先看结论
- ISO 光盘镜像是一种保存光盘全部已写入扇区及其现有文件系统的二进制归档格式,但镜像实际使用的文件系统和扩展可能不同。
- 使用操作系统支持或专用应用,将 ISO 镜像挂载为虚拟光驱,再浏览挂载后的卷。镜像里的内容能否使用,还取决于兼容的操作系统、软件、CD/DVD 播放器或权限管理技术。镜像成功挂载并不表示其中的文件可以放心运行。
- ISO 容器本身不要求执行行为,但它可以包含启动记录、快捷方式、可执行文件、脚本及其他主动载荷。MITRE ATT&CK 和 Microsoft 记录了恶意 ISO 在 Windows 上投递载荷的情况;挂载后,其中的文件可能不会继承 Mark-of-the-Web 保护,因而被当作本地文件。来自不可信来源的 ISO 应按中等风险处理,并在打开主动内容前检查文件。
ISO 光盘镜像文件:打开、挂载、检查与转换
ISO 文件保存光学介质的已写入扇区。其名称最初指使用 ISO 9660 的镜像,该标准由 Ecma 制定为 ECMA-119;实际的 .iso 文件也可能使用 UDF,或结合 Rock Ridge、Joliet、El Torito、Apple 等扩展。ECMA-119 定义卷描述符、目录记录、路径表、文件位置、文件属性和记录结构。
把 ISO 提取或转换成普通文件可能丢失扇区布局、启动能力或隐藏文件,也可能无法完整保留多区段介质。不同工具和操作系统对 Rock Ridge、Joliet、El Torito、Apple 等扩展的处理并不一致;这些属性重要时应保留原始 ISO 镜像。
怎么打开
使用操作系统支持或专用应用,将 ISO 镜像挂载为虚拟光驱,再浏览挂载后的卷。镜像里的内容能否使用,还取决于兼容的操作系统、软件、CD/DVD 播放器或权限管理技术。镜像成功挂载并不表示其中的文件可以放心运行。
使用操作系统支持或专用应用,将 ISO 镜像挂载为虚拟光驱,再浏览挂载后的卷。镜像里的内容能否使用,还取决于兼容的操作系统、软件、CD/DVD 播放器或权限管理技术。镜像成功挂载并不表示其中的文件可以放心运行。
把 ISO 提取或转换成普通文件可能丢失扇区布局、启动能力或隐藏文件,也可能无法完整保留多区段介质。不同工具和操作系统对 Rock Ridge、Joliet、El Torito、Apple 等扩展的处理并不一致;这些属性重要时应保留原始 ISO 镜像。
文件安全
ISO 容器本身不要求执行行为,但它可以包含启动记录、快捷方式、可执行文件、脚本及其他主动载荷。MITRE ATT&CK 和 Microsoft 记录了恶意 ISO 在 Windows 上投递载荷的情况;挂载后,其中的文件可能不会继承 Mark-of-the-Web 保护,因而被当作本地文件。来自不可信来源的 ISO 应按中等风险处理,并在打开主动内容前检查文件。
来路不明、文件名带两个后缀,或者内容和扩展名对不上——先停下来核对。
转换格式
把 ISO 提取或转换成普通文件可能丢失扇区布局、启动能力或隐藏文件,也可能无法完整保留多区段介质。不同工具和操作系统对 Rock Ridge、Joliet、El Torito、Apple 等扩展的处理并不一致;这些属性重要时应保留原始 ISO 镜像。
先复制一份原文件再转换,转完对照看看画质、元数据和排版有没有变。
常见问题
ISO 光盘镜像文件是什么,有什么用途?
它是保存光盘全部已写入扇区的二进制归档;光盘存在文件系统时也会一并保存。它能保留仅复制普通文件时可能丢失的光盘组织结构。
ISO 光盘镜像文件怎么打开而不先解压?
使用操作系统支持或专用应用,把 ISO 镜像挂载成虚拟光驱,然后浏览挂载后的卷。镜像内容仍可能需要兼容的软件或 CD/DVD 播放器。
Windows 怎么打开 ISO 文件并降低运行恶意内容的风险?
使用 Windows 的操作系统支持或专用应用将它挂载为虚拟光驱。先检查挂载后的内容,不要直接运行来源不明的快捷方式、可执行文件或脚本。
Mac 怎么打开 ISO 文件?
使用操作系统支持或专用应用,将 ISO 挂载为虚拟光驱后浏览。UDF、Rock Ridge、Joliet、El Torito 或 Apple 扩展在不同平台上可能显示得不一样。
ISO 镜像无法挂载或看不到全部文件怎么办?
镜像可能采用 UDF 或当前工具支持不一致的扩展。隐藏文件、多区段内容、权限管理技术或不完整的光盘捕获,也可能导致内容没有完整显示。
ISO 9660 镜像和 UDF 镜像应该选哪个?
两者是不同的光盘文件系统,却都可能使用 .iso 扩展名。应选择目标软件或设备要求的类型;仅凭扩展名不能确认兼容性。
ISO 镜像转换会丢失启动信息吗?
有可能。把镜像提取或转换成普通文件会丢失扇区布局和启动记录,因此需要保留启动能力时,应保存原始 ISO 镜像。
邮件附件或下载的 ISO 文件安全吗?
不能仅凭格式判断安全。ISO 可以包含快捷方式、可执行文件、脚本、启动记录或其他主动载荷;在 Windows 上,挂载后的文件还可能没有继承 Mark-of-the-Web 保护。
ISO 文件的 CD001 魔数在什么位置?
ECMA-119 的卷描述符序列从逻辑扇区 16 开始,每个描述符的第 2–6 字节是 CD001;描述符为 2048 字节时,该字节序列位于偏移量 32769。
ISO 镜像有正确的 CD001 魔数就代表安全且完整吗?
不代表。它只能识别 ECMA-119 卷描述符,不能证明内容可信、多区段介质已被完整捕获,也不能证明镜像中不存在主动载荷。
相关格式
资料来源
ECMA-119 — Volume and file structure of CD-ROM for information interchange · Ecma International standards catalogue
ECMA-119, 3rd edition, December 2017 · Official Ecma International specification
ISO Disk Image File Format · Library of Congress Sustainability of Digital Formats
Subvert Trust Controls: Mark-of-the-Web Bypass, T1553.005 · MITRE ATT&CK
Breaking down NOBELIUM’s latest early-stage toolset · Microsoft Threat Intelligence
IANA Media Types Registry · IANA official registry