2011-04-30

Knoppix para Analizar LVM

Necesitaba analizar un disco duro que estaba presentando problemas y estaba instalado como LVM en CentOS, por que al ingresar en modo rescate y ejecutar el fsck nos indica que el superbloque no es permitido para su análisis, entonces se podrán imaginar mi cara ya que había madrugado a hacer eso un sábado.

Mi compañero Felipe ya lo había hecho entonces lo llame y me comento que se necesitaba activar las LVM antes del ejecutar el fsck, para activarlas se usa vgchange o se revisa con lvscan, pero estas herramientas no están en modo rescate, por lo que como siempre mi salvador knoppix entro en acción y así lo realice.

Lo primero es entrar en modo Shell y después pasar a ser root con su -, una vez hecho esto se procede a montar la partición así

root@Microknoppix:~# mount /dev/sda2 /mount

Para ver si ya están activas se ejecuta el comando

root@Microknoppix:~#lvscan
ACTIVE     '/dev/LVM/raiz [25 GiB] inherit
ACTIVE     '/dev/LVM/var [55 GiB] inherit
ACTIVE     '/dev/LVM/home [35 GiB] inherit

Como pueden apreciar knoppix las activa inmediatamente, pero sino deben ejecutar el comando vgchange -ay /dev/sda2.

Bueno como ya están activas ahora se puede ejecutar el fsck sobre la partición LVM, así

root@Microknoppix:~# fsck -ycvf /dev/LVM/raiz

Y tener paciencia por que se demora un poco según el tamaño de la partición, esto con cada una de las particiones. Las opciones del fsck son para (f) forzar la corrección, (v) que me muestre el proceso, (y) indicarle que las respuestas siempre son yes y (c) que corrija los errores encontrados.

2011-04-08

Pasar ISO a una USB

En la oficina tenemos un Toshiba Satellite que parece que por BIOS no nos dejaba instalar ningún Linux desde la unidad de DVD, pero no íbamos a dejar eso así, entonces se nos ocurrió arrancar por USB, para lo que necesitabamos pasar la imagen de ISO a un sistema de arranque en USB.

Buscando Alan usaba un programa que se llama Unetbootin y que se instala

root@localhost:~# apt-get install unetbootin

Ya con esto se busca en Aplicaciones - Herramientas del Sistema - UNbootin y se ejecuta. lo que nos visualiza la siguiente ventana


Una vez envie a ejecutar el saca una advertencia que es


Se acepta esta resticción y el proceso de generar una partición de boot en la USB y de copiar la imagen del SO en este medio, lo cual se visualiza así


Una vez termine extraemos la USB y ya tenemos el sistema booteable en este dispositivo.

Espero les sirva.

2011-04-06

Recuperar Información

Mi novia revisando unas fotos en la cámara de un amigo de ella sin intención "elimino" todas las fotos que habían en la memoria y claro como su novio es un "duro" es eso de los sistemas entonces que si lo podía recuperar, yo tenia mi Laptop con Backtrack4 y me servía de practica entonces de una dije que si que yo revisaba.

Lo primero que se tiene que hacer es sacar una imagen de la memoria flash de la cámara, lo que se hace con el siguiente comando:

root@bt:~# dd if=/dev/sda3 of=/root/fotos

Esto crea una imagen bit a bit del contenido de la memoria en una archivo denominado fotos. Al ver el tipo de archivo que se genera nos indica que es un x86 boot, lo que se puede ver así

root@bt:~#file fotos
fotos: x86 boot sector

Ya con esto podemos montarlo para así analizarlo y poder rescatar la información, como es un archivo debemos montarlo como loop, de la siguiente forma

root@bt:~# mount -o loop /root/fotos /root/recuperar

Ya con esto podemos ver que se tiene en la memoria donde se ve las carpetas típicas que generan las cámaras pero ninguna foto.

El backtrack tiene una serie de herramientas forenses que se encuentran en Backtrack - Digital Forensis, en este vamos a usar foremost, por que este extrae muy bien los archivos tipo jpg y demás de fotos.

Al dar click se abre una consola donde se explican las opciones de este comando, pero pues yo lo había manejado pero no soy experto es su uso, así que use la forma más simple del comando que es así

root@bt:~# foremost -i /dev/loop0 -o /root/recuperado

El dispositivo es loop0 por que al montarlo con el comando que le dimos queda en esta ubicación  y el directorio recuperado es donde va a quedar todo lo que se pudo recuperar de la memoria.

El proceso se demora un poco pero bueno creo que en un momento de angustia no importa mucho si se demora. Una vez termino en el directorio quedo uno llamado jpg donde se puede ver lo siguiente

root@bt:~# ll recuperado/jpg/
total 300324
-rw-r--r-- 1 samuel samuel 4429971 2011-04-06 21:09 00002176.jpg
-rw-r--r-- 1 samuel samuel 4478183 2011-04-06 21:09 00010880.jpg
-rw-r--r-- 1 samuel samuel   53044 2011-04-06 21:09 00019648.jpg
-rw-r--r-- 1 samuel samuel   47997 2011-04-06 21:09 00019776.jpg
-rw-r--r-- 1 samuel samuel   38385 2011-04-06 21:09 00019869.jpg
-rw-r--r-- 1 samuel samuel   37131 2011-04-06 21:09 00019944.jpg
-rw-r--r-- 1 samuel samuel   39911 2011-04-06 21:09 00020017.jpg
-rw-r--r-- 1 samuel samuel   38413 2011-04-06 21:09 00020095.jpg
-rw-r--r-- 1 samuel samuel   38102 2011-04-06 21:09 00020170.jpg
-rw-r--r-- 1 samuel samuel   38608 2011-04-06 21:09 00020244.jpg
-rw-r--r-- 1 samuel samuel   38415 2011-04-06 21:09 00020330.jpg
-rw-r--r-- 1 samuel samuel   38304 2011-04-06 21:09 00020405.jpg
-rw-r--r-- 1 samuel samuel   38686 2011-04-06 21:09 00020480.jpg

Como ven se recupero la mayoría de las fotos y él dueño quedo feliz, espero que les sirva