Inspetor de imagem de disco: VHD, VMDK, ISO
Ferramenta para inspecionar imagens de disco diretamente no seu navegador. Detecta ISO, IMG, VHD, VHDX, VMDK, QCOW2, DMG e E01 por assinatura, parseia tabelas de partição MBR e GPT, identifica filesystems em cada partição, parseia o cabeçalho específico do formato e calcula MD5, SHA-1 e SHA-256 da imagem inteira em streaming.
Como inspecionar uma imagem de disco
Qualquer ISO, IMG, VHD, VHDX, VMDK, QCOW2, DMG, E01 ou raw dd. Detecção por magic bytes, não extensão.
Formato, tamanho, tabela de partições, filesystem por partição e campos do cabeçalho aparecem imediatamente.
Clique Calcular hashes para fazer streaming MD5/SHA-1/SHA-256 em uma passada.
JSON para tooling ou TXT para colar rapidamente.
Leia MBR, GPT, filesystem e cabeçalho de VHD, VMDK, QCOW2 e ISO
Por que este inspetor supera as alternativas desktop
Inspetor — perguntas comuns
Como ele sabe o formato se a extensão está errada?
Lendo o que o arquivo diz de si mesmo, e não como ele se chama. Cada um dos nove formatos de contêiner deixa uma marca identificável: um VHD é reconhecido pelo rodapé Conectix no fim do arquivo, um DMG pelo seu trailer UDIF, um E01 pelo cabeçalho EWF, e QCOW2, VHDX, VMDK e ISO pelas próprias assinaturas perto do início. É por isso que uma imagem renomeada para .img ou baixada sem extensão nenhuma continua sendo identificada corretamente — e por isso um arquivo que se apresenta como uma coisa e é outra recebe o nome do que ele de fato é.
Vai montar o filesystem e ler meus arquivos?
Não. O inspetor apenas faz fingerprint do filesystem a partir do seu superblock para identificar o tipo. Ler conteúdo é o trabalho do /iso-extractor para ISO/UDF; outros filesystems não são montados.
Ele precisa ler a imagem inteira?
Não, e é isso que torna rápida a inspeção de uma imagem grande. Tudo de que o relatório é feito fica em lugares fixos: a assinatura do contêiner no início ou no fim, o MBR no primeiro setor, a GPT logo depois, e o superbloco de cada sistema de arquivos num deslocamento conhecido dentro da sua própria partição. Ler isso significa alguns quilobytes espalhados pelo arquivo e não uma passagem por tudo. Então um VMDK de 200 GB é descrito tão rápido quanto um ISO de 700 MB, e a resposta chega antes de uma cópia do arquivo ter sequer começado.
Como o parser QCOW2 trata backing files?
Parseamos e exibimos o caminho do backing file no cabeçalho; não buscamos backing files externos porque normalmente estão num servidor que você não tem acesso. O parse do cabeçalho sozinho é suficiente para a maior parte das tarefas de inventário forense.
Cenários comuns em que isso é útil
Confirmar que uma ISO Linux baixada é a edição certa antes de gravar num USB; comparar um VHDX fornecido pelo fornecedor contra o checksum publicado antes de implantar num hypervisor; espiar dentro de uma imagem forense E01 para mapear partições antes de abri-la no Autopsy ou FTK; conferir um snapshot QCOW2 para ver qual backing file ele espera; verificar um DMG enviado por cliente antes de executá-lo.
O que contém o relatório?
Formato, tamanho, todos os hashes, tabela MBR/GPT completa com GUIDs de partição decodificadas, tipo de filesystem por partição e campos do cabeçalho específico do formato. Gerado client-side como JSON ou TXT.
Vai abrir discos criptografados (BitLocker, LUKS)?
Detecta-os (assinatura FVE-FS para BitLocker, magic LUKS para LUKS) e mostra o tipo de criptografia, mas não descriptografa. Descriptografar requer a chave/senha, fora do escopo de um inspetor.
Posso abrir a partição de dados no /iso-extractor?
Sim — quando uma partição ISO9660 ou UDF é detectada, o inspetor pode entregar a mesma imagem ao /iso-extractor com escopo nessa partição (planejado para v2).
Podemos — e é! Envie uma mensagem rápida com sua ideia. Se quiser discutir em detalhes, deixe seu email e entraremos em contato. Pode ser anônimo.
