Как я нахожу смещение ext4 файловой системы?

Выскажите предположение как, туда, где раздел запускается, и примените некоторую грубую силу:

bsz=512 # or 1024, 2048, 4096 higher = faster

for i in {2..10000000}; do
    echo "--->$i<---"
    mount -o offset=$(($bsz*$i)) -t ext4 /dev/whatever /mnt/foo
    if [ $? == 0 ]; then # whahoo!
        echo Eureka
        break
    fi
done

Я предполагаю, что это могло занять время, но если Вы уже провели 6 часов с испытательным стендом, возможно, это стоит попытки.

Это не тестируется, но я думаю, что можно использовать метод, обсужденный в этом SU названные Вопросы и ответы: Обратный поиск inode/file от смещения в неструктурированном устройстве на Linux и ext3/4?.

Похоже, что можно использовать inode файла + дисковое смещение + размер блока для определения смещения файла.

Сначала нужно смонтировать debugfs (а не неисправный жесткий диск):

http://johnsofteng.wordpress.com/2013/11/20/sysfs-procfs-sysctl-debugfs-and-other-similar-kernel-interfaces/

http://afzalkhanlinuxtalk.wordpress.com/2013/08/07/how-to-recover-deleted-file-in-linux/comment-page-1/#comment-8

http://blesseddlo.wordpress. com/2010/10/12/using-debugfs/

и вот fsck.ext4:

http://linuxexpresso.wordpress. com/2010/03/31/repair-a-broken-ext4-superblock-in-ubuntu/

Другой - "sleuthkit" ("sudo apt-get install sleuthkit"), который имеет команду типа "istat" для предоставления блокам информации об inodes - из которой вы можете получить смещение и, таким образом, легко заблокировать содержимое данных.

https://www.ibm.com/developerworks/cn/linux/l-cn-ext4resize/

(BTW, если размер блока 1024, то из команды debugfs "show_super_stats" следует, что блок 1 - это смещение в 1024 байта от начала диска, и каждая группа блоков тоже может иметь несколько блоков)[117783].

Основываясь на ответе @ derobert , я написал программу ( gist ), которая будет анализировать входной поток из dd и сканировать каждый сектор в поисках чего-то, что выглядит как начало раздела ext.

Он будет работать так же быстро, как dd может читать с вашего жесткого диска. Сокращенная версия ниже.

Самый простой вариант использования - sudo dd if = / dev / xxx | ext2scan , хотя вы, вероятно, захотите изменить команду dd , чтобы улучшить размер блока или выбрать область для поиска.

#include <unistd.h>
#include <stdio.h>
#include <string.h>

int main() {
  unsigned char const MAGIC[2] = {0x53, 0xef};
  unsigned char const ZEROS[512] = {0};

  long long int sector = 0;

  char buf[4][512];
  int empty1, empty2;

  while (read(STDIN_FILENO, buf[sector&3], 512) > 0) {
    if (!memcmp(buf[sector&3] + 0x38, MAGIC, 2)) {
      printf("Found a possible ext2 partition at sector %lld", sector-2);

      empty1 = !memcmp(buf[(sector-2)&3], ZEROS, 512);
      empty2 = !memcmp(buf[(sector-1)&3], ZEROS, 512);

      if (empty1 && empty2) printf(" (first two sectors are empty :)\n");
    }
    sector++;
  }
}

Примечание: он обнаружит не только начало разделов, но и суперблоки в них.

В любом случае я бы рекомендовал использовать dumpe2fs для анализа результатов. Вы можете сбросить начало предполагаемого суперблока в файл (по крайней мере, первые шесть секторов, согласно моему неофициальному тесту), и если это суперблок, то dumpe2fs сообщит вам (среди прочего) относительное расположение других суперблоков.

У меня был образ прошивки электронной -книги, который включал образ раздела ext3fs, чтобы смонтировать и отредактировать его, мне пришлось сканировать образ с помощью инструмента bgrep , чтобы найти все позиции магического числа ext3fs 0x53EFи попробуйте смонтировать, используя найденные смещения.

Вот укороченный скрипт, выполняющий монтирование:

#!/bin/sh
FW_IMAGE=$1
MOUNT_POINT=$2

FS_TYPE=ext3
EXTFS_MAGIC_NUM=53ef
MAGIC_OFFSET=1080

OFFSETS=`bgrep $EXTFS_MAGIC_NUM $FW_IMAGE | awk '{print toupper($NF)}'`
for OFFSET in $OFFSETS; do
  OFFSET=`echo "ibase=16; $OFFSET" | bc`
  OFFSET=`expr $OFFSET - $MAGIC_OFFSET`
  sudo mount -t $FS_TYPE -o loop,offset=$OFFSET $FW_IMAGE $MOUNT_POINT 2>/dev/null
  if [ $? -eq 0 ]; then
    echo "Success!  Offset is: $OFFSET."
    break
  fi
done

Полный скрипт находится здесь .