Inspetor de imagem de disco: VHD, VMDK, ISO
Ferramenta para inspecionar imagens de disco diretamente no seu navegador. Detecta ISO, IMG, VHD, VHDX, VMDK, QCOW2, DMG e E01 por assinatura, parseia tabelas de partição MBR e GPT, identifica filesystems em cada partição, parseia o cabeçalho específico do formato e calcula MD5, SHA-1 e SHA-256 da imagem inteira em streaming.
Como inspecionar uma imagem de disco
4 passosQualquer ISO, IMG, VHD, VHDX, VMDK, QCOW2, DMG, E01 ou raw dd. Detecção por magic bytes, não extensão.
Formato, tamanho, tabela de partições, filesystem por partição e campos do cabeçalho aparecem imediatamente.
Clique Calcular hashes para fazer streaming MD5/SHA-1/SHA-256 em uma passada.
JSON para tooling ou TXT para colar rapidamente.
Leia MBR, GPT, filesystem e cabeçalho de VHD, VMDK, QCOW2 e ISO
Por que este inspetor supera as alternativas desktop
Inspetor — perguntas comuns
Como ele sabe o formato se a extensão está errada?
Lendo o que o arquivo diz de si mesmo, e não como ele se chama. Cada um dos nove formatos de contêiner deixa uma marca identificável: um VHD é reconhecido pelo rodapé Conectix no fim do arquivo, um DMG pelo seu trailer UDIF, um E01 pelo cabeçalho EWF, e QCOW2, VHDX, VMDK e ISO pelas próprias assinaturas perto do início. É por isso que uma imagem renomeada para .img ou baixada sem extensão nenhuma continua sendo identificada corretamente — e por isso um arquivo que se apresenta como uma coisa e é outra recebe o nome do que ele de fato é.
Vai montar o filesystem e ler meus arquivos?
Não. O inspetor apenas faz fingerprint do filesystem a partir do seu superblock para identificar o tipo. Ler conteúdo é o trabalho do /iso-extractor para ISO/UDF; outros filesystems não são montados.
Ele precisa ler a imagem inteira?
Não, e é isso que torna rápida a inspeção de uma imagem grande. Tudo de que o relatório é feito fica em lugares fixos: a assinatura do contêiner no início ou no fim, o MBR no primeiro setor, a GPT logo depois, e o superbloco de cada sistema de arquivos num deslocamento conhecido dentro da sua própria partição. Ler isso significa alguns quilobytes espalhados pelo arquivo e não uma passagem por tudo. Então um VMDK de 200 GB é descrito tão rápido quanto um ISO de 700 MB, e a resposta chega antes de uma cópia do arquivo ter sequer começado.
Como o parser QCOW2 trata backing files?
Parseamos e exibimos o caminho do backing file no cabeçalho; não buscamos backing files externos porque normalmente estão num servidor que você não tem acesso. O parse do cabeçalho sozinho é suficiente para a maior parte das tarefas de inventário forense.
Cenários comuns em que isso é útil
Confirmar que uma ISO Linux baixada é a edição certa antes de gravar num USB; comparar um VHDX fornecido pelo fornecedor contra o checksum publicado antes de implantar num hypervisor; espiar dentro de uma imagem forense E01 para mapear partições antes de abri-la no Autopsy ou FTK; conferir um snapshot QCOW2 para ver qual backing file ele espera; verificar um DMG enviado por cliente antes de executá-lo.
O que contém o relatório?
Formato, tamanho, todos os hashes, tabela MBR/GPT completa com GUIDs de partição decodificadas, tipo de filesystem por partição e campos do cabeçalho específico do formato. Gerado client-side como JSON ou TXT.
Vai abrir discos criptografados (BitLocker, LUKS)?
Detecta-os (assinatura FVE-FS para BitLocker, magic LUKS para LUKS) e mostra o tipo de criptografia, mas não descriptografa. Descriptografar requer a chave/senha, fora do escopo de um inspetor.
Posso abrir a partição de dados no /iso-extractor?
Sim — quando uma partição ISO9660 ou UDF é detectada, o inspetor pode entregar a mesma imagem ao /iso-extractor com escopo nessa partição (planejado para v2).
Podemos! Envie uma mensagem rápida com sua ideia. Se quiser discutir em detalhes, deixe seu email e entraremos em contato. Pode ser anônimo.