Skip to content
Disk Image Parser

Forensique disque côté client

L'analyse forensique d'images disque, dans votre navigateur.

Déposez une image disque pour lire sa table de partitions MBR/GPT et identifier chaque système de fichiers — NTFS, FAT, exFAT, ext. Analyse locale en WebAssembly ; l’image ne quitte jamais votre appareil.

Disque synthétique de 1,7 Mo issu d'une intrusion fictive (FIN-WKS-07) — aucune donnée réelle. Astuce : dans Fichiers, le préréglage « Dernière heure » de la plage horaire isole l'intrusion.

Comment récupérer vos données

Jamais imagé de disque ? Choisissez la méthode la plus simple pour votre cas : une seule commande ou quelques clics, et vous obtenez un fichier que cette page ouvre.

  1. CollectezImagez le disque, la VM ou les fichiers utiles.
  2. Déposez-le iciLe fichier, ou tous les segments d’un jeu en une fois.
  3. Reste dans votre navigateurAnalysé localement en WebAssembly, jamais envoyé.

Windows : FTK Imager (E01)Recommandé

Prérequis: FTK Imager lancé en administrateur, et un disque externe avec assez d’espace libre pour l’image.

  1. File › Create Disk Image… › Physical Drive, puis choisissez le disque.
  2. Add… › E01 › Next, puis renseignez les informations du dossier (facultatif).
  3. Image Destination Folder : un dossier sur le disque externe (ex. E:\triage), Image Filename : disk01 › Finish.
  4. Laissez « Verify images after they are created » coché et cliquez sur Start.

Résultat: disk01.E01 (plus .E02, .E03… si l’image est fragmentée) : sélectionnez-les tous et déposez-les ensemble.

Linux : dd (image brute)

Prérequis: sudo. Identifiez le périphérique avec lsblk et remplacez sdX (ex. sdb). ~/triage doit se trouver sur un autre disque avec assez d’espace libre.

lsblk -o NAME,SIZE,MODEL,SERIAL
mkdir -p ~/triage && sudo dd if=/dev/sdX of=$HOME/triage/disk.dd bs=4M status=progress

Résultat: ~/triage/disk.dd, une image brute prête à déposer.

macOS : dd (image brute)

Prérequis: Un mot de passe administrateur (sudo). Remplacez N par le numéro de disque donné par diskutil list (rdiskN est le nœud brut, plus rapide). Ctrl+T affiche la progression.

diskutil list external
diskutil unmountDisk /dev/diskN
mkdir -p ~/triage && sudo dd if=/dev/rdiskN of=$HOME/triage/disk.dd bs=1m

Résultat: ~/triage/disk.dd, une image brute prête à déposer.

Pièges

  • dd et ewfacquire écrivent exactement là où vous le demandez : vérifiez deux fois le périphérique source, et n’enregistrez jamais l’image sur le disque que vous imagez.
  • L’image d’un disque chiffré BitLocker reste chiffrée ici (BitLocker est détecté, pas déchiffré). Sur une machine Windows allumée et déverrouillée, imagez plutôt le Logical Drive (C:) dans FTK Imager.
  • Points de contrôle et instantanés de VM : le disque de base n’a pas les écritures récentes, et les disques delta (.avhdx, -000001.vmdk) ne s’ouvrent pas seuls. Fusionnez-les d’abord sur une copie.
envoyé, jamais
0 octet
formats d’image
10
familles de systèmes de fichiers
8
collectes de triage
35

Fonctionnalités

Un atelier forensique, sans installation.

Le travail quotidien d’un imageur et d’un explorateur de systèmes de fichiers, dans un seul onglet.

Tous les conteneurs de preuve

EnCase E01, Ex01 et SMART (multi-segments), AccessData AD1, AFF4, VMDK, VHD et VHDX, raw et raw fractionné. Les images de plusieurs Go sont lues à la demande depuis le disque via leurs tables de blocs, jamais chargées en entier.

Conteneurs
  • E01 · Ex01 · S01
  • AD1 · AFF4
  • VMDK
  • VHD · VHDX
  • RAW · 001
Systèmes de fichiers
  • NTFS
  • FAT
  • exFAT
  • ext2/3/4
  • XFS
  • HFS+
  • APFS
  • ISO 9660
  • UDF

Tous les systèmes de fichiers

NTFS avec flux de données alternatifs et enregistrements MFT supprimés, FAT, exFAT, ext2/3/4, XFS, HFS+ et APFS, avec horodatages MACB. Les volumes LUKS se déverrouillent avec leur phrase secrète ou leur clé de volume ; BitLocker est signalé.

Données supprimées

Entrées supprimées, file slack et espace non alloué exportable comme un fichier, plus le carving par signature sur toute l’image.

Triage en un clic

Ruches du registre, journaux d’événements, $MFT, historique des navigateurs, persistance, chargeurs d’amorçage et plus, chacun en ZIP avec un manifeste SHA-256.

Vérifier et hacher

MD5 et SHA-1 sur l’image, comparés aux empreintes stockées dans l’E01 ; empreintes par fichier et listing CSV des répertoires.

Exporter

Réencoder en E01, convertir en raw ou VHD, créer des images logiques AD1 ou zipper les fichiers sélectionnés.

Fonctionnement

Trois étapes, zéro envoi.

  1. 01

    Déposez l’image

    Glissez une image E01, VMDK, AD1 ou raw sur la page. Pour un jeu fractionné, sélectionnez tous les segments d’un coup.

  2. 02

    Elle est analysée sur votre machine

    Un moteur WebAssembly, dans un worker en arrière-plan, lit les partitions et les systèmes de fichiers. Les grosses images sont lues à la demande, directement depuis le disque.

  3. 03

    Collectez et exportez

    Parcourez, prévisualisez et hachez les fichiers, lancez une collecte de triage ou exportez en E01, AD1 ou ZIP.

Confidentialité par conception

La preuve ne quitte jamais votre machine.

Aucun traitement côté serveur. Le fichier déposé est lu par du code qui s’exécute dans votre onglet, et aucun de ses octets n’est envoyé nulle part. La chaîne de possession reste simple, et vous pouvez traiter des dossiers sensibles depuis n’importe quelle machine équipée d’un navigateur.

  • Aucun envoi, aucun compte
  • S’exécute dans un Web Worker isolé
  • Lit les images de plusieurs Go depuis le disque
  • Vérifiez-le vous-même dans l’onglet réseau

FAQ

Vos questions, nos réponses.

Mon image disque est-elle envoyée quelque part ?

Non. L’analyse se fait dans l’onglet de votre navigateur avec WebAssembly, et les octets du fichier ne quittent jamais votre machine. Vous pouvez le vérifier dans l’onglet réseau de votre navigateur pendant qu’une image est ouverte.

Quels formats d’image peut-il ouvrir ?

EnCase E01 et Ex01 (y compris les jeux multi-segments) et SMART S01, AccessData AD1, AFF4, VMware VMDK (flat, sparse et fractionné), Microsoft VHD et VHDX, ainsi que les images raw/dd, y compris les jeux fractionnés .001, et les images de disques optiques .iso.

Quels systèmes de fichiers sont pris en charge ?

NTFS, FAT12/16/32, exFAT, ext2/3/4, XFS (V4 et V5), HFS+, APFS, ainsi que les systèmes de fichiers de disques optiques ISO 9660 (avec Joliet et Rock Ridge) et UDF. Les volumes LUKS1/LUKS2 peuvent être déverrouillés dans le navigateur avec leur phrase secrète ou leur clé de volume, puis parcourus comme n’importe quelle partition ; les volumes BitLocker sont détectés mais pas encore déchiffrés.

Quelle taille d’image puis-je ouvrir ?

Tous les conteneurs de disque sont lus à la demande depuis le disque — raw et raw fractionné, E01/Ex01, VHD, VHDX et VMDK (y compris fractionnés) — donc des images de dizaines, voire de centaines de gigaoctets fonctionnent. Les images logiques AD1 sont chargées en mémoire, limitée à environ 2 Go par les navigateurs.

Est-ce gratuit ? Faut-il un compte ?

L’outil est gratuit, sans compte ni inscription.

Peut-il remplacer FTK Imager ?

Pour ouvrir, parcourir, hacher et exporter depuis des images, souvent oui, depuis n’importe quelle machine équipée d’un navigateur. Il n’acquiert pas de disques physiques et ne déchiffre pas les volumes BitLocker (les volumes LUKS, si).

Outils connexes

MFT Parser
Analysez la $MFT exportée de l'image : tous les fichiers, les entrées supprimées et les deux jeux d'horodatages.
USN Parser
Analysez $UsnJrnl:$J de la même image pour voir les modifications de fichiers dans l'ordre.
Registry Parser
Ouvrez les ruches SYSTEM, SOFTWARE et NTUSER.DAT extraites de l'image.

Ouvrez votre première image en quelques secondes.

Sans installation, sans envoi, sans compte. Déposez une image et commencez l’exploration.

Ouvrir une image disque