Linux 取证135 条

镜像的只读环回挂载

对采集好的镜像做环回挂载时固定只读选项：losetup -r 与挂载的 ro、noatime 组合，防止分析操作写回镜像文件。

定位	losetup -r -f --show 镜像得到只读环回设备
挂载	-o ro,noatime；有分区偏移时用 offset 区块乘 512

只读挂载

sudo losetup -r -f --show /evidence/disk.dd
sudo mount -o ro,noatime,offset=$((2048*512)) /dev/loop0 /mnt/img
mount | grep /mnt/img

用 mount -o loop,offset= 一步挂载也可以，核心是 ro 与偏移正确。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌