TSK_RECOVER(1) General Commands Manual TSK_RECOVER(1)

tsk_recover - استخراج فایل‌ها از یک ایمیج در یک دایرکتوری محلی

tsk_recover [-vVae] [ -f fstype ] [ -i imgtype ] [ -b dev_sector_size ] [ -o sector_offset ] [ -d dir_inum ] image [images] output_dir

دستور tsk_recover فایل‌ها را از image به output_dir بازیابی می‌کند. به‌طور پیش‌فرض تنها فایل‌های تخصیص‌نیافته بازیابی می‌شوند. با استفاده از گزینه‌ها، تمام فایل‌ها را استخراج خواهد کرد.

آرگومان‌ها به شرح زیر هستند:

خروجی پرجزئیات در stderr
نمایش نسخه
فقط بازیابی فایل‌های تخصیص‌یافته
بازیابی تمام فایل‌ها (تخصیص‌یافته و تخصیص‌نیافته)
نوع فایل‌سیستم را مشخص می‌کند. برای فهرست کردن انواع فایل‌سیستم‌های پشتیبانی‌شده از '-f list' استفاده کنید. در صورت عدم تعیین، از روش‌های تشخیص خودکار استفاده می‌شود.
قالب فایل ایمیج، مانند raw. برای فهرست کردن انواع پشتیبانی‌شده از '-i list' استفاده کنید. در صورت عدم تعیین، از روش‌های تشخیص خودکار استفاده می‌شود.
اندازه (به بایت) سکتورهای دستگاه. در صورت عدم تعیین، از روش‌های تشخیص خودکار استفاده می‌شود.
آفست سکتور برای یک حجم (volume) جهت بازیابی (تنها همان حجم را بازیابی می‌کند). در صورت عدم تعیین، تلاش خواهد کرد تمام حجم‌های موجود در ایمیج را بازیابی کرده و در پوشه‌های متفاوتی ذخیره کند.
شماره inum دایرکتوری برای بازیابی از آن (باید یک پارتیشن مشخص نیز با استفاده از -o تعیین شود یا اینکه سیستم فاقد سیستم حجم‌بندی باشد).
ایمیج دیسک یا پارتیشن برای خواندن، که قالب آن با '-i' مشخص می‌شود. اگر ایمیج به چند بخش تقسیم شده باشد، می‌توان نام چند فایل ایمیج را وارد کرد. اگر تنها یک فایل ایمیج مشخص شود و نام آن نخستین مورد در یک توالی باشد (برای نمونه، با خاتمه یافتن به '.001' مشخص شود)، بخش‌های بعدی ایمیج به‌طور خودکار لحاظ خواهند شد.
دایرکتوری مقصد برای ذخیره فایل‌های بازیابی‌شده.

برای بازیابی تنها فایل‌های تخصیص‌نیافته از image.dd در دایرکتوری recovered:

# tsk_recover ./image.dd ./recovered

Brian Carrier <carrier at sleuthkit dot org>

ارسال به‌روزرسانی‌های مستندات به <doc-updates at sleuthkit dot org>