| 设备 | blockdev --setro /dev/sdb |
|---|---|
| 挂载 | mount -o ro,noexec,nodev,nosuid <设备> <目录> |
示例
示例
blockdev --setro /dev/sdb
mount -o ro,loop,offset=$((2048*512)) disk.img /mnt/evidence
mount | grep /mnt/evidence挂载前先做整盘哈希；分析动作全部在副本上进行，原始介质保持封存。
只读挂载与写保护操作
取证分析前把设备或镜像置为只读，避免分析动作改变证据；blockdev --setro 与 mount -o ro 是两条基础手段。
易错点
- offset 以字节为单位，分区起始扇区需乘以 512
- 某些文件系统日志会在挂载时重放，只读挂载也可能产生写入，优先使用写阻断器或只读镜像
数据来源与参考
- man 8 mount（util-linux）
- man 8 blockdev（util-linux）