Sleuthkit mmls

mmls image.dd

Lista las particiones de una imagen de disco con mmls, el mapa del volumen antes de analizar cada partición.

Ejecútalo al recibir una imagen de disco: mmls muestra la tabla de particiones — el tipo (MBR/GPT), el offset y el tamaño de cada partición, y las zonas sin asignar. Es el mapa del disco: sin él no sabes dónde empieza cada partición (los comandos de Sleuth Kit la analizan con el offset -o). En el IR, mmls es el paso previo a fsstat y fls — y en los casos de ocultación, las particiones sin asignar o las tablas anómalas (una partición escondida al final del disco) son hallazgos en sí mismos.

No lo uses para el contenido: mmls da el mapa, no los ficheros — el análisis de cada partición viene después con fsstat/fls y el offset. En imágenes de discos completos (con el espacio sin asignar), las particiones borradas pueden no aparecer en la tabla actual (la entrada se sobrescribió) — para recuperarlas están las herramientas de carving de particiones. Y ojo: el offset que mmls muestra es el dato crítico — usarlo mal en fls/icat (offset incorrecto) produce resultados de la partición equivocada o basura. En imágenes de solo una partición (extraída), mmls puede no mostrar nada útil — la imagen ya es la partición.