Cosa succede dopo che abbiamo acquisito un disco in bitstream su file immagine?

In genere si comincia l'analisi del disco montando il file dd (raw), ewf o aff, ma ad un certo punto può esser utile virtualizzare l'immagine per tante ragioni, come per esempio lanciare i vari tools della Nirsoft, Sysinternals, lavorare con programmi proprietari istallati sulla macchina acquisita, guardare i processi in corso, ecc. ecc.

Fino a poco tempo fa, i sistemi per virtualizzare un file immagine erano quelli di:

1. Convertire il file in formato VDI o VMDK (VirtualBox o VMWare tanto per citare i due virtualizzatori più diffusi), occupando così altro spazio su hard disk e tanto tempo macchina.
2. Usare l'utilissimo LiveView, che evita la conversione e permette la virtualizzazione partendo direttamente dal file immagine in formato raw (dd).

LiveView però ha delle forti limitazioni:

1. Gira solo sotto Windows.
2. Usa VMWare e l'unica versione gratuita di VMWare server, accettata da LiveView, è rimasta la 1.0.qualcosa... ormai abbastanza vetusta.

Qualche tempo fa il buon Luigi Piciocchi (Caine-from-deb) mi parlò di XMOUNT, subito andai a verificare in maniera superficiale, istallandolo dal repository di Ubuntu e provai ad usarlo, ma non funzionava bene...

Poi ne parlai in chat con John Lehr, che subito dopo ha scritto un post sul suo blog e ieri riparlandone mi ha detto che dovevo scaricare xmount direttamente dal sito dei produttori, dato che quello preso dai repository Canonical (Ubuntu) era buggato.

Quindi ho  proceduto in questo modo:

https://www.pinguin.lu/index.php (download del pacchetto DEB)

Controlliamo di avere i requisiti necessari:

Per chi usa Linux

• Kernel 2.6.x
• FUSE library

Per chi usa Mac OSX

• OSX 10.5 or above
• MacFUSE

Verificare che il proprio utente (quello che useremo per lanciare la Virtual Machine) sia nel gruppo fuse (il root c'è di sicuro). In ogni caso si fa così:

$ sudo usermod -a -G fuse username

(dove username è il vostro utente linux) e poi editate il file /etc/fuse.conf e scommentate (togliere il #) la riga user_allow_other.

A questo punto basta creare una directory: es.

sudo mkdir /media/lab

poi lanciare il comando:

sudo xmount --in dd --out vdi --cache cache.dat disk.dd /media/lab

per creare il file disk.vdi nella cartella /media/lab.

Infine lanciamo VirtualBox e creiamo una nuova macchina virtuale, usando come disco il disk.vdi e tutto funziona!

La forza di questo sistema è che il file disk.vdi è solo "simbolico", perchè in realtà non occupa lo spazio che dice di occupare, personalmente ho virtualizzato un file di 200Gb su un disco che ne aveva solo 180Gb liberi.

Chiaramente nell'esempio riportato ho utilizzato un input raw ed un output su VirtualBox, ma potrei anche usare il formato ewf in input ed il formato VMWare in output e/o tutte le altre combinazioni tra VMWare/VirtualBox e i formati dd/ewf/aff.

Ieri pensavo a creare un'interfaccia grafica per XMount, ma John mi ha preceduto, lavorando mentre io dormivo (bella forza per lui era mattina!) e, scherzi a parte, ha realizzato una GUI con YAD, un'evoluzione di Zenity...la potete trovare qui, completa di file deb di xmount 0.4.4 e YAD 0.5.2-1: http://scripts4cf.sf.net

Buon lavoro!