0 votes

Comment puis-je décharger mon ssd amorçable pour inspecter la décharge dans l'éditeur HEX ?

Je suis sur macbook. J'ai un volume de démarrage crypté. Je connais mon mot de passe et je peux normalement me connecter à mon profil sur MacOS. J'ai besoin de faire un dump parfait de la partition cryptée dans son état décrypté pour rechercher une séquence d'octets spécifique.
Les étapes que j'ai franchies :

  • connectez-vous au mode de récupération

  • monter la partition via diskutil

  • exécuter le terminal et essayer de lire /dev/disk1s1

Il affiche l'erreur suivante :

cat: /dev/disk1s1: Operation not permitted

J'ai également essayé avec des éditeurs hexagonaux et le mode sudo.

Existe-t-il un moyen d'accéder à une séquence d'octets bruts non cryptés sur le disque dur interne de mon Macbook ?

1voto

Douglas Points 10417

Puisque vous démarrez en mode récupération, vous devrez d'abord le décrypter en utilisant diskutil

diskutil coreStorage decryptVolume /dev/disk1s1 -passphrase ThePassPhraseYouSet 

Il décryptera ensuite le volume.

Selon la page de manuel ( man diskutil ) :

Lancement d'un processus de décryptage en arrière-plan des octets de sauvegarde sur disque d'un système CoreStora crypté existant. d'un volume logique (LV) CoreStorage crypté existant. Les octets sont lus, décryptés et réécrits sur le disque en clair. Le LV doit être déverrouillé avant de commencer cette opération.

Vous devrez d'abord débloquer...

diskutil coreStorage unlockVolume

Une fois qu'il est désencré, vous pouvez alors utiliser dd pour le convertir en image pour une manipulation ultérieure :

sudo dd if=/dev/disk1 of=/path/to/disk.img

LesApples.com

LesApples est une communauté de Apple où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres utilisateurs d'appareils Apple, poser vos propres questions ou résoudre celles des autres.

Powered by:

X