はじめにこれは、低レベルのディスク読み取り方式を使用してNTFSボリュームからファイルをコピーするコンソールアプリケーションです。

パラメータの説明 /ImageFile: 抽出元のイメージファイルの完全パスとファイル名。このパラメータを使用する場合は、/ImageVolume: を設定する必要があります。オプション。 /ImageVolume: 抽出元のボリューム番号。ボリュームがNTFSでない場合は何も抽出されません。/ImageFile: と併用します。 /FileNamePath: 抽出するファイルの完全パスとファイル名。Volume:MftRef の形式でも指定可能。必須。 /OutputPath: ファイルの出力先パス。オプション。省略時はプログラムディレクトリに出力されます。 /OutputName: 出力ファイル名。オプション。省略時は元のファイル名が使用されます。元のファイル名を上書きする場合にのみ使用します。 /AllAttr: すべての属性を抽出するかどうかのブールフラグ。オプション。デフォルトは0。 /RawDirMode: ディレクトリ一覧表示モード（オプション）。0は非表示、1は詳細表示、2は基本表示。省略時は0。他のパラメータと併用可能ですが、このモードを使用する場合、FileNamePath にMftRefを指定することはできません。 /WriteFSInfo: 出力ディレクトリにボリューム情報を含むファイル（VolInfo.txt）を書き込むかどうかのオプションのブールフラグ。 /TcpSend 出力をネットワーク経由で送信するかどうかのオプションのブールフラグ。このフラグが設定されている場合、/OutputPath: の値は IP:PORT または DOMAIN:PORT である必要があります。

このツールを使用すると、システムによってロックされているために通常アクセスできないファイルをコピーできます。例えば、SYSTEMやSAMなどのレジストリハイブ、'System Volume Information'内のファイル、pagefile.sys、またはファイルシステム上の任意のファイルです。

入力ファイルは、完全なファイルパスまたは$MFTレコード番号（インデックス番号）で指定できます。

では、既知のシステムファイル以外のファイルのインデックス番号を取得するにはどうすればよいでしょうか？バージョン1.0.0.13以降、RawDirの機能がRawCopyに移植されました。これにより、'System Volume Information'などのディレクトリ内を検索できます（RawCopy.exe /FileNamePath:"c:\System Volume Information" /RawDirMode:2）。

イメージファイルの場合、/FileNamePath: パラメータのボリューム文字は無視されます。

/FileNamePath でデバイスパスを指定すると、マウントされたボリュームがない接続デバイスにアクセスできます。例：HarddiskVolume1、Harddisk0Partition2、HarddiskVolumeShadowCopy1、PhysicalDrive1。

イメージファイル内のシャドウコピーからファイルを抽出するには、事前にイメージファイルをマウントして、Windowsが\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy60のようなシャドウコピーへのシンボリックリンクを提示するようにする必要があります。Arsenal Image Mounter（無料）などのツールでイメージをマウントすることを推奨します。

/WriteFSInfo: パラメータはスクリプト作成時に便利です。SectorsPerClusterとMFTRecordSizeがLogFileParserやMft2Csvで使用されるためです。

/TcpSend:1 を使用してネットワークに出力を送信する場合、宛先で何かがリッスンしている必要があります（例：netcat）。現時点では、データは暗号化されずにそのままネットワーク経由で送信されます。

このバージョンはWindows 2000 / NTFS 3.0と互換性がありません。v1.0.0.19から特別なビルドを用意しており、そこで使用できます；https://github.com/jschicht/RawCopy/releases/download/1.0.0.19/RawCopy_v1.0.0.19_.Win2000.zip 以前のバージョンはテストされていません。

使用例

実行中のシステムから休止状態ファイルをコピーしてE:\output\hiberfil_c.sysに保存する例 RawCopy.exe /FileNamePath:C:\hiberfil.sys /OutputPath:E:\output /OutputName:hiberfil_c.sys

実行中のシステムからSYSTEMハイブをコピーする例 RawCopy.exe /FileNamePath:C:\WINDOWS\system32\config\SYSTEM /OutputPath:E:\output

インデックス番号を指定して$MFTをプログラムディレクトリに抽出し、デフォルトの出力ファイル名をMFT_C.binに上書きする例 RawCopy.exe /FileNamePath:C:0 /OutputName:MFT_C.bin

MFT参照番号30224を抽出し、$DATAを含むすべての属性を取得してC:\tmpにダンプする例 RawCopy.exe /FileNamePath:C:30224 /OutputPath:C:\tmp /AllAttr:1

ディスクイメージにアクセスし、ボリューム2からMftRef（$LogFile）を抽出する例 RawCopy.exe /ImageFile:e:\temp\diskimage.dd /ImageVolume:2 /FileNamePath:c:2 /OutputPath:e:\out

パーティション/ボリュームイメージにアクセスし、file.extを抽出してE:\outにダンプする例 RawCopy.exe /ImageFile:e:\temp\partimage.dd /ImageVolume:1 /FileNamePath:c:\file.ext /OutputPath:e:\out

c:$Extend 内で詳細モードの生ディレクトリ一覧を作成する例 RawCopy.exe /FileNamePath:c:$Extend /RawDirMode:1

ディスクイメージファイル内のc:\System Volume Informationで基本モードの生ディレクトリ一覧を作成する例 RawCopy.exe /ImageFile:e:\temp\diskimage.dd /ImageVolume:1 /FileNamePath:"c:\System Volume Information" /RawDirMode:2

シャドウコピー内のルートレベルで詳細モードの生ディレクトリ一覧を作成する例 RawCopy.exe /FileNamePath:\.\HarddiskVolumeShadowCopy1❌\ /RawDirMode:1

ハードディスク1のパーティション2から$MFTを抽出してe:\outにダンプする例 RawCopy.exe /FileNamePath:\.\Harddisk0Partition2:0 /OutputPath:e:\out

PhysicalDrive0の2番目のボリュームから$MFTを抽出し、E:\out\MFT_Pd0Vol2.binとして保存する例 RawCopy.exe /FileNamePath:\.\PhysicalDrive0:0 /ImageVolume:2 /OutputPath:e:\out /OutputName:MFT_Pd0Vol2.bin

システムボリュームから$LogFileを抽出し、ネットワーク経由で送信する例 RawCopy.exe /FileNamePath:c:$LogFile /TcpSend:1 /OutputPath:10.10.10.10:6666 RawCopy.exe /FileNamePath:c:$LogFile /TcpSend:1 /OutputPath:www.mypublicdomain.com:6666

RawCopy

人気