[대학원] 침해사고 이미지 분석-2 (vmware 이미지 encase 마운트하기)

encase 써본적은 없지..침해사고 이미지를 어떻게 마운트 시켜야하나 고민도 되고 했는데..

검색해보니 아래 블로그가 있네..테스트 해봐야하는데..ㅋㅋㅋ

기록 차원에서 남겨 놓는다.

1. encase 분석 시스템에 real 일 경우

VMware 디스크 이미지 마운트

 

2. encase 분석 시스템도 vmware일 경우

- 피해시스템에 용량이 부족하여 원격 시스템으로 dd 이미지를 넘기는 방법

dd if=/dev/sda1 bs=512  | (ssh root@192.168.100.8 dd of=/root/Desktop/evidence_imgae.img)

- 해당 이미지를 분석 vmware로 이동..

또 다른 원격 방법

# nc -l -p 10000 > target.hdd2.dd (원격지에서..)

# dd if=/dev/hda2 bs=512 | nc 원격지 주소 10000 -w 3

-l (Listen mode)

-p 10000 ( 10000 포트 사용)

-w (time out, 마지막 읽고 난 뒤 종료할 시간 설정)