アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

ボリュームをエディタで直接見る

セキュリティキャンプではバイナリエディタとして Stirling を使いましたが、前提条件として dd で Fat ファイルシステムのイメージを作成して、それを閲覧することを想定しています。これだと、?サンプルのファイルを作成、?DDイメージの作成、?バイナリエディタで開く、と手順が多いので、HELIX に入っている FTK Imager を使うともう少し手軽でしょうか。
ただ、とりあえず Fat の構造を見るだけなら、直接ドライブの内容をバイナリで見えて、かつ編集できる方が簡単だと思いますが、無償で使えるエディタでドライブ指定可能なのってあるんですかね?
ファイルが使っているクラスタへ飛ぶとか、メタ情報でクラスタ割り当て状況を知りたいとかになると、TSK があると便利だと思いますけど、準備が面倒ってのがありますね。
以前試してそのままになっていた、Nigilant32 はどうかなぁと思って手元の Vista 環境で動かしてみたんですが、なんかいまいちうまく動きません。