Exacte kopie schijf

[Verwijderd]

Hallo,

Ik moet voor school een forensische kopie maken van een harde schijf, dit doen we via backtrack 2 of 3 in vmware. alleen het lukt mij niet, de md5sum is steeds anders en de ene schijf is net iets groter dan de ander naar de copy, dit is wat ik gedaan heb.
- Schijf toegevoegd in vmware (De orginele schijf die gekopieerd moet gaan worden)
- Een nieuwe schijf toegevoegd (leeg)
- commando voor copy dd if=/dev/sdc of=/dev/sdb’ (sdc is de orginele schijf, sdb de lege)
- daarna fdisk ingetypt en alleen opgeslagen gedaan dus met de optie w
- schijven gemount
- en toch verschillend

wie helpt mij met het maken van een exacte kopie?

[freyk]

kijk eens naar clonezilla

[Verwijderd]

dat is met software, we moeten het met commando's doen

[sh4d0wman]

Kijk hier eens even voor meer info http://www.crazytrain.com/dd.html

Probeer dus eens dd if=/dev/sdc of=/dev/testimage
Doe daarna md5sum /dev/sdc en daarna md5sum /dev/testimage
Als het goed is zal de md5 string hetzelfde zijn.

Mag je ook geen FTK Imager gebruiken?

offtopic:
Welke opleiding volg je?

[Kees]

Verwijderd schreef op zondag 08 maart 2009 @ 16:51:
dat is met software, we moeten het met commando's doen

en dd en fdisk zijn geen commando's?

Maar inderdaad, ik zou het naar een file dd-en, en die file dan met -oloop mounten als je erbij wil

[Verwijderd]

opleiding: Particulier Digitaal Onderzoeker

nee, moet echt met commando's
maar wat het probleem is, als ik dus een copy maak dan is die schijf niet te benaderen, met fdisk moet je die tabel aanmaken maar dat doet hij dus niet vanzelf, of weet iemand een andere oplossing

[RobIII]

Kees schreef op zondag 08 maart 2009 @ 17:05:
[...]

en dd en fdisk zijn geen commando's software?

[RemcoDelft]

Dat doe ik altijd simpelweg met "cat": `cat /dev/sda > file.iso`
Hierbij moet de disk natuurlijk niet gemount zijn!

Maar bij het woord "forensische kopie" denk ik eerder aan een wat uitgebreidere hardwareanalyse, waarbij ook verwijderde en overschreven sectoren worden teruggehaald.

[ Voor 10% gewijzigd door RemcoDelft op 08-03-2009 17:22 ]

[Paultje3181]

wat jij nu doet is een lege schijf aanmaken, welke volgens mij nooit precies gelijk is. Als je met dd naar een image schrijft zou je deze gewoon moeten kunnen mounten, maar op het moment dat je alles dd't naar de sdb (zoals jij dus), krijg je een net andere md5 omdat de schijven niet identiek zijn. Je kunt wel: sdb maken (iets groter dan sdc), met fdisk partitioneren en daar de image opzetten. Dat zou moeten werken...

[frapex]

Verwijderd schreef op zondag 08 maart 2009 @ 17:07:
opleiding: Particulier Digitaal Onderzoeker

nee, moet echt met commando's
maar wat het probleem is, als ik dus een copy maak dan is die schijf niet te benaderen, met fdisk moet je die tabel aanmaken maar dat doet hij dus niet vanzelf, of weet iemand een andere oplossing

hdparm -z /dev/sdX
-z re-read partition table

Je kan ook rebooten

[Rainmaker]

Komt dat verschil in grootte niet gewoon omdat je de MBR e.d. meekopieert?

Als je nou alleen de partitie kopieert?

dus
dd if=/dev/sda1 of=/mnt/grooteschijf/kopie.img

Daarna backtrack o.i.d. loslaten op de kopie.img.

[Jaap-Jan]

Het verschil in md5sum kan ook ergens anders door komen. Als beide schijven niet exact even groot zijn, blijft er aan het eind van de schijf nog een stukje willekeurige data over. Die wordt meegenomen in de md5sum, die dus verschilt van het origineel. Je zou ook gewoon sector-voor-sector kunnen met 'cmp'.

[ Voor 4% gewijzigd door Jaap-Jan op 08-03-2009 21:20 ]

[DukeBox]

Verwijderd schreef op zondag 08 maart 2009 @ 16:43:
...een forensische kopie maken van een harde schijf...

Dat kan niet met standaard tools, deze kopieren alleen de huidige status van een hdd. Bijv. bit history wordt dan al niet meegenomen net als de inhoud van cache.

[lordgandalf]

Heeyz een mede digitaal onderzoeker.
Het is waarschijnlijk idd zo dat je twee verschillende groottes hebt van virtuele schijven en dus ook verschillende checksums hebt.
het is verstandiger denk ik om ipv direct van disk naar disk te kopieren om van disk naar file te kopieren en deze file dan te mounten via loop.
dan verkrijg je een exact resultaat.