Disk-Image-Inspektor für VHD, VMDK, QCOW2, ISO

Indem es liest, was die Datei über sich selbst sagt, statt wie sie heißt. Jedes der neun Containerformate hinterlässt ein erkennbares Zeichen: Ein VHD erkennt man an der Conectix-Fußzeile am Dateiende, ein DMG an seinem UDIF-Anhang, ein E01 am EWF-Kopf, und QCOW2, VHDX, VMDK sowie ISO an ihren eigenen Signaturen nahe dem Anfang. Deshalb wird ein in .img umbenanntes oder ganz ohne Endung geladenes Abbild trotzdem richtig erkannt — und deshalb bekommt eine Datei, die sich für das eine ausgibt und etwas anderes ist, den Namen dessen, was sie wirklich ist.

Nein. Der Inspektor erstellt nur einen Fingerabdruck des Dateisystems aus dem Superblock zur Typ-Identifikation (FAT, NTFS, ext4 usw.). Inhalts-Lesen ist Aufgabe von /iso-extractor für ISO/UDF; andere Dateisysteme werden nicht gemountet.

Nein — und deshalb geht die Untersuchung eines großen Abbilds schnell. Alles, woraus der Bericht entsteht, liegt an festen Stellen: die Containersignatur am Anfang oder Ende, der MBR im ersten Sektor, die GPT gleich dahinter und der Superblock jedes Dateisystems an einem bekannten Versatz innerhalb seiner eigenen Partition. Das zu lesen heißt: ein paar über die Datei verstreute Kilobyte statt eines Durchlaufs durch alles. Ein 200-GB-VMDK wird daher so schnell beschrieben wie ein 700-MB-ISO, und die Antwort ist da, bevor eine Kopie der Datei überhaupt angelaufen wäre.

Wir parsen und zeigen den Backing-Datei-Pfad im Header; externe Backing-Dateien verfolgen wir nicht, da sie typischerweise auf einem Server liegen, auf den Sie keinen Zugriff haben. Der Header-Parse allein reicht für die meisten forensischen Inventuraufgaben.

Bestätigen, dass eine heruntergeladene Linux-ISO die richtige Edition ist, bevor Sie einen USB-Stick flashen; ein vom Hersteller geliefertes VHDX gegen die veröffentlichte Prüfsumme vergleichen, bevor Sie es auf einem Hypervisor ausrollen; in ein forensisches E01-Image schauen, um Partitionen zu kartieren, bevor Sie es in Autopsy oder FTK öffnen; einen QCOW2-Snapshot stichprobenartig auf die erwartete Backing-Datei prüfen; ein vom Kunden geliefertes DMG vor dem Ausführen verifizieren.

Format, Größe, alle Hashes, vollständige MBR/GPT-Tabelle mit dekodierten GUIDs, Dateisystem-Typ pro Partition und formatspezifische Header-Felder. Client-seitig als JSON oder TXT erzeugt.

Erkennt sie (FVE-FS-Signatur für BitLocker, LUKS-Magic für LUKS) und zeigt den Verschlüsselungstyp, entschlüsselt aber nicht. Entschlüsselung erfordert Schlüssel/Passwort, was nicht in den Aufgabenbereich eines Inspektors fällt.

Ja — bei erkannter ISO9660- oder UDF-Partition kann der Inspektor dasselbe Image an /iso-extractor übergeben, beschränkt auf diese Partition (geplant für v2).