korczis/foremost設定可能なルールに基づき、ヘッダー、フッター、内部構造を照合してディスクイメージや生のドライブから削除されたファイルを復元するファイルカービングユーティリティ。
Foremost は、ヘッダーとフッターに基づいてファイルを復元する Linux プログラムです。Foremost は、dd、Safeback、Encase などによって生成されたイメージファイルに対して動作し、ドライブに対して直接動作することもできます。ヘッダーとフッターは設定ファイルで指定されるため、検索したいヘッダーを自由に選択できます。
foremost を実行するには、次の操作が必要です:
手順は以下のとおりです:
LINUX: $ tar zxvf foremost-xx.tar.gz $ cd foremost-xx $ make $ make install
BSD: $ tar zxvf foremost-xx.tar.gz $ cd foremost-xx $ make unix $ make install
SOLARIS: $ tar zxvf foremost-xx.tar.gz $ cd foremost-xx $ make solaris $ make install
OSX: $ tar zxvf foremost-xx.tar.gz $ cd foremost-xx $ make mac $ make macinstall
glibc の古いバージョン（2.2.0 より前）を搭載したシステムでは、ftello と fseeko が定義されていないという無害な警告が表示されます。これらの警告は無視して構いません。
システムから foremost を削除する必要がある場合は、次のようにします:
$ make uninstall
コマンドライン引数の説明は man ページに記載されています。表示するには:
$ man foremost
設定ファイルは、foremost が検索するファイルの種類を制御するために使用されます。この配布物にはサンプル設定ファイル foremost.conf が含まれています。設定ファイルは、ファイルタイプごとに、ファイルの拡張子、ヘッダーとフッターの大文字小文字の区別、最大ファイルサイズ、およびファイルのヘッダーとフッターを記述します。フッターフィールドは省略可能ですが、ヘッダー、サイズ、大文字小文字の区別、拡張子は省略できません!
'#' で始まる行はコメントと見なされ、無視されます。したがって、あるファイルタイプをスキップするには、その行の先頭に '#' を置くだけです。
ヘッダーとフッターは使用前にデコードされます。16 進数で値を指定するには \x[0-f][0-f] を使用し、8 進数では [0-7][0-7][0-7] を使用します。スペースは \s で表せます。例: "\x4F\123\I\sCCI" は "OSI CCI" にデコードされます。
任意の 1 文字（ワイルドカードとも呼ばれる）に一致させるには '?' を使用します。'?' という文字自体を検索する必要がある場合は、設定ファイル内の 'wildcard' 行 および 古いワイルドカード文字が出現するすべての箇所を変更する必要があります。16 進数と 8 進数の値を忘れないでください! '?' は 0x3f および \063 に相当します。
ヘッダーとフッターのサンプルセットは次のとおりです:
gif y 155000 \x47\x49\x46\x38\x37\x61 \x00\x3b
gif y 155000 \x47\x49\x46\x38\x39\x61 \x00\x00\x3b
jpg y 200000 \xff\xd8\xff \xff\xd9
注: オプションは追加オプションを指定する方法です。現在、次のオプションが存在します:
FORWARD: ヘッダーからフッター（省略可）まで、max-size までの範囲で検索する場合に指定します。 REVERSE: フッターからヘッダーまで、max-size までの範囲で検索する場合に指定します。 NEXT: ヘッダーからフッターを過ぎた直後のデータまで検索する場合に指定します。これにより、検索対象のデータには「含まれない」とわかっているデータを指定でき、max-size までの範囲で検索を終了できます。
すべてのバグを nick dot mikus AT gmail d0t com まで報告してください。バグの説明、発見方法、および連絡先情報を必ず記載してください。
Foremost は、2001 年 3 月から、アメリカ空軍特別調査室の特別捜査官 Kris Kendall と特別捜査官 Jesse Kornblum によって作成されました。このプログラムが現在の形になるまでには、(順不同で) Rob Meekins、Dan Kalil、Chet Maciag の支援がありました。このプロジェクトは、1999 年に Defense Computer Forensic Lab が作成した CarvThis に触発されたものです。
dd、Safeback、Encase は著作権で保護された作品であり、これらのツールに関する質問は著作権者に直接お問い合わせください。アメリカ合衆国政府は、これらのツールやその他のイメージングツールの使用を推奨するものではありません。