如何查看未挂载到EC2实例的EBS卷内容

核心思路 #

通过临时EC2实例挂载目标EBS卷，直接访问卷内文件系统完成内容审计，操作后清理临时资源避免额外成本。

步骤1：创建临时EC2实例 #

• 选择与目标EBS卷同区域的实例，推荐用t3.micro（符合AWS免费套餐条件，成本极低）
• 配置时使用可正常登录的密钥对，实例角色需具备EBS卷附加/分离的基础权限（或用管理员权限登录）

步骤2：挂载EBS卷到临时实例 #

1. 在EC2控制台找到目标未挂载EBS卷，点击「附加卷」，选择刚创建的临时实例，指定挂载点（Linux实例建议填/dev/sdf，Windows实例可留空）
2. 启动临时实例，通过SSH（Linux）或远程桌面（Windows）登录
3. Linux实例操作：
   • 用lsblk命令识别卷的实际设备名（NVMe卷会显示为/dev/nvme1n1这类，而非指定的/dev/sdf）
   • 创建挂载目录：sudo mkdir /mnt/ebs-audit
   • 挂载卷：sudo mount /dev/nvme1n1 /mnt/ebs-audit（替换为实际设备名）
   • 如果是NTFS格式的Windows卷，先安装工具：sudo apt install ntfs-3g，再挂载：sudo mount -t ntfs-3g /dev/nvme1n1 /mnt/ebs-audit
4. Windows实例操作：
   • 登录后打开「磁盘管理」，找到未初始化的磁盘，右键选择「初始化磁盘」（保持默认GPT或MBR）
   • 新建简单卷，分配盘符后即可在文件资源管理器中访问

步骤3：卷内容审计 #

• 快速遍历目录结构：Linux用ls -la /mnt/ebs-audit，Windows直接查看对应盘符
• 排查关键文件：重点查看日志文件（如/var/log目录）、配置文件（如.conf、.env）、数据库备份（如.sql、.bak）
• 搜索敏感内容：Linux用sudo grep -r "password\|secret\|token" /mnt/ebs-audit批量查找敏感关键词；Windows可使用搜索功能或PowerShell命令Get-ChildItem -Path D:\ -Recurse | Select-String -Pattern "password"
• 识别大文件：Linux用sudo find /mnt/ebs-audit -type f -size +100M，Windows用Get-ChildItem -Path D:\ -Recurse | Where-Object {$_.Length -gt 100MB}，判断是否为备份或重要数据

步骤4：数据备份（可选但推荐） #

• 创建EBS快照：在控制台选中目标卷，点击「创建快照」，添加标签（如audit-backup-20240520）便于识别
• 导出到S3（Linux）：安装AWS CLI后，执行sudo dd if=/dev/nvme1n1 | aws s3 cp - s3://your-backup-bucket/ebs-audit-image.img（替换为你的S3桶名）

步骤5：清理临时资源 #

• Linux实例先卸载卷：sudo umount /mnt/ebs-audit
• 停止临时EC2实例，在控制台分离目标EBS卷
• 删除临时实例（若不再需要），避免持续产生费用

注意事项 #

• 如果EBS卷是加密状态，需确保临时实例有权访问对应的KMS密钥（若使用自定义KMS密钥，需给实例角色添加kms:Decrypt权限）
• 审计过程中不要修改卷内数据，避免破坏原始内容
• 批量审计多个卷时，可重复挂载/分离流程，或编写脚本自动化操作

内容的提问来源于stack exchange，提问作者user21902978