Skip to content
Disk Image Parser

Forense de discos en el cliente

Análisis forense de imágenes de disco, en tu navegador.

Suelta una imagen de disco para leer su tabla de particiones MBR/GPT e identificar cada sistema de archivos — NTFS, FAT, exFAT, ext. Análisis local en WebAssembly; la imagen nunca sale de tu dispositivo.

Disco sintético de 1,7 MB de una intrusión ficticia (FIN-WKS-07): sin datos reales. Consejo: en Archivos, el ajuste «Última hora» del rango de tiempo aísla la intrusión.

Cómo obtener tus datos

¿Nunca has adquirido una imagen de disco? Elige la vía más sencilla para tu caso: un solo comando o unos pocos clics, y obtienes un archivo que esta página abre.

  1. AdquiereCrea la imagen del disco, la VM o los archivos que necesitas.
  2. Suéltala aquíEl archivo, o todos los segmentos de un conjunto a la vez.
  3. Se queda en tu navegadorSe analiza localmente en WebAssembly, nunca se sube.

Windows: FTK Imager (E01)Recomendado

Requisitos: FTK Imager ejecutado como administrador y un disco externo con espacio libre suficiente para la imagen.

  1. File › Create Disk Image… › Physical Drive y elige el disco.
  2. Add… › E01 › Next, y completa los datos del caso (opcional).
  3. Image Destination Folder: una carpeta del disco externo (p. ej. E:\triage), Image Filename: disk01 › Finish.
  4. Deja marcada «Verify images after they are created» y pulsa Start.

Obtienes: disk01.E01 (más .E02, .E03… si se divide en fragmentos): selecciónalos todos y suéltalos juntos.

Linux: dd (imagen raw)

Requisitos: sudo. Localiza el dispositivo con lsblk y sustituye sdX por él (p. ej. sdb). ~/triage debe estar en otro disco con espacio libre suficiente.

lsblk -o NAME,SIZE,MODEL,SERIAL
mkdir -p ~/triage && sudo dd if=/dev/sdX of=$HOME/triage/disk.dd bs=4M status=progress

Obtienes: ~/triage/disk.dd, una imagen raw lista para soltar.

macOS: dd (imagen raw)

Requisitos: Una contraseña de administrador (sudo). Sustituye N por el número de disco de diskutil list (rdiskN es el nodo raw, más rápido). Ctrl+T muestra el progreso.

diskutil list external
diskutil unmountDisk /dev/diskN
mkdir -p ~/triage && sudo dd if=/dev/rdiskN of=$HOME/triage/disk.dd bs=1m

Obtienes: ~/triage/disk.dd, una imagen raw lista para soltar.

Trampas habituales

  • dd y ewfacquire escriben exactamente donde les indicas: comprueba dos veces el dispositivo de origen y nunca guardes la imagen en el disco que estás adquiriendo.
  • La imagen de un disco cifrado con BitLocker sigue cifrada aquí (BitLocker se detecta, no se descifra). En un Windows encendido y desbloqueado, adquiere en su lugar el Logical Drive (C:) con FTK Imager.
  • Puntos de control e instantáneas de VM: el disco base no tiene las escrituras más recientes y los discos delta (.avhdx, -000001.vmdk) no se abren solos. Combínalos antes en una copia.
subidos, nunca
0 bytes
formatos de imagen
10
familias de sistemas de archivos
8
colecciones de triaje
35

Funciones

Un banco de trabajo forense, sin instalar nada.

El trabajo diario de un generador de imágenes y un explorador de sistemas de archivos, en una sola pestaña.

Todos los contenedores de evidencia

EnCase E01, Ex01 y SMART (multisegmento), AccessData AD1, AFF4, VMDK, VHD y VHDX, raw y raw dividido. Las imágenes de varios GB se leen bajo demanda desde el disco a través de sus tablas de bloques, nunca se cargan enteras.

Contenedores
  • E01 · Ex01 · S01
  • AD1 · AFF4
  • VMDK
  • VHD · VHDX
  • RAW · 001
Sistemas de archivos
  • NTFS
  • FAT
  • exFAT
  • ext2/3/4
  • XFS
  • HFS+
  • APFS
  • ISO 9660
  • UDF

Todos los sistemas de archivos

NTFS con flujos de datos alternativos y registros MFT eliminados, FAT, exFAT, ext2/3/4, XFS, HFS+ y APFS, con marcas de tiempo MACB. Los volúmenes LUKS se desbloquean con su frase de contraseña o su clave de volumen; BitLocker se señala.

Datos eliminados

Entradas eliminadas, file slack y el espacio no asignado como un archivo exportable, además de carving por firmas en toda la imagen.

Triaje en un clic

Colmenas del registro, registros de eventos, $MFT, historial de navegadores, persistencia, cargadores de arranque y más, cada uno en un ZIP con un manifiesto SHA-256.

Verificar y calcular hashes

MD5 y SHA-1 de la imagen, comparados con los hashes guardados en el E01; hashes por archivo y un listado CSV de directorios.

Exportar

Recodificar a E01, convertir a raw o VHD, crear imágenes lógicas AD1 o comprimir en ZIP los archivos seleccionados.

Cómo funciona

Tres pasos, cero subidas.

  1. 01

    Suelta la imagen

    Arrastra una imagen E01, VMDK, AD1 o raw a la página. En conjuntos divididos, selecciona todos los segmentos a la vez.

  2. 02

    Se analiza en tu equipo

    Un motor WebAssembly en un worker en segundo plano lee las particiones y los sistemas de archivos. Las imágenes grandes se leen bajo demanda, directamente desde el disco.

  3. 03

    Recopila y exporta

    Explora, previsualiza y calcula hashes de archivos, lanza una colección de triaje o exporta a E01, AD1 o ZIP.

Privacidad por diseño

La evidencia nunca sale de tu equipo.

No hay procesamiento en el servidor. El archivo que sueltas lo lee código que se ejecuta en tu pestaña, y ninguno de sus bytes se envía a ninguna parte. Así la cadena de custodia es sencilla y puedes trabajar casos sensibles desde cualquier equipo con navegador.

  • Sin subidas, sin cuenta
  • Se ejecuta en un Web Worker aislado
  • Lee imágenes de varios GB desde el disco
  • Compruébalo tú mismo en el panel de red

Preguntas frecuentes

Preguntas, respondidas.

¿Se sube mi imagen de disco a algún sitio?

No. El análisis ocurre en la pestaña del navegador con WebAssembly, y los bytes del archivo nunca salen de tu equipo. Puedes comprobarlo en el panel de red del navegador mientras hay una imagen abierta.

¿Qué formatos de imagen puede abrir?

EnCase E01 y Ex01 (incluidos los conjuntos multisegmento) y SMART S01, AccessData AD1, AFF4, VMware VMDK (flat, sparse y dividido), Microsoft VHD y VHDX, e imágenes raw/dd, incluidos los conjuntos divididos .001 y las imágenes de discos ópticos .iso.

¿Qué sistemas de archivos admite?

NTFS, FAT12/16/32, exFAT, ext2/3/4, XFS (V4 y V5), HFS+, APFS y los sistemas de archivos de discos ópticos ISO 9660 (con Joliet y Rock Ridge) y UDF. Los volúmenes LUKS1/LUKS2 se pueden desbloquear en el navegador con su frase de contraseña o su clave de volumen y explorar como cualquier partición; los volúmenes BitLocker se detectan, pero aún no se descifran.

¿Qué tamaño de imagen puedo abrir?

Todos los contenedores de disco se leen bajo demanda desde el disco (raw y raw dividido, E01/Ex01, VHD, VHDX y VMDK, incluidos los conjuntos divididos), así que funcionan imágenes de decenas o cientos de gigabytes. Las imágenes lógicas AD1 se cargan en memoria, que los navegadores limitan a unos 2 GB.

¿Es gratis? ¿Necesito una cuenta?

Es gratis y no requiere cuenta ni registro.

¿Puede sustituir a FTK Imager?

Para abrir, explorar, calcular hashes y exportar desde imágenes, a menudo sí, desde cualquier equipo con navegador. No adquiere discos físicos ni descifra volúmenes BitLocker (los LUKS sí puede desbloquearlos).

Herramientas relacionadas

MFT Parser
Analiza la $MFT exportada de la imagen: todos los archivos, las entradas borradas y ambos juegos de marcas de tiempo.
USN Parser
Analiza $UsnJrnl:$J de la misma imagen para ver los cambios de archivos en orden.

Abre tu primera imagen en segundos.

Sin instalar, sin subir nada, sin cuenta. Suelta una imagen y empieza a explorar.

Abrir una imagen de disco