MAC OS X で E01 image を取る

MAC OS X で E01 image を取りたかっただけなのに、結構苦労したのでメモを残しておきます。
SIP を無効にする、HFS+ でフォーマットしたディスクを使うの２つを押さえておけば大丈夫そう。

[準備]
Command Line バージョンの FTK-Imager を事前にダウンロードしておく
https://accessdata.com/product-download/mac-os-10.5-and-10.6x-version-3.1.1

[手順]
・SIP を無効にする

1. MACOSX をリカバリモードで起動する
2. 上部メニュー ユーティリティ > ターミナル
3. 以下のコマンドを実行
% csrutil status
System Integrity Protection status: enabled.

4: 以下のコマンドで「SIP」を無効にし、再起動する
% csrutil disable
Successfully disabled System Integrity Protection. Please restart the machine for the changes to take effect.
% reboot

※ このコマンドがリカバリモードではないと実行できない。

5. 再起動後、ターミナルで以下のコマンドを実行
$ csrutil status
System Integrity Protection status: enabled.

参考）
http://berukann.hatenablog.jp/entry/2015/12/30/123020

・イメージの作成

1. df コマンドを実行し、ディスクのマウント状況を調べる
2. USB ディスクをマウントする
3. 再度 df コマンドを実行し、マウントしたディスクの状況を確認する

4. Disk のコピーを取得する
dd if=/dev/rdisk1 bs=4k conv=sync,noerror of=/Volumes/springmoon6/disk1.dd

※ HFS+ でフォーマットしたドライブを使うこと。NTFS だと下記 Readonly エラーが出る。
dd if=/dev/rdisk1 conv=sync | ./ftkimager - /Volumes/springmoon6/res.E01 --e01 --compress 9

Creating image...
Could not open file. Error message: Read-only file system (30)

5. 取得した dd イメージを E01 形式に変換

/Users/springmoon6/Downloads/ftkimager /Volumes/springmoon6/disk1.dd /Volumes/springmoon6/disk1_img.E01 --e01 -compress 9

参考）
http://www.atmarkit.co.jp/ait/articles/1711/30/news027.html
https://askubuntu.com/questions/159039/why-is-the-error-dd-dev-rdisk1bs-1m-operation-not-supported-popping-up-whil/354713#354713
http://nahareport.blogspot.jp/2013/03/mac-osxdd.html
http://nerdlogger.com/2017/08/17/latest-raspbian-2017-07-05-raspbian-jessie-dd-devrdiskx-invalid-argument-on-osx-and-other-potential-issues-with-apt-get-post-install/
http://az4n6.blogspot.jp/2016/09/mac-live-imaging-functionality-versus.html
https://qiita.com/tmishina/items/987e0f2a82ae53a62886
http://az4n6.blogspot.jp/2016/07/how-to-image-mac-using-single-user-mode.html
https://www.sans.org/reading-room/whitepapers/forensics/forensic-images-viewing-pleasure-35447
https://www.makeuseof.com/tag/solving-the-read-only-external-hard-drive-problem-on-your-mac/
https://sekai1blog.com/mac/699/
http://inforati.jp/apple/mac-tips-techniques/windows-hints/how-to-write-ntfs-hard-disk-of-windows-from-mac-os-x.html
http://www.securityisfun.net/2014/06/booting-up-evidence-e01-image-using.html