mmls | Forensicist

名前

mmls - ボリュームシステム(パーティションテーブル)のパーティションレイアウト情報を表示する

書式

mmls [-t mmtype ] [-o offset ] [ -i imgtype ] [-b dev_sector_size [-BrvV] [-aAmM] image [images]

説明

mmlsはパーティションテーブルやディスクラベルを含むボリュームシステムのパーティションレイアウト情報を表示する。

引数

-t mmtype: メディア管理タイプを指定する。引数に"-t list"を指定するとサポートされているタイプのリストを表示する。このオプションが与えられなければ、自動検出を実行する。
-o offset: パーティションシステムの開始が含まれるボリュームをイメージ内のオフセットで指定する。パーティションシステムの相対的なオフセットがこの値に加えられる。
-b dev_sector_size: デバイスのセクタサイズをバイト値で指定する。このオプション指定がない場合はイメージフォーマットで利用されている値か512が指定される。
-i imgtype: イメージファイルのタイプをrawのように指定する。引数に"-i list"を指定するとサポートされているタイプのリストを出力する。このオプションが与えられなければ、自動検出を実行する。
-B: パーティションサイズ(バイト単位)の列を含める。
-r: DOSパーティション内にある他のパーティションテーブルを再帰的に探す。この設定はx86システムにインストールされているUnixでたびたび発生する。
-v: 標準出力にデバッグ用の冗長出力を行う。
-V: バージョン情報を表示する。
-a: 割当済のボリュームを表示する。
-A: 未割当のボリュームを表示する。
-m: ボリュームのメタデータを表示する。
-M: ボリュームのメタデータを隠す。
image [images]: -iオプションで指定されたフォーマットのディスクイメージまたはパーティションイメージを指定する。イメージが複数のセグメントに分割されていればそれらのファイル名を指定してもよい。もしファイルが1つだけ指定されて、それが連続するファイルの先頭(例えばファイル名の最後が'.001')であれば、イメージのセグメントは自動的に読み込まれる。

'mmls'はLinuxの'fdisk -lu'と若干異なるがよく似ている。すなわち、隠しデータを探すためにどのセクタが使用されていないかを表示する。また、ddでより簡単にパーティションを抽出できるように長さも与えられる。FreeBSD, OpenBSD,NetBSDではBSDディスクラベルを表示してシリンダではなくセクタで出力する。なお、これはLinuxでないシステムでも動作する。 -a, -A, -m, -Mのいずれも与えられなければ全てのボリュームタイプが表示される。いずれかが与えられればコマンドラインで指定されたタイプのみが表示される。割当済ボリュームはボリュームシステムのパーティションテーブルに表示されるボリュームであり、データを格納できる。未割当ボリュームはボリュームに割り当てられていないセクタを表示するためにmmlsによって仮想的に作成される。ボリュームのメタデータは割当済、未割当のボリュームを重ねて、パーティションテーブルとその他のメタデータ構造が配置されている場所を記述する。ボリュームシステムによっては、これらの構造は割当済領域にあるものもあれば未割当領域にあるものもあるし、パーティションテーブルに明示的に与えられているものもあればそうでないものもある。

例

自動検出を使ってWindowsシステムのパーティションテーブルをリストする。
# mmls disk_image.dd

分割されたイメージの12345番セクタから開始するBSDシステムのコンテンツをリストする。
# mmls -t bsd -o 12345 -i split disk-1.dd disk-2.dd

著者

Brian Carrier <carrier at sleuthkit dot org>