Анализ образа диска сценария оболочки

Question

Я начинающий программист, и я пытаюсь научиться успешно монтировать образ диска и анализировать его, но не могу найти какие-либо руководства в Интернете или упоминания на веб-страницах. Я поставил перед собой задачу, поскольку я собираюсь в следующем году присоединиться к курсу компьютерной криминалистики, и считаю, что эти навыки помогут мне начать работу.

Это код, который я сделал до сих пор, но я застрял. Я хочу, чтобы скрипт мог извлекать данные истории команд для всех пользователей, а также регистрировать успешные и неудачные попытки входа в систему из файлов журнала, таких как /var/log/wtmp,

Я не ищу кого-то, кто бы закончил код (поскольку это было бы контрпродуктивно), но чтобы указать мне на подсказки и советы, руководства и учебные пособия, чтобы преодолеть эти ранние стадии программирования.

#!/bin/bash
mount="/myfilesystem"

if grep -qs "$mount" /proc/mounts; then
  echo "It's mounted."
else
  echo "It's not mounted."
  mount "$mount"
  if [ $? -eq 0 ]; then
   echo "Mount success!"
  else
   echo "Something went wrong with the mount..."
  fi
fi


sudo fdisk -l | grep/bin /sbin

Answer 1

Для монтирования файловой системы вам нужно как минимум два аргумента.

1. Файл образа или блочное устройство для монтирования и
2. Место, где монтировать его в вашей файловой системе

Итак, если вы хотите подключить какой-либо внешний USB-накопитель, который, например, отображается как /dev/sda и имеет один раздел (sda1), вам необходимо сделать следующее:

1. Найдите или создайте каталог для монтирования вашего устройства (самый простой как root), скажем, вы создали каталог / root / mountpoint
2. Выполните команду монтирования: mount /dev/sda1 /root/mountpoint

Затем вы можете перейти в смонтированную файловую систему cd /root/mountpoint и оглянись вокруг.

Так же, как примечание: для судебной экспертизы вы всегда должны рисовать изображение с устройства (например, dd if=/dev/sda1 of=/root/disk.img), чтобы избежать уничтожения каких-либо доказательств, а затем смонтировать его через драйвер цикла (losetup /dev/loop1 /root/disk.img; mount /dev/loop1 /root/mountpoint).

Надеюсь, что это дает вам подсказку, чтобы начать все сначала...