Перейти до змісту

Монтування образів дисків

juntei mount надає доступ до файлів образу диска VHDX / E01 / Ex01 через каталог лише для читання протягом своєї роботи. Hayabusa, Juntei та інші інструменти можуть аналізувати їх без розпакування й прав root. Функція використовує FUSE та працює в Linux. Модуль читання та бібліотека монтування підтримуються в ys-vhdx-parser.

mkdir /mnt/host1
juntei mount host1-triage.vhdx /mnt/host1

В іншому терміналі:

hayabusa dfir-timeline -d /mnt/host1 -o host1-hayabusa.csv
juntei auto-parse -d /mnt/host1 -o host1-juntei

Щоб відмонтувати образ, натисніть Ctrl+C у першому терміналі або виконайте fusermount3 -u /mnt/host1.

Що показує монтування

  • У точці монтування відображаються файли тому NTFS. Зібраний образ може містити каталоги C і LongFileNames та метадані тому, наприклад $MFT. Кілька томів NTFS відображаються як Volume1, Volume2 тощо.
  • Кожен файл доступний лише для читання й належить власникові точки монтування. Позначки часу файлів — це позначки часу NTFS $STANDARD_INFORMATION.
  • Імена перелічуються так, як їх зберігає NTFS, і шукаються за точним збігом. Імена DOS 8.3 та альтернативні потоки даних не показуються.
  • Стиснені файли розпаковуються (до 1 ГіБ кожен). Файли, зашифровані EFS, прочитати неможливо.

Докази не змінюються

Образ відкривається лише для читання, а монтування відхиляє запис. Для некоректно закритого VHDX відкладений журнал застосовується в пам'яті й ніколи не записується назад. Деякі компоненти DiscUtils залишають нульовими інструкцію переходу й сигнатуру 55 AA у завантажувальному секторі NTFS; Juntei читає такі томи без змін.

Використання

Version: 1.1.0 (CODE BLUE Release)
Yamato Security (https://github.com/Yamato-Security/juntei - @SecurityYamato)

Usage:
  juntei mount <IMAGE> <MOUNTPOINT> [OPTIONS]

Input:
  <IMAGE>       The disk image (VHDX or E01; a split E01 image from its first segment)
  <MOUNTPOINT>  An existing directory to mount its NTFS volumes at, read-only, until Ctrl+C

General Options:
  -h, --help  Show the help menu

Display Settings:
  -K, --no-color  Disable color output
  -q, --quiet     Quiet mode: do not display the launch banner

Нативний аналіз образів

З --vhdx команда auto-parse читає VHDX нативно в Linux, macOS і Windows через ys-vhdx-parser. Системне монтування, FUSE та права адміністратора не потрібні.

# A directory of images, searched recursively
juntei auto-parse -d /cases/vhdx --vhdx -o parsed
# One image
juntei auto-parse -d host1.vhdx --vhdx -o parsed -j timeline.jsonl

Парсерам потрібні шляхи: Juntei копіює файли, які читають парсери, у приватний тимчасовий каталог з обмеженими буферами: кущі реєстру та їхні журнали транзакцій, файли метаданих NTFS, бази даних, файли Prefetch, ярлики, Jump Lists, файли Outlook і папки карантину Defender. Кожен інший файл стає порожнім заповнювачем з початковим часом зміни, тож каталоги й шляхи виглядають так само, як на диску. persistence-hunter читає вміст заповнювача з образу лише тоді, коли він потрібен, наприклад виконуваний файл, на який вказує запис персистентності. Потрібне місце для скопійованих файлів, окрім результатів. Нульові області записуються як розріджені, якщо це підтримується. Зберігаються імена, структура, жорсткі посилання та час зміни. Часи джерел LNK і Jump Lists беруться зі знімка оригінальних метаданих NTFS, ніколи з тимчасових копій. Нормальне завершення, навіть з помилками парсерів, видаляє копії; примусове завершення може залишити їх. Джерело лише для читання; незастосований журнал VHDX відтворюється тільки в пам’яті.

Пошук хостів, CSV/JSON/JSONL і -j використовують звичайний конвеєр. Image у manifest.json позначає оригінальний образ, EvidenceRoot — внутрішній відносний шлях. Помилки читання й небезпечні імена записуються в ImageErrors та рядки помилок manifest.csv. Читабельні результати зберігаються; неповний ввід повертає код 1. Небезпечні чи неоднозначні імена не перейменовуються. Іменовані потоки NTFS не видобуваються як окремі файли; артефакти, зібрані як звичайні файли, доступні.

Окрема команда mount надає файлову систему іншим програмам і досі потребує Linux FUSE. auto-parse --vhdx її не використовує.

Тимчасове копіювання за замовчуванням використовує приватний каталог у файловій системі результатів. Через --temp-dir можна вибрати наявний каталог на іншому диску. Вихідні метадані зберігаються окремо у файловій системі результатів, тому заповнення диска копій не заважає розбору вже читабельних файлів. Залишайте місце і для копій, і для результатів; заповнений вихідний том не дозволяє зберігати результати. Ctrl+C зупиняє процеси, очищує приватний каталог і завершує роботу з кодом 130. SIGKILL або втрата живлення можуть залишити копії. Під час пошуку образів нечитабельні підкаталоги пропускаються; нечитабельний кореневий каталог введення залишається помилкою.

Каталог тимчасового копіювання має бути поза каталогом результатів. У Linux і macOS сигнали SIGTERM та SIGHUP також зупиняють процеси розбору й очищують робочий каталог.

juntei auto-parse --vhdx -d evidence.vhdx -o parsed --temp-dir /large-disk/work

Образи дисків E01 та Ex01

--e01 нативно читає фізичні образи EWF1 (.E01) та EWF2 (.Ex01) у Linux, macOS і Windows, без FUSE, системного монтування чи прав адміністратора. Використовуються ys-e01-parser і той самий описаний вище процес розбору NTFS.

Для розділеного образу вкажіть перший сегмент. Зберігайте всі пов’язані файли, зокрема .E02, поруч із початковими назвами. Підтримуються цілі диски (MBR/GPT) та окремі томи NTFS. Для змішаних каталогів використовуйте --vhdx --e01.

Вимоги до тимчасового місця й вихідних метаданих такі самі. Образи E01 зазвичай містять увесь диск, а всі образи готуються до початку аналізу, але копіюються лише файли, які читають парсери, — зазвичай невелика частина зайнятого місця. Образи відкриваються лише для читання. Прогалини збору та пошкодження, знайдені під час відкриття або читання, записуються в ImageErrors і manifest.csv; читабельні результати зберігаються, код завершення — 1. Перевіряються прочитані дані, а не всі блоки чи хеш усього носія. Логічні файли .L01 і .Lx01 відхиляються; параметра пароля немає.

Окрема команда mount досі потребує Linux FUSE; нативний автоматичний розбір — ні.

juntei auto-parse --e01 -d evidence -o parsed
juntei auto-parse --e01 -d disk.E01 -o parsed
juntei auto-parse --vhdx --e01 -d evidence -o parsed -j timeline.jsonl

Вимоги до монтування, видимого ОС

juntei mount потребує Linux FUSE 3 (fusermount3) і доступу до /dev/fuse. У Windows і macOS використовуйте нативний аналіз вище.