Skalpelis sistēmas atkopšanas rīks izdzēsa failus un mapes operētājsistēmā Linux. Šis rīks tiek izmantots sistēmas failu atkopšanai, tas ir atvērtā koda rīks Linux operētājsistēmām. Lai atgūtu izdzēstos datus, tā galvenokārt ir atjaunināta dakša, lai gan ātrāk un efektīvāk izseko un meklē failu modeļus.
Skalpelis izmanto datu bāzi, kas saglabā zināmos failu baitu modeļus un identificē izdzēstos failus un tos nekavējoties atjauno. Daudzas reizes gadās, ka nejauši vai sistēmas kļūdas dēļ informācija tiek pieprasīta no svarīgiem failiem vai mapēm. Skalpelis ir rīks, kas ļauj mums atjaunot informāciju, kuru, iespējams, esat izdzēsis. Dzēšot informāciju, operētājsistēma parasti noņem tikai faila metadatus, piemēram, faila nosaukumu, īpašnieku un atrašanās vietu. Lietotāja dati paliek datu nesējā, līdz tie tiek pārrakstīti.
Skalpelis analizē disku vai atmiņas ierīci, meklējot baitu modeļus, kas reaģē uz failu galvenēm un kājenēm, tādējādi mēģinot atgūt failam piederošos datus. Skalpelis var noteikt dažāda veida failus. Šim nolūkam tā atbalsta dažādas diska struktūras un failu formātus, tā izmanto datu bāzi ar failu galvenēm un kājenēm ar izteiksmes noteikumiem, lai noteiktu, kuru formātu tas var atgūt.
Daudzu izplatījumu krātuvēs ir skalpelis, lai gan ieteicams atjaunināt skalpeli, lai pievienotu jaunas regulāras izteiksmes failu galvenēm un kājenēm. Skalpelis nodrošina ātru skenēšanu, pārmeklēšanas laikā tas nolasa failu formātu galvenes un kājenes datubāzi un no ierīces izvelk failus, kas atbilst definīciju kopai un regulārajām izteiksmēm.
Skalpelis atbalsta diska formātus no FAT, NTFS, ext2 vai neapstrādātiem nodalījumiem. Tas ir noderīgi gan digitālai kriminālistikas izmeklēšanai, gan failu atkopšanai. Šis rīks ir daļa no Seulkit, kas integrējas ar autopsiju, ko mēs redzējām apmācībā par cieto disku un nodalījumu ar Autopsy tiesu medicīnas analīzi.
Lai to instalētu, mēs varam doties uz termināļa logu un ierakstīt šādu kodu:
sudo apt-get instalēt skalpeli
Tālāk mums ir konfigurēt skalpeli šim nolūkam mēs varam atrast instalācijas failu, izmantojot šādu komandu:
kur ir skalpelis
Tālāk mēs atveram failu ar teksta redaktoru, piemēram, nano vai vi. Pēc noklusējuma visas izteiksmes rindas tiek komentētas ar # konfigurācijas failā. Konfigurācijas failā skalpelis.konf, ir dažas rindiņas, kurās ir failu tipi, kurus mēs varam atgūt. Piemēram jpg.webp, png, doc utt.
UzmanībuPirms skalpeļa palaišanas mums ir jāatceļ faila formāts, kuru vēlamies atjaunot.
Šeit mēs komentējam failu paplašinājumus, kurus mēs vēlamies, lai Skalpels meklē, ja tie netiek komentēti, šie faili tiks ignorēti.
Svarīgs solis, ja izpildes laikā tiek konstatēta kļūda, mums ir manuāli jāizveido / et / skalpeli un iekšpusē nokopējiet skalpel.conf failu.
Tālāk mēs izpildām skalpeli no tās mapes, mēs norādām mapi, kurā tiek saglabāti atgūtie faili.
skalpelis -c /etc/scalpel/scalpel.conf /dev /sda -o tests
Attēlā mēs varam redzēt, kā tikai 3% no kopējā diska ir atgūti 16 GB. Parametrs -o tiek izvadīts, tas norāda izvades direktoriju, kurā vēlaties atjaunot izdzēstos failus. Pirms jebkuras komandas izpildes mums jāpārbauda, vai šis direktorijs ir tukšs, pretējā gadījumā tas radīs kļūdu.
Skalpelis sāks skenēšanas procesu un atkarībā no diska vai ierīces vietas, kuru mēģināt skenēt un atgūt, tāpēc izdzēsto failu atkopšana var aizņemt ilgu laiku.
Ja mēs vēlamies atgūt datus no pendrive vai ārējas ierīces, mums jāzina, kurš ir nodalījums caur fdsik komandaJa tā ir pendrive vai zibatmiņa, tā parasti atradīsies kā sdb nodalījums.
skalpelis -c /etc/scalpel/scalpel.conf /dev /sdb -o recu
Mapes iekšpusē tiek saglabāts fails ar nosaukumu audit.txt, kurā ir informācija par visu procesu un atgūtajiem failiem.
Šajā gadījumā mēs varam redzēt, ka png faili ir atgūti no pendrive un tie ir pieejami mapē, ko mēs saucam par recu. Viena no Skalpeļa utilītprogrammām ir kopēt salauztas vai kļūdainas USB ārējās ierīces saturu un izveidot img vai dd diska attēlu, lai mēs to varētu redzēt no citas programmatūras vai uzstādīt, diska attēla ģenerēšanas kods ir šāds:
skalpelis -c -c /etc/scalpel/scalpel.conf /dev /sdb -o atgūts.ddSkalpelis ir ideāli piemērots servera darbam ar Centos lai attālināti izgūtu failus no termināļa loga. Skalpelis darbojas citos uz serveri orientētos Linux izplatījumos, tostarp:
- Sarkana cepure
- Fedora
- Debian.
Viens no Skalpeļa mīnusiem ir tas, ka jums ļoti labi jāzina, kāda ir diska vai atmiņas ierīces struktūra un komandas, lai pārvaldītu tā nodalījumus, kā arī kā darbojas failu sistēma.
Katrs izdzēstais fails paliek kaut kur cietajā diskā. tā ir operētājsistēma, kas uztur rādītāju uz atmiņas ierīces bloku sarakstu, kurā ir failu dati,
Parasti operētājsistēmā Windows mums ir daudz ļoti vienkāršu rīku, piemēram, Recuva, ko izmanto zaudēto datu atgūšanai, bet Linux tikai daži, ja vēlamies tos izmantot servera līmenī ar drošību.
Skalpelis iet cauri visam cietajam diskam, ļoti labi darbojas ar ārējām atmiņas ierīcēm un atgūst zaudētos failus saskaņā ar regulārām izteiksmēm, kas padara to ļoti universālu.
