korczis/foremost구성 가능한 규칙을 통해 헤더, 푸터 및 내부 구조를 매칭하여 디스크 이미지와 원시 드라이브에서 삭제된 파일을 복구하는 파일 카빙 유틸리티입니다.
Foremost는 헤더와 푸터를 기반으로 파일을 복구하는 Linux 프로그램입니다. Foremost는 dd, Safeback, Encase 등에서 생성된 이미지 파일이나 드라이브에서 직접 작동할 수 있습니다. 헤더와 푸터는 구성 파일로 지정되므로 찾고자 하는 헤더를 직접 선택할 수 있습니다.
foremost를 실행하려면 다음을 수행해야 합니다:
방법은 다음과 같습니다:
LINUX: $ tar zxvf foremost-xx.tar.gz $ cd foremost-xx $ make $ make install
BSD: $ tar zxvf foremost-xx.tar.gz $ cd foremost-xx $ make unix $ make install
SOLARIS: $ tar zxvf foremost-xx.tar.gz $ cd foremost-xx $ make solaris $ make install
OSX: $ tar zxvf foremost-xx.tar.gz $ cd foremost-xx $ make mac $ make macinstall
glibc 구버전(2.2.0 이전)을 사용하는 시스템에서는 ftello와 fseeko가 정의되지 않았다는 무해한 경고가 표시됩니다. 이러한 경고는 무시해도 됩니다.
시스템에서 foremost를 제거해야 하는 경우 다음을 수행하면 됩니다:
$ make uninstall
명령줄 인수에 대한 설명은 man 페이지에서 확인할 수 있습니다. 보려면:
$ man foremost
구성 파일은 foremost가 검색할 파일 유형을 제어하는 데 사용됩니다. 샘플 구성 파일인 foremost.conf가 이 배포판에 포함되어 있습니다. 각 파일 유형에 대해 구성 파일은 파일의 확장자, 헤더와 푸터의 대소문자 구분 여부, 최대 파일 크기, 그리고 파일의 헤더와 푸터를 설명합니다. 푸터 필드는 선택 사항이지만 헤더, 크기, 대소문자 구분, 확장자는 필수입니다!
'#'으로 시작하는 모든 줄은 주석으로 간주되어 무시됩니다. 따라서 파일 유형을 건너뛰려면 해당 줄의 시작 부분에 '#'을 넣으면 됩니다.
헤더와 푸터는 사용 전에 디코딩됩니다. 값을 16진수로 지정하려면 \x[0-f][0-f]를 사용하고, 8진수로 지정하려면 [0-7][0-7][0-7]을 사용합니다. 공백은 \s로 나타낼 수 있습니다. 예: "\x4F\123\I\sCCI"는 "OSI CCI"로 디코딩됩니다.
단일 문자(와일드카드)를 일치시키려면 '?'를 사용합니다. '?' 문자 자체를 검색해야 하는 경우 'wildcard' 줄 및 구성 파일에서 기존 와일드카드 문자가 나타나는 모든 곳을 변경해야 합니다. 해당 16진수 및 8진수 값을 잊지 마세요! '?'는 0x3f 및 \063과 같습니다.
다음은 헤더와 푸터의 샘플 세트입니다:
gif y 155000 \x47\x49\x46\x38\x37\x61 \x00\x3b
gif y 155000 \x47\x49\x46\x38\x39\x61 \x00\x00\x3b
jpg y 200000 \xff\xd8\xff \xff\xd9
참고: option은 추가 옵션을 지정하는 방법입니다. 현재 다음 옵션이 있습니다:
FORWARD: 헤더에서 푸터(선택 사항)까지 최대 크기(max-size) 범위 내에서 검색하도록 지정합니다. REVERSE: 푸터에서 헤더까지 최대 크기 범위 내에서 검색하도록 지정합니다. NEXT: 헤더에서 푸터 바로 뒤의 데이터까지 검색하도록 지정합니다. 이를 통해 찾고 있는 데이터에 '없다고' 알고 있는 데이터를 지정할 수 있으며, 최대 크기 범위 내에서 검색을 종료해야 합니다.
모든 버그는 nick dot mikus AT gmail d0t com으로 신고해 주세요. 버그에 대한 설명, 발견 경위, 연락처 정보를 포함해 주시기 바랍니다.
Foremost는 2001년 3월부터 미국 공군 특별수사국(United States Air Force Office of Special Investigations)의 특별 요원 Kris Kendall과 특별 요원 Jesse Kornblum이 작성했습니다. 이 프로그램은 (특별한 순서 없이) Rob Meekins, Dan Kalil, Chet Maciag의 도움 없이는 오늘날의 모습을 갖출 수 없었습니다. 이 프로젝트는 1999년 국방 컴퓨터 포렌식 연구소(Defense Computer Forensic Lab)에서 작성한 CarvThis에서 영감을 받았습니다.
dd, Safeback, Encase는 저작권이 있는 작품이며, 이러한 도구에 관한 질문은 저작권 보유자에게 문의해야 합니다. 미국 정부는 이러한 도구나 기타 이미징 도구의 사용을 보증하지 않습니다.