Exploit for Disk-Arbitrator

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-ABURGH-DISK-ARBITRATOR
## Введение

Disk Arbitrator — это криминалистическая утилита для Mac OS X, предназначенная для помощи пользователю в соблюдении правильных криминалистических процедур при создании образа дискового устройства. Disk Arbitrator по сути является пользовательским интерфейсом для платформы Disk Arbitration, которая позволяет программе участвовать в управлении блочными устройствами хранения, включая автоматическое монтирование файловых систем. При включении Disk Arbitrator блокирует монтирование файловых систем, чтобы избежать монтирования в режиме чтения-записи и нарушения целостности улик.

Важно отметить, что Disk Arbitrator — это _не_ программный блокиратор записи — он не изменяет состояние уже подключенных устройств и не воздействует на вновь подключенные устройства, чтобы принудительно перевести устройство в режим только для чтения. Пользователь по-прежнему должен быть осторожен, чтобы случайно не записать на диск такой командой, как «dd». Ввиду этого для наиболее надежной процедуры по-прежнему может потребоваться аппаратный или программный блокиратор записи. Disk Arbitrator дополняет блокиратор записи дополнительными полезными функциями и устраняет типичную криминалистическую рекомендацию «отключить disk arbitration».

## Системные требования

  * Intel Mac
  * OS X 10.5 или более поздняя версия



## Загрузки

Ссылки на скомпилированные исполняемые файлы можно найти на странице релизов.

## Быстрый старт

### Установка

Для установки перетащите приложение Disk Arbitrator в нужное место, например в /Applications.

При желании вы можете настроить автоматический запуск Disk Arbitrator при каждом входе в систему. Для этого есть два способа:

  * Добавьте Disk Arbitrator в элементы входа (Login Items) на панели «Пользователи и группы» (User & Groups) (или «Учетные записи» (Accounts) в более старых версиях OS X) в Системных настройках.

  * Используйте встроенную функцию «Install User Launch Agent» (доступна из меню). После установки системный демон launchd будет автоматически запускать Disk Arbitrator при входе в систему, как и элемент входа (Login Item). Кроме того, файл plist содержит настройку, которая предписывает launchd следить за приложением и автоматически перезапускать его в случае сбоя или если оно завершится иным образом. Это дает наибольшую гарантию того, что Disk Arbitrator будет работать при каждом вашем входе в систему.




### Использование

При запуске приложение добавляет свой значок в строку состояния в правой части строки меню. Значок в строке состояния указывает одно из трех состояний:

  * Зеленый: утилита активирована и находится в режиме Block Mounts.

  * Оранжевый: утилита активирована и находится в режиме Read-only.

  * Серый: утилита деактивирована, и подключенные диски будут автоматически монтироваться системой.




Disk Arbitrator непрерывно отслеживает появление и исчезновение дисков и ведет их учет в главном окне. Когда подключается новый диск, система уведомляет Disk Arbitrator и дает ему возможность отклонить монтирование тома диска. Disk Arbitrator реагирует следующим образом:

  * В деактивированном состоянии он просто наблюдает за изменениями дисков.

  * В активированном состоянии и в режиме Block Mounts он просто отклоняет каждую новую попытку системы смонтировать том.

  * В активированном состоянии и в режиме Read-only он отклоняет исходное действие монтирования и автоматически отправляет собственный запрос на монтирование тома, но гарантирует, что монтирование включает опцию, делающую файловую систему доступной только для чтения. Он также проверяет тип файловой системы и, если это HFS, включает флаг для игнорирования журнала.




**Напоминание:** Disk Arbitrator выполняет свою работу, активно участвуя в процессе монтирования. Если утилита деактивирована или закрыта и не запущена, защита от автоматического монтирования подключенных дисков отсутствует. Однако после того как диск появился и процесс монтирования или отклонения монтирования завершен, Disk Arbitrator можно закрыть, не влияя на состояние диска.

### Работа с образами дисков

Начиная с версии 0.3.0, Disk Arbitrator поддерживает образы дисков.

Благодаря функции Attach Disk Image (подключение образа диска) в Disk Arbitrator подключение образа диска эффективно координируется. Когда в меню выбран пункт «Attach Disk Image...», появляется панель открытия, которая включает дополнительные параметры для подключения и монтирования образа диска. По умолчанию выполняется только подключение образа диска. При нажатии кнопки «Open» Disk Arbitrator подключает диск с помощью hdiutil. После подключения вступает в силу обычное поведение Disk Arbitrator: если он активирован и установлен режим Read-Only, тома на образе диска будут смонтированы только для чтения. Если установлен режим Block Mounts, тома будут проигнорированы.

Панель открытия образа диска включает параметр, позволяющий попытаться смонтировать образ диска для случаев, когда Disk Arbitrator не активирован и используется как удобное средство подключения образа диска. При использовании параметра монтирования Disk Arbitrator передает hdiutil аргумент «-mount optional», который пытается подключить и смонтировать образ диска, но с тем преимуществом, что в случае сбоя монтирования образ диска не отсоединяется.

Disk Arbitrator также поддерживает перетаскивание (drag and drop) для подключения образа диска. Просто перетащите один или несколько образов дисков из окна Finder в список дисков Disk Arbitrator, чтобы начать их подключение. При использовании перетаскивания параметры по умолчанию включают «-mount optional», поэтому также выполняется попытка монтирования. Если монтирование не удается, образ диска остается подключенным, и его можно смонтировать вручную.

Примечания:

  * Попытка подключить и смонтировать образ диска вне Disk Arbitrator — либо двойным щелчком в Finder, либо с помощью hdiutil attach — будет вести себя как раньше: образ диска будет подключен, затем система попытается смонтировать его, Disk Arbitrator отклонит монтирование, и образ диска будет отсоединен, поскольку монтирование не удалось.

  * Если подключен образ диска, содержащий лицензионное соглашение (Software License Agreement), Disk Arbitrator автоматически отвечает «Yes» (Да) на это соглашение. Caveat Emptor.




### Примечание о «грязных» журналах

Когда установлен режим Read-only, запрос на монтирование, отправляемый Disk Arbitrator, включает опцию игнорирования журнала, что полезно, если файловая система HFS была последний раз отсоединена без размонтирования (например, система аварийно завершила работу, или внешний диск был отключен без извлечения). Если вы работаете с диском, который не был корректно извлечен, попытки подключить его в режиме только для чтения обычно завершаются неудачей, поскольку HFS знает, что журнал необходимо воспроизвести, но ей не разрешено вносить изменения, поэтому монтирование не выполняется.

Смонтировать образ диска с «грязной» файловой системой можно с помощью теневого файла (shadow file), но это не идеальный вариант. Теневой файл защищает исходный образ диска от изменений, но файловая система монтируется в режиме чтения-записи. Лучший вариант — выполнить два шага вручную, используя Terminal:

  1. `hdiutil attach -nomount disk_image.dmg`
  2. `mount_hfs -j -o rdonly /dev/diskx /mount/path`



Disk Arbitrator предоставляет удобный способ выполнения второго шага, а в будущей версии оба шага будут выполняться одной операцией.