Alat za oporavak sustava Scalpel izbrisao je datoteke i mape na Linuxu. Ovaj alat se koristi za oporavak sistemskih datoteka, to je alat otvorenog koda za operacijske sustave Linux. Za oporavak izbrisanih podataka to je prvenstveno ažurirana vilica, iako brža i učinkovitija u praćenju i traženju uzoraka datoteka.
Scalpel koristi bazu podataka koja pohranjuje poznate uzorke bajtova datoteka i identificira izbrisane datoteke te ih trenutno oporavlja. Mnogo se puta dogodi da se slučajno ili zbog sistemske pogreške zatraže informacije od važnih datoteka ili mapa. Scalpel je alat koji nam omogućuje vraćanje podataka koje ste možda izbrisali. Kad izbrišemo podatke, operacijski sustav obično uklanja samo metapodatke datoteke, poput naziva datoteke, vlasnika i lokacije. Korisnički podaci ostaju na mediju za pohranu sve dok se ne prepišu.
Scalpel analizira disk ili uređaj za pohranu tražeći uzorke bajtova koji reagiraju na zaglavlja i podnožja datoteke, na taj će način pokušati oporaviti podatke koji pripadaju datoteci. Scalpel može otkriti različite vrste datoteka. Podržava različite strukture diska i formate datoteka za to, koristi bazu podataka sa zaglavljima i podnožjima datoteka s pravilima izraza kako bi otkrio koji format može oporaviti.
Mnoge distribucije imaju Scalpel u svojim spremištima, iako je dobro ažurirati Scalpel kako bi se dodali novi regularni izrazi za zaglavlja i podnožja datoteka. Scalpel pruža performanse skeniranja velikom brzinom, tijekom indeksiranja čita zaglavlje i podnožje baze podataka o formatima datoteka i izdvaja datoteke koje se podudaraju između skupa definicija i regularnih izraza s uređaja.
Scalpel podržava formate diskova iz FAT, NTFS, ext2 ili neobrađenih particija. Korisno je i za digitalnu forenzičku istragu i za oporavak datoteka. Ovaj je alat dio Seulkita koji se integrira s obdukcijom koju smo vidjeli u vodiču o forenzičkoj analizi tvrdih diskova i particija s obdukcijom.
Da bismo ga instalirali, možemo otići do prozora terminala i napisati sljedeći kod:
sudo apt-get install skalpel
Dalje moramo konfigurirati skalpel za to možemo pronaći instalacijsku datoteku pomoću sljedeće naredbe:
gdje je skalpel
Zatim otvorimo datoteku uređivačem teksta, poput nano ili vi. Prema zadanim postavkama svi su izrazi komentirani s # u konfiguracijskoj datoteci. U konfiguracijskoj datoteci skalpel.konf, postoje neki retci koji sadrže vrste datoteka koje možemo oporaviti. Na primjer jpg.webp, png, doc itd.
PažnjaPrije pokretanja Scalpela moramo otkomentirati format datoteke za koji želimo da se Scalpel oporavi.
Ovdje komentiramo ekstenzije datoteka koje želimo da Scalpel traži, ako se ne komentiraju, te će se datoteke zanemariti.
Važan korak, ako nađemo pogrešku prilikom izvođenja, moramo ručno stvoriti datoteku / et / skalpel mapa a iznutra kopirajte scanpel.conf datoteka.
Zatim iz njegove mape izvršavamo skalpel, označavamo mapu u koju se spremaju oporavljene datoteke.
skalpel -c /etc/scalpel/scalpel.conf /dev /sda -o test
Na slici možemo vidjeti kako je 16 GB oporavljeno na samo 3% ukupnog diska. Parametar -o je izlazni, on označava izlazni direktorij u koji želite vratiti izbrisane datoteke. Moramo provjeriti je li ovaj direktorij prazan prije izvršavanja bilo koje naredbe, u protivnom će nam dati pogrešku.
Scalpel će pokrenuti postupak skeniranja i ovisno o prostoru na disku ili uređaju koji pokušavate skenirati i oporaviti, pa će možda trebati puno vremena za oporavak izbrisanih datoteka.
Ako želimo oporaviti podatke s pogona za pogon ili vanjskog uređaja, moramo znati koja je to particija kroz naredba fdsikAko se radi o pogonskom pogonu ili flash memoriji, općenito će se nalaziti kao sdb particija.
skalpel -c /etc/scalpel/scalpel.conf /dev /sdb -o recu
Unutar mape sprema se datoteka zvana audit.txt koja sadrži podatke o cijelom procesu i oporavljenim datotekama.
U ovom slučaju možemo vidjeti da su png datoteke oporavljene s pogona i imamo ih na raspolaganju u mapi koju nazivamo recu. Jedan od pomoćnih programa Scalpela je kopiranje sadržaja pokvarenog ili neispravnog USB vanjskog uređaja i stvaranje img ili dd slike diska, tako da je možemo vidjeti iz drugog softvera ili montirati, kôd za generiranje slike diska je sljedeći:
skalpel -c -c /etc/scalpel/scalpel.conf /dev /sdb -o oporavljen.ddScalpel je idealan za poslužiteljski rad s Centosom za daljinsko preuzimanje datoteka iz prozora terminala. Scalpel radi na drugim poslužitelj-orijentiranim Linux distribucijama, uključujući:
- Crveni šešir
- Fedora
- Debian.
Jedan od nedostataka Scalpela je da morate vrlo dobro znati kakva je struktura diska ili uređaja za pohranu i naredbe za upravljanje njegovim particijama, kao i kako funkcionira datotečni sustav.
Svaka izbrisana datoteka ostaje negdje na tvrdom disku. budući da je operacijski sustav onaj koji održava pokazivač na popis blokova uređaja za pohranu koji sadrži podatke o datotekama,
Obično u sustavu Windows imamo mnogo vrlo jednostavnih alata za korištenje, poput Recuve koji se koristi za oporavak izgubljenih podataka, ali u sustavu Linux samo nekoliko ako ih želimo koristiti na razini poslužitelja sa sigurnošću.
Scalpel prolazi kroz cijeli tvrdi disk, vrlo dobro radi s vanjskim uređajima za pohranu i oporavlja izgubljene datoteke prema regularnim izrazima što ga čini vrlo svestranim.
