(NAME)'>نام (NAME)

ewfacquire — دریافت و ذخیره‌سازی داده‌ها در قالب EWF

خلاصه دستور (SYNOPSIS)

ewfacquire [-A codepage] [-b number_of_sectors] [-B number_of_bytes] [-c compression_values] [-C case_number] [-d digest_type] [-D description] [-e examiner_name] [-E evidence_number] [-f format] [-g number_of_sectors] [-l log_filename] [-m media_type] [-M media_flags] [-N notes] [-o offset] [-p process_buffer_size] [-P bytes_per_sector] [-r read_error_retries] [-S segment_file_size] [-t target] [-T toc_file] [-2 secondary_target] [-hqRsuvVwx] source

توضیحات (DESCRIPTION)

ewfacquire ابزاری برای دریافت و استخراج داده‌های رسانه از یک source و ذخیره‌سازی آن در قالب EWF (قالب فشرده‌سازی شاهد خبره یا Expert Witness Compression Format) است. ewfacquire داده‌های رسانه را در قالبی معادل با EnCase و FTK imager، از جمله متادیتا (فراداده)، به دست می‌آورد. تحت سیستم‌عامل‌های Linux، FreeBSD، NetBSD، OpenBSD و MacOS-X/Darwin، ابزار ewfacquire از خواندن مستقیم از فایل‌های دستگاه پشتیبانی می‌کند. در سایر پلتفرم‌ها، ewfacquire می‌تواند یک ایمیج خام (dd) را به قالب EWF تبدیل کند.

ewfacquire بخشی از بسته libewf است. libewf کتابخانه‌ای برای دسترسی به قالب فشرده‌سازی شاهد خبره (EWF) است.

source فایل(های) منبع یا دستگاه

گزینه‌ها به شرح زیر هستند:

-A codepage

صفحه کد (کدپیج) بخش سرآیند؛ مقادیر ممکن: ascii (پیش‌فرض)، windows-874، windows-932، windows-936، windows-949، windows-950، windows-1250، windows-1251، windows-1252، windows-1253، windows-1254، windows-1255، windows-1256، windows-1257 یا windows-1258

-b number_of_sectors

تعداد سکتورهایی که در هر نوبت خوانده می‌شوند (در هر تکه)؛ مقادیر ممکن: 16، 32، 64 (پیش‌فرض)، 128، 256، 512، 1024، 2048، 4096، 8192، 16384 یا 32768

-B number_of_bytes

تعداد بایت‌ها برای دریافت و ذخیره‌سازی

-c compression_values

تعیین مقادیر فشرده‌سازی به صورت: level یا method:level

گزینه‌های روش فشرده‌سازی: deflate (پیش‌فرض)

گزینه‌های سطح فشرده‌سازی: none (پیش‌فرض)، empty-block، fast یا best

-C case_number

شماره پرونده (پیش‌فرض case_number است)

-d digest_type

محاسبه انواع چکیده‌ها (هش‌های) اضافی علاوه بر md5؛ گزینه‌ها: sha1، sha256

-D description

توضیحات (پیش‌فرض description است)

-e examiner_name

نام بررسی‌کننده و کارشناس (پیش‌فرض examiner_name است)

-E evidence_number

شماره مدرک (پیش‌فرض evidence_number است)

-f format

قالب فایل EWF برای نوشتن؛ گزینه‌ها: ewf، smart، ftk، encase1، encase2، encase3، encase4، encase5، encase6 (پیش‌فرض)، encase7، linen5، linen6، linen7، ewfx.

-g number_of_sectors

تعداد سکتورهایی که به عنوان دانه‌بندی خطا (error granularity) استفاده می‌شوند

-h

نمایش این راهنما

-l log_filename

ثبت خطاهای دریافت و مقدار چکیده (هش) در فایل لاگ با نام مشخص‌شده

-m media_type

نوع رسانه؛ گزینه‌ها: fixed (پیش‌فرض)، removable، optical، memory

-M media_flags

پرچم‌های رسانه؛ گزینه‌ها: logical، physical (پیش‌فرض)

-N notes

یادداشت‌ها (پیش‌فرض notes است)

-o offset

مبدأ (آفست) شروع دریافت داده‌ها (پیش‌فرض 0 است)

-p process_buffer_size

اندازه بافر پردازش (پیش‌فرض برابر با اندازه هر تکه یا chunk است)

-P bytes_per_sector

تعداد بایت‌ها در هر سکتور (پیش‌فرض 512 است) (از این گزینه برای بازنویسی و لغو تشخیص خودکار بایت در هر سکتور استفاده کنید)

-q

حالت آرام؛ حداقل اطلاعات وضعیت را نمایش می‌دهد

-r read_error_retries

تعداد تلاش‌های مجدد در زمان وقوع خطای خواندن (پیش‌فرض 2 است)

-R

از سرگیری دریافت داده‌ها از یک نقطه امن

-s

جابه‌جایی جفت‌بایت‌های داده‌های رسانه (از AB به BA)؛ (از این گزینه برای تبدیل ترتیب بایت میان big-endian و little-endian و برعکس استفاده کنید)

-S segment_file_size

اندازه فایل قطعه بر حسب بایت (پیش‌فرض 1.4 GiB است)؛ (حداقل 1.0 MiB، حداکثر 7.9 EiB برای قالب‌های encase6 و encase7 و 1.9 GiB برای سایر قالب‌ها)

-t target

فایل مقصد (بدون پسوند) برای نوشتن داده‌ها (پیش‌فرض image است)

-T toc_file

تعیین فایلی که حاوی جدول محتوا (TOC) یک دیسک نوری است. فایل TOC باید در قالب CUE باشد.

-u

حالت غیرتعاملی و خودکار (غیرفعال کردن تعامل با کاربر)

-v

خروجی پرگو و با جزئیات به خطای استاندارد (stderr)

-V

نمایش نسخه

-w

صفر کردن سکتورها در هنگام خطای خواندن (شبیه‌سازی رفتاری مانند EnCase)

-x

استفاده از داده‌های تکه‌ای به جای توابع خواندن و نوشتن بافرشده

-2 secondary_target

فایل مقصد دوم (بدون پسوند) برای نوشتن

ewfacquire داده‌ها را از یک فایل یا دستگاه تا زمانی که با یک خطای خواندن مواجه شود، خواهد خواند. در هنگام خطای خواندن، به تعداد دفعات مشخص‌شده تلاش مجدد انجام می‌دهد. اگر ewfacquire همچنان قادر به خواندن نباشد و در صورت تعیین، باقیمانده تعداد سکتورهای تعیین‌شده به عنوان دانه‌بندی خطا را صفر (پاکسازی) می‌کند. اگر ewfacquire رفتار EnCase را شبیه‌سازی کند، تمام سکتورهای مشخص‌شده به عنوان دانه‌بندی خطا را صفر می‌کند.

فشرده‌سازی بلوک‌های خالی (Empty block compression) بلوک‌هایی از سکتورها را که داده‌های بایت کاملاً یکسانی دارند شناسایی کرده و آن‌ها را با استفاده از سطح فشرده‌سازی پیش‌فرض فشرده می‌سازد.

قالب‌های encase6 و encase7 امکان ایجاد فایل‌های قطعه بزرگ‌تر از 2 GiB (۲۱۴۷۴۸۳۶۴۸ بایت) را فراهم می‌کنند.

محیط (ENVIRONMENT)

هیچ

فایل‌ها (FILES)

هیچ

مثال‌ها (EXAMPLES)

ewfacquire می‌تواند از دستگاه‌ها، فایل(های) ایمیج خام RAW (چندبخشی یا split) یا فایل‌های ایمیج خام RAW دیسک نوری (چندبخشی) ایمیج تهیه کند. ewfacquire تلاش می‌کند اطلاعات دستگاه را به طور خودکار شناسایی نماید، اما نتایج ممکن است در هر پلتفرم متفاوت باشد. در حالت با نظارت (پیش‌فرض)، ewfacquire اطلاعات مورد نیاز خود را از کاربر می‌پرسد.

# ewfacquire /dev/fd0
ewfacquire 20120805

Device information:
Bus type:
Vendor:					Y-E DATA
Model:					USB-FDU
Serial:

Storage media information:
Type:					Device
Media size:				1.4 MB (1474560 bytes)
Bytes per sector:			512

Information about acquiry required, please provide the necessary input
Image path and filename without extension: floppy
Case number: 1
Description: Floppy
Evidence number: 1.1
Examiner name: John D.
Notes: Just a floppy in my system
Media type (fixed, removable, optical, memory) [fixed]: removable
Media characteristics (logical, physical) [logical]:
Use EWF file format (smart, ftk, encase1, encase2, encase3, encase4, encase5, encase6, encase7, linen5, linen6, linen7, ewfx) [encase6]: encase5
Compression method (deflate) [deflate]:
Compression level (none, empty-block, fast, best) [none]:
Start to acquire at offset (0 <= value <= 1474560) [0]:
The number of bytes to acquire (0 <= value <= 1474560) [1474560]:
Evidence segment file size in bytes (1.0 MiB <= value <= 1.9 GiB) [1.4 GiB]:
The number of bytes per sector (1 <= value <= 4294967295) [512]:
The number of sectors to read at once (16, 32, 64, 128, 256, 512, 1024, 2048, 4096, 8192, 16384, 32768) [64]:
The number of sectors to be used as error granularity (1 <= value <= 64) [64]:
The number of retries when a read error occurs (0 <= value <= 255) [2]:
Zero sectors on read error (mimic EnCase like behavior) (yes, no) [no]:

The following information was provided:
Image path and filename:		floppy.E01
Case number:				1
Description:				Floppy
Evidence number:			1.1
Examiner name:				John D.
Notes:					Just a floppy in my system
Media type:				removable
Is physical:				no
EWF file format:			Encase 5 (.E01)
Compression method:			deflate
Compression level:			none
Acquiry start offset:			0
Number of bytes to acquire:		1.4 MiB (1474560 bytes)
Evidence segment file size:		1.4 GiB (1572864000 bytes)
Bytes per sector:			512
Block size:				64 sectors
Error granularity:			64 sectors
Retries on read error:			2
Zero sectors on read error:		no

Continue acquiry with these values (yes, no) [yes]:

Acquiry started at: Sun Aug  5 11:32:41 2012

This could take a while.

Status: at 2%.
        acquired 32 kB (32768 bytes) of total 1.4 MiB (1474560 bytes).

# ewfacquire usb256.raw.0??
ewfacquire 20120805

Storage media information:
Type:					RAW image
Media size:				262 MB (262144000 bytes)
Bytes per sector:			512

# ewfacquire -T cdrom.cue cdrom.iso
ewfacquire 20120805

Storage media information:
Type:					Optical disc RAW image
Media size:				42 MB (42885120 bytes)
Bytes per sector:			2048
Sessions:
	total number: 2
	at sector(s): 0 - 20619 number: 20620
	at sector(s): 20620 - 20939 number: 320

عیب‌یابی (DIAGNOSTICS)

هنگامی که خروجی پرگو با گزینه -v فعال باشد، خطاها، خروجی‌های تفصیلی و اطلاعات اشکال‌زدایی در خطای استاندارد (stderr) چاپ می‌شوند. خروجی‌های تفصیلی و اشکال‌زدایی تنها در صورتی چاپ می‌شوند که در زمان کامپایل برنامه فعال شده باشند.

اشکالات (BUGS)

لطفاً هرگونه اشکال را در سامانه ردیابی مشکلات پروژه گزارش دهید: https://github.com/libyal/libewf-legacy/issues

نویسنده (AUTHOR)

این صفحات راهنما توسط Kees Mastwijk نوشته شده‌اند.

تغییرات برای توزیع توسط Joachim Metz انجام شده است.

حق نشر (COPYRIGHT)

Copyright 2006-2014, Joachim Metz <joachim.metz@gmail.com>.

این یک نرم‌افزار آزاد است؛ برای شرایط کپی‌برداری به کد منبع مراجعه کنید. هیچ‌گونه ضمانتی وجود ندارد؛ حتی برای قابلیت فروش یا تناسب با یک هدف خاص.

همچنین ببینید (SEE ALSO)

ewfacquirestream(1), ewfexport(1), ewfinfo(1), ewfmount(1), ewfrecover(1), ewfverify(1)