डिजिटल फोरेंसिक टिप्स एंड ट्रिक्स: वर्चुअल मशीन से एनकैश इमेज कैसे कनेक्ट करें

मैं अक्सर इस प्रश्न को पूरा करता हूं: वर्चुअल बूट मशीन को एन्सेसे छवि (.e01) को प्राथमिक बूट करने योग्य डिस्क के रूप में कैसे संलग्न करें? कभी-कभी एक डिजिटल फोरेंसिक विशेषज्ञों को शोध मशीन की छवि को बूट करने की आवश्यकता होती है। यह वास्तव में इतना कठिन नहीं है, लेकिन इस कार्य में छिपे हुए पत्थर हैं जिन्हें लोगों को गिना जाना चाहिए।

इस मामले में मैं एक वर्चुअलाइजेशन प्लेटफॉर्म के रूप में लिनक्स के लिए विंडोज और वर्चुअलबॉक्स के लिए एक वीएमवेयर वर्कस्टेशन का उपयोग करूंगा।

विंडोज हिस्सा है

1. एफटीके इमेजर खोलें और राइट मोड में एक भौतिक (केवल) डिवाइस के रूप में .e01 छवि को माउंट करें



2. परिणामी डिवाइस का नाम नोट करें। इस मामले में यह एक PhysicalDrive3 है

3. VMware वर्कस्टेशन खोलें और एक नया VM बनाएं, लेकिन वर्चुअल डिस्क न बनाएं (या मौजूद होने पर हटा दें)। आपको नई VM विज़ार्ड में भौतिक डिस्क का उपयोग करना होगा या मौजूदा VM में प्राथमिक के रूप में एक नई वर्चुअल डिस्क जोड़ना होगा। आपको याद है कि हमारी .e01 छवि अब PhysicalDrive3 है



4. तो, आपको बस एक वीएम शुरू करने और कुछ आईटी जादू देखने की आवश्यकता है



लिनक्स भाग

1. .e01 छवियों को संलग्न करने के लिए उपयोग करने वाला अधिकतर विशिष्ट उपकरण ewfmount.py स्क्रिप्ट है। लेकिन एक कठिन सीमा है - यह छवि केवल-पढ़ने के लिए मोड में संलग्न है । यह वर्चुअल मशीन के लिए अनुपयुक्त है। इसलिए हम xmount कमांड का उपयोग करेंगे:

sudo xmount --in ewf <path_to_image> --cache <path_to_cache_file> --out vdi <path_to_mount_point> 

हमारे लिए xmount की मुख्य विशेषताएं - यह रीड-राइट मोड में इमेज को माउंट करता है और यह इनपुट पर बहुत सारे इमेज टाइप कर सकता है। आप यहां xmount सिंटैक्स की जांच कर सकते हैं ।



2. ठीक है, अब हमारे पास / mnt / windows_mount में एक .vdi छवि है

3. चलो एक वर्चुअलबॉक्स खोलें और एक प्राथमिक डिस्क के रूप में हमारी .vdi छवि (मौजूदा डिस्क चुनें) के साथ एक नया वीएम बनाएं



4. अंत में बस VM को बूट करें और आनंद लें!