På et tidspunkt , ved et uheld alle sletter den forkerte foto fra et kameras hukommelseskort , mister vigtige filer fra en tommelfinger drev eller tømmer papirkurven bin lige før realisere der var noget vigtigt i det. Selvom det ikke er slettet alt kan tilbagebetales, kan frit tilgængelige Linux forensics værktøjer såsom The Sleuth Kit hjælpe dig med at identificere , hvad du har mistet , og måske hjælpe dig med at få disse filer tilbage. Instruktioner
Opret liste af slettede filer
1
downloade og installere Sleuth Kit ( TSK ) ved hjælp af din Linux-distribution pakkehåndteringssystem eller fra kommandolinjen ved at skrive : " sudo apt- get install sleuthkit "( eller tilsvarende kommando til din version af Linux) .
Hvis Sleuth Kit ikke er tilgængelig fra dine depoter , kan du downloade det fra The Sleuth Kit hjemmeside og installere det ved hjælp af de medfølgende instruktioner.
2
Identificer partition eller enhed, du vil gendanne filer fra . Hvis du kender mount point , vil dette være tilstrækkeligt . Ellers køre " mount- l " fra kommandolinjen for at få en liste over alle de monterede enheder og deres mount punkter. Enheden placering vil se nogenlunde sådan : " /dev/sdb1 . " Du vil brug for dette i de efterfølgende trin
3
Identificer den fil systemet, der anvendes af enheden. . Type " sudo df -T " fra kommandolinjen.
Når du kender filsystemet typen , kør " fls - f list " for at finde nøgleordet Sleuth Kit bruger til at filsystemet . For fedt, ext , og UFS filsystemer , skal du bruge Auto Detection søgeord til at have Sleuth Kit arbejde ud af detaljerne
4
Generer en log af slettede filer ved at køre følgende fra kommandolinjen : ". ; . sudo fls - f systemet keyword> - d- r- v- p > "For eksempel en ext3 opsving på /dev/sdb1 skrivning til deleted_files.txt på skrivebordet ville se sådan ud: " sudo fls - f ext - d- r- v- p /dev/sdb1 > ~ /Desktop /deleted_files.txt . "
med denne kommando , fortæller du fls at finde slettede filer ( - d ) , rekursivt vise mapper ( -r ) , viser den fulde sti til de filer ( - p) , og for at køre i verbose mode ( -v ), så du kan se, hvad der er sker.
Husk, at denne kommando vil skanne en hel partition, så kan store partitioner eller enheder tage et stykke tid at fuldføre.
5.
Læs den genererede liste af slettede filer . Der er tre vigtige kolonner, du skal være opmærksom på . De første shows om filen er en almindelig fil (R) eller en mappe ( d ) . Det andet er inode hvor filen eksisterer ( du får brug for dette, hvis du ønsker at fortryde sletningen filen). Den sidste kolonne er navnet på den slettede fil .
6
(valgfri) Recover filer. Når du har en liste af slettede filer og deres tilsvarende inoder , kan du gendanne individuelle filer ved hjælp af ICAT værktøj følger med Sleuth Kit
blot skrive følgende fra kommandolinjen : ". Sudo ICAT - f < filsystem keyword> - r- s >
