| IFIND(1) | General Commands Manual | IFIND(1) |
نام (NAME)
ifind - یافتن ساختار فراداده‌ای که یک واحد دیسک یا نام فایل معین را تخصیص داده است
خلاصه دستور (SYNOPSIS)
ifind [-avVl] [-f fstype] [-d data_unit] [-n file] [-p par_inode] [-z ZONE] [-i imgtype] [-o imgoffset] [-b dev_sector_size] image [images]
توضیحات (DESCRIPTION)
ifind ساختار فراداده‌ای را می‌یابد که یک واحد داده data_unit را تخصیص داده است یا نام فایل مشخصی دارد. در برخی موارد حتی اگر هر یک از ساختارها تخصیص‌نیافته باشند، این ابزار همچنان نتایج را خواهد یافت.
آرگومان‌ها (ARGUMENTS)
چندین آرگومان اجباری و اختیاری وجود دارد. نام فایل‌های ایمیج باید در هر بار اجرا مشخص شود:
- image [images]
- ایمیج دیسک یا پارتیشنی که باید خوانده شود و قالب آن با '-i' تعیین می‌شود. اگر ایمیج به چند بخش تقسیم شده باشد، می‌توان نام چندین فایل ایمیج را مشخص کرد. اگر تنها یک فایل ایمیج داده شود و نام آن اولین فایل در یک دنباله باشد (برای نمونه، نام‌هایی که به '.001' ختم می‌شوند)، بخش‌های بعدی ایمیج به صورت خودکار لحاظ خواهند شد.
همچنین باید مشخص کنید که به دنبال چه چیزی هستید و یکی از موارد زیر را وارد نمایید:
- -d data_unit
- ساختار فراداده‌ای را می‌یابد که یک واحد داده مشخص (بلوک، کلاستر و غیره) را تخصیص داده است.
- -n file
- ساختار فراداده‌ای را می‌یابد که نام فایل مشخص‌شده به آن اشاره می‌کند.
- -p par_inode
- مدخل‌های تخصیص‌نیافته MFT را در یک ایمیج NTFS می‌یابد که inode مشخص‌شده والد آن‌ها است. می‌تواند به همراه '-l' و '-z' استفاده شود.
همچنین چندین آرگومان اختیاری وجود دارد:
- -a
- یافتن تمام ساختارهای فراداده (تنها هنگام جستجو با یک data_unit کار می‌کند).
- -f fstype
- نوع سیستم فایل را مشخص می‌کند. برای دیدن فهرست انواع سیستم فایل‌های پشتیبانی‌شده از '-f list' استفاده کنید. در صورت مشخص نشدن، از روش‌های تشخیص خودکار استفاده می‌شود.
- -l
- فهرست کردن جزئیات هر فایل یافت‌شده با '-p'، مشابه 'fls -l'.
- -i imgtype
- نوع فایل ایمیج را مشخص می‌کند، مانند raw. برای دیدن فهرست انواع پشتیبانی‌شده از '-i list' استفاده کنید. در صورت مشخص نشدن، از روش‌های تشخیص خودکار استفاده می‌شود.
- -o imgoffset
- آفست سکتور که سیستم فایل از آن نقطه در ایمیج شروع می‌شود.
- -b dev_sector_size
- اندازه سکتورهای دستگاه زیرین بر حسب بایت. در صورت عدم تعیین، مقدار موجود در قالب ایمیج (در صورت وجود) استفاده می‌شود یا مقدار ۵۱۲ بایت فرض خواهد شد.
- -v
- خروجی با جزئیات بیشتر به stderr.
- -V
- نمایش نسخه.
- -z ZONE
- اگر گزینه‌های '-p -l' مشخص شده باشند، این گزینه منطقه زمانی (timezone) را برای نمایش زمان‌های صحیح تنظیم می‌کند.
مثال‌ها (EXAMPLES)
# ifind -f fat -d 456 fat-img.dd
# ifind -f linux-ext2 -n "/etc/" linux-img.dd
# ifind -f ntfs -p 5 -l -z EST5EDT ntfs-img.dd
نویسندگان (AUTHORS)
Brian Carrier <carrier at sleuthkit dot org>
ارسال به‌روزرسانی‌های مستندات به <doc-updates at sleuthkit dot org>