文章来了解
https://blog.csdn.net/u012324798/article/details/109705017

我尝试过 PD VM自己的创建虚拟磁盘的方法,当然这些都是挂载物理磁盘时读取做虚拟机系统的

/Applications/Parallels\ Desktop.app/Contents/MacOS/prl_disk_tool create -p --hdd ~/10.hdd --ext-disk-path /dev/disk2

/Applications/VMware\ Fusion.app/Contents/Library/vmware-rawdiskCreator creat /dev/disk2 “fullDevice” /Users/dsa/Parallels/CentOS\ Linux.pvm\ssk “ide”

大家有兴趣可以深入研究,在需要挂载多个磁盘时也能够提供参考

3 开始实验&&虚拟机导入

这一部分需要图片辅助,我们也就从这里开始实际操作吧

# dsa @ '(^-^)' in ~ [12:08:51]
$ diskutil list                  
                                该命令只用做查看系统挂载镜像,可以不做
/dev/disk0 (internal, physical):
   #:                       TYPE NAME                    SIZE       IDENTIFIER
   0:      GUID_partition_scheme                        *1.0 TB     disk0
   1:                        EFI EFI                     314.6 MB   disk0s1
   2:                 Apple_APFS Container disk1         899.0 GB   disk0s2
   3:       Microsoft Basic Data BOOTCAMP                100.6 GB   disk0s3
   4:           Windows Recovery                         610.3 MB   disk0s4

/dev/disk1 (synthesized):
   #:                       TYPE NAME                    SIZE       IDENTIFIER
   0:      APFS Container Scheme -                      +899.0 GB   disk1
                                 Physical Store disk0s2
   1:                APFS Volume Macintosh HD            11.4 GB    disk1s1
   2:                APFS Volume Macintosh HD - Data     699.4 GB   disk1s2
   3:                APFS Volume Preboot                 83.6 MB    disk1s3
   4:                APFS Volume Recovery                529.0 MB   disk1s4
   5:                APFS Volume VM                      3.2 GB     disk1s5


# dsa @ '(^-^)' in ~ [12:09:06]
$ mkdir ~/tmp/mpoint

# dsa @ '(^-^)' in ~ [12:11:48]    //挂载E01文件到挂载点
$ ewfmount -X volicon=/Library/Filesystems/osxfuse.fs/Contents/Resources/Volume.icns  /Users/dsa/Downloads/检材4.E01 ~/tmp/mpoint
ewfmount 20140811


# dsa @ '(^-^)' in ~ [12:13:34]
$ diskutil list
/dev/disk0 (internal, physical):
   #:                       TYPE NAME                    SIZE       IDENTIFIER
   0:      GUID_partition_scheme                        *1.0 TB     disk0
   1:                        EFI EFI                     314.6 MB   disk0s1
   2:                 Apple_APFS Container disk1         899.0 GB   disk0s2
   3:       Microsoft Basic Data BOOTCAMP                100.6 GB   disk0s3
   4:           Windows Recovery                         610.3 MB   disk0s4

/dev/disk1 (synthesized):
   #:                       TYPE NAME                    SIZE       IDENTIFIER
   0:      APFS Container Scheme -                      +899.0 GB   disk1
                                 Physical Store disk0s2
   1:                APFS Volume Macintosh HD            11.4 GB    disk1s1
   2:                APFS Volume Macintosh HD - Data     699.4 GB   disk1s2
   3:                APFS Volume Preboot                 83.6 MB    disk1s3
   4:                APFS Volume Recovery                529.0 MB   disk1s4
   5:                APFS Volume VM                      3.2 GB     disk1s5


# dsa @ '(^-^)' in ~ [12:14:13]    上一步可以看到还没有检测出来,还需要下一步挂载到系统
$ hdiutil attach -imagekey diskimage-class=CRawDiskImage -nomount ~/tmp/mpoint/ewf1
/dev/disk2          	FDisk_partition_scheme
/dev/disk2s1        	Linux
/dev/disk2s2        	Linux_LVM

# dsa @ '(^-^)' in ~ [12:14:42]
$ diskutil list
/dev/disk0 (internal, physical):
   #:                       TYPE NAME                    SIZE       IDENTIFIER
   0:      GUID_partition_scheme                        *1.0 TB     disk0
   1:                        EFI EFI                     314.6 MB   disk0s1
   2:                 Apple_APFS Container disk1         899.0 GB   disk0s2
   3:       Microsoft Basic Data BOOTCAMP                100.6 GB   disk0s3
   4:           Windows Recovery                         610.3 MB   disk0s4

/dev/disk1 (synthesized):
   #:                       TYPE NAME                    SIZE       IDENTIFIER
   0:      APFS Container Scheme -                      +899.0 GB   disk1
                                 Physical Store disk0s2
   1:                APFS Volume Macintosh HD            11.4 GB    disk1s1
   2:                APFS Volume Macintosh HD - Data     699.4 GB   disk1s2
   3:                APFS Volume Preboot                 83.6 MB    disk1s3
   4:                APFS Volume Recovery                529.0 MB   disk1s4
   5:                APFS Volume VM                      3.2 GB     disk1s5

/dev/disk2 (disk image):
   #:                       TYPE NAME                    SIZE       IDENTIFIER
   0:     FDisk_partition_scheme                        +21.5 GB    disk2
   1:                      Linux                         1.1 GB     disk2s1
   2:                  Linux_LVM                         20.4 GB    disk2s2

挂载完毕后使用下条命令制作vmdk虚拟磁盘 路径不能省略,不能用 sudo
# dsa @ '(^-^)' in ~ [12:14:44]
$ /usr/local/Cellar/qemu/6.1.0_1/bin/qemu-img convert -O vmdk ~/tmp/mpoint/ewf1 /Users/dsa/Virtual\ Machines.localized/mpoint.vmwarevm/检材.vmdk

到这里我们就成功建立vmdk文件了,然后可以开始启动虚拟机了,像这里我是创建在了已有的文件夹里,导入然后更改启动项就好了在这里插入图片描述

在这里插入图片描述
也可以创建在外面,然后新建虚拟机,注意固件选项需要是BIOS启动的,然后选中磁盘后VM会自动复制到新建虚拟机上(如果导入时为共享磁盘的话,需要文件在虚拟机目录下才能启动)

git了一周,好累😌转载记得说明哈

引项捻繁丝
关注
  • 1
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
libewf-开源
05-13
该项目已移至：https://github.com/libyal/libewf该站点仍包含contib。
Libewf-jbmetz
03-07
Libewf is a library for support of the Expert Witness Compression Format (EWF), it support both the SMART (EWF-S01) and EnCase (EWF-E01) format. Libewf allows you to read and write EWF files. Recent versions also support the LEV (EWF-L01) format. Features Read or write access for E01 and s01 Read and write access using delta files for E01 and s01 Resume write for E01 and s01 Read access for L01 (logical evidence file)
EWF写保护功能介绍与使用和安装注意事项
2301_76626273的博客
07-28 1643
把VHD挂载在虚拟机里启动安装后，再用U盘进行启动，不然安装的时候会显示不能开启移动磁盘的保护，重启也会报错，找不到映像文件的路径，在以本地磁盘模式启动时安装就不会报错……c： 使能EWF如下图：（先选择分区，然后在pending command 选择使能，enable）b，双击锁进入，如图，然后点下面的configure。EWF是对系统某个分区提供写保护功能，开启后该分区只读，无法写。b，打开并进入configure，选择分区，选择。该处提供工具，一键安装，工具见链接：…不能用U盘启动的系统进行安装！
windows识别linux硬盘_【仿真实战】双盘Linux虚拟机镜像
weixin_39606244的博客
12-12 1307
转自：臻相软件，作者：杨乐计算机仿真取证的方法，相信大家都不陌生，相对于冷冰冰的解析文件系统，活生生的操作系统更加令人血脉喷张，毕竟能够以对象的身份登陆对象的操作系统，这种“所见即所得”的临机感是传统静态取证方式所不具备的。因此，仿真取证特别适用于还原计算机犯罪现场、倒推对象的操作步骤、网站/数据库服务器数据还原以及特定类型或加密数据提取等情形。01本案中，警方查处一个诈骗网站，从网站所...
第二届“中科实数杯”全国电子数据取证 wp
Hilllle的博客
04-09 8351
准备参加第三届的比赛了，特意把第二届的比赛写一下，第一次写wp，不足之处请多多指点 案件背景： 第二部分------案件背景介绍 王刚（英文名kugoo）是一家国内大型电子商务公司的服务器管理员，他负责公司多台服务器的日常运维管理。 王刚利用个人职位之便，私下将客户的资料卖给第三方获得高额回报。电商平台的不少客户遭受诈骗和营销推广骚扰，该企业纷纷收到投诉，公司怀疑有人泄漏了平台的用户数据。 该公司聘请第三方专业取证调查公司协助开展调查，需调查王刚在职期间利用个人职位之便贩卖客户信息的行为及关键证据。在王刚
数字取证二 熟练掌握鉴证大师 了解NTFS分析、LogFile文件使用和USN日志分析
凌阳的博客
03-26 4888
任务一 选择Z01.Peter.e01镜像： 练习一：分析JMXM021-技术资料-客户名单.lnk文件，该文件被拷贝后，是否被编辑过？ 练习二：分析JMXM021-技术资料-文档.lnk文件、 JMXM021-技术资料-文档.docx文件，该文件被拷贝后，是否被编辑过？ 练习三：分析JMXM021-技术资料-客户名单.lnk文件，该文件被拷贝后，是否被移动过？ 任务二 选择C01-CCFC-Windows XP.001镜像，使用鉴证大师： 练习一：查找Sprite编辑过的所有Offi......
Mac OS + 阿里云Ubuntu 仿真uC/OS环境配置
Curren的博客
03-18 430
Mac OS + 阿里云Ubuntu 仿真u/Cos环境配置 基于Mac OS、VS Code Remote和阿里云Ubuntu服务器的u/Cos-III仿真环境配置 文章目录Mac OS + 阿里云Ubuntu 仿真u/Cos环境配置1. 背景2. 准备工作3. 配置步骤3.1. 配置服务器3.2. 配置VS Code 1. 背景 这学期选了一门课叫《嵌入式系统》，老师让我们用u/cos系统来做...
小白笔记（一）
weixin_45159918的博客
06-11 236
关于最小化安装的那些事 1.最小化安装centos后ifconfig不能用（可以使用ip add查看ip地址） （1）创建挂光盘的目录：mkdir -p /mnt/iso （2）挂光盘：mount /dev/sr0 /mnt/iso （3）安装网络工具：yum clean all yum -y install net-tools （4）使用：ifconfig 2.修改主机名： （1）临时修改： [root@localhost data]# hostname boss 临时修改，重启服务器
【电子取证：FTK Imager 篇】DD、E01系统镜像动态仿真
蘇小沐的电子数据取证博客
10-26 1万+
【电子取证：FTK Imager 篇】DD、E01系统镜像动态仿真 ​ 星河滚烫，人生有理想！ ​ —【suy999】 文章目录【电子取证：FTK Imager 篇】DD、E01系统镜像动态仿真一、DD、E01系统镜像动态仿真（一）使用到的软件1、FTK Imager (v4.5.0.3)2、VMware Workstation 15 Pro (v15.5.2)（二）FTK Imager 挂载镜像1、选择 Imager Mounting2、选择系统镜像挂载*"注意一"！！！（三）VMware新
qemu镜像转化
技术博客记录
12-31 476
qemu-img convert -f raw redhat6.7-kvm-postgresql9.2.3-8disk-pulsar2.2 -O qcow2 redhat6.7-kvm-postgresql9.2.3-8disk-pulsar2.2.qcow2
2021-10-27
qq_34369585的博客
10-27 688
初次使用开源TestDisk恢复数据 在一次修复linux磁盘里接触到这个testdisk工具，这个工具是目前开源里比较好用的也比较强大 本人是在CentOS6.5里安装的testdisk工具，所以提供6.5的rpm包链接，其他版本的包大家自己去找找 需要的依赖包有ntfs-3g-2017.3.23-11.el6.x86_64.rpm，libewf-20100226-1.el6.x86_64.rpm； 安装完这俩个包就可以安装testdisk的rpm包了。 https://mirrors.cloud.
FTK-imager-OSX:FTK Imager MAC OS X的取证工具
04-28
取证工具包成像器FTK Imager是一个简单但简洁的工具。 它将硬盘映像保存在一个文件中或分段中，稍后可能会对其进行重建。 在关闭文件之前，它将计算MD5哈希值并确认数据的完整性。为Mac OSX安装FTK Imager git clone...
（取证工具）X-Ways_Forensics_v20.0_SR-3_x86_x64_Full.rar
06-10
（取证工具）X-Ways_Forensics_v20.0_SR-3_x86_x64_Full.rar
Mastering-Python-Forensics-Master-the-art-of-digital-forensics-and-analysis-with-Python.pdf.pdf
09-11
Mastering-Python-Forensics-Master-the-art-of-digital-forensics-and-analysis-with-Python.pdf
fat-forensics:模块化Python工具箱，用于公平，问责和透明取证
05-25
FAT Forensics对任何数据建模管道的三个主要组件实现了最新的公平性，问责制和透明度（FAT）算法：数据（原始数据和特征），预测模型和模型预测。 我们设想了该程序包的两个主要用例，每个用例均实现了支持该程序包...
osx平台电子取证仿真实验
your_olym的博客
11-23 2180
forensics - make virtual machine with E01[ewf] files on OSX 2———— 电子取证 MAC OS平台仿真2 提示：和另一篇文章完全不同的思路,有新知识但是最重要的还是挂载方式 挂载E01为raw文件 第一步安装 ewfmount,安装及环境要求可以参考上一篇文章 https://blog.csdn.net/your_olym/article/details/120856854?spm=1001.2014.3001.5501 # dsa @ '(^-^
2021美亚杯（个人赛）练习记录
weixin_43140411的博客
09-25 1万+
2021美亚杯练习个人赛部分
qemu-img命令详解
热门推荐
yuyuyuliang00的博客
03-23 2万+
qemu-img是一个功能强大磁盘镜像管理工具。qemu-img命令使用
x-ways forensics: 综合取证分析工具
最新发布
10-19
x-ways forensics是一款综合取证分析工具，用于数字取证和计算机取证。该工具提供了一系列功能，用于收集、分析和呈现证据，以帮助调查人员在犯罪调查、公司安全审计等领域进行数字取证工作。 x-ways forensics具有高度灵活性和可定制性，可应用于各种不同类型的取证任务。它可以通过扫描存储介质（如硬盘、移动存储设备）来收集电子证据，通过恢复被删除文件、提取元数据和日志等方式获取隐藏的信息。该工具支持各种文件系统和操作系统，包括Windows、Linux等，以便广泛适用于多种取证需求。 该工具集成了一系列功能强大的分析工具，可帮助用户快速找到关键证据。它提供了强大的搜索功能，可以根据关键词、文件类型和文件属性等条件进行搜索，并生成相应的搜索报告。此外，它还具备强大的分析能力，可提供文件和文件夹的完整视图，以及图形化的展示方式，以方便理解和呈现证据。 x-ways forensics还支持批量处理和自动化功能，可以帮助用户提高工作效率。用户可以创建脚本和预设，以系统化地进行取证分析过程，减少人为错误的可能性。它还提供了生成详细报告的功能，以便将取证结果进行整理和呈现给相关利益相关方，如法庭和调查人员。 总而言之，x-ways forensics是一款功能强大、灵活可定制的综合取证分析工具，广泛应用于数字取证和计算机取证领域。它的各种功能和工具可以帮助调查人员有效地收集、分析和呈现电子证据，以支持犯罪调查和安全审计等工作。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值