FLS(1) General Commands Manual FLS(1)

fls - فهرست‌کردن نام فایل‌ها و پوشه‌ها در ایمیج‌های سیستم فایل

fls [-adDFlpruvV] [-m mnt ] [-z zone ] [-f fstype ] [-s seconds ] [-i imgtype ] [-o imgoffset ] [-b dev_sector_size] image [images] [ inode ]

دستور fls نام فایل‌ها و پوشه‌های موجود در image را فهرست می‌کند و می‌تواند نام فایل‌های به‌تازگی حذف‌شده را برای پوشه با استفاده از inode داده‌شده نمایش دهد. اگر آرگومان اینود مشخص نشود، مقدار اینود دایرکتوری ریشه (root) استفاده می‌شود. برای مثال، در سیستم فایل NTFS این مقدار ۵ و در سیستم فایل Ext3 برابر ۲ است.

آرگومان‌ها به شرح زیر هستند:

نمایش مدخل‌های دایرکتوری «.» و «..» (به‌طور پیش‌فرض نمایش داده نمی‌شوند).
تنها نمایش مدخل‌های حذف‌شده.
تنها نمایش مدخل‌های دایرکتوری (پوشه).
نوع سیستم فایل. برای دیدن فهرست انواع سیستم فایل‌های پشتیبانی‌شده از -f list استفاده کنید. اگر مشخص نشود، از روش‌های تشخیص خودکار استفاده می‌شود.
تنها نمایش مدخل‌های فایل (تمامی موارد غیر دایرکتوری).
نمایش جزئیات فایل در قالب طولانی. محتویات زیر نمایش داده می‌شوند:
file_type inode file_name mod_time acc_time chg_time cre_time size uid gid
نمایش فایل‌ها در قالب ماشین زمان (time machine) به‌گونه‌ای که بتوان با mactime(1) یک خط زمانی (timeline) ایجاد کرد. رشته داده‌شده به‌عنوان mnt به ابتدای نام فایل‌ها به‌عنوان نقطه اتصال (mount point) اضافه می‌شود (برای مثال /usr).
نمایش مسیر کامل برای هر مدخل. به‌طور پیش‌فرض، در اجرای بازگشتی عمق دایرکتوری را با علامت «+» نشان می‌دهد.
نمایش بازگشتی دایرکتوری‌ها. این گزینه دایرکتوری‌های حذف‌شده را دنبال نمی‌کند، زیرا امکان‌پذیر نیست.
انحراف زمانی (time skew) سیستم اصلی برحسب ثانیه. برای مثال، اگر ساعت سیستم اصلی ۱۰۰ ثانیه عقب بوده باشد، این مقدار ۱۰۰- خواهد بود. این گزینه تنها در صورت استفاده از -l یا -m به کار می‌رود.
تعیین نوع فایل ایمیج، مانند raw. برای دیدن فهرست انواع پشتیبانی‌شده از -i list استفاده کنید. اگر مشخص نشود، از روش‌های تشخیص خودکار استفاده می‌شود.
آفست سکتور که سیستم فایل در ایمیج از آنجا شروع می‌شود.
اندازه سکتورهای دستگاه زیربنایی برحسب بایت. اگر مشخص نشود، مقدار موجود در فرمت ایمیج استفاده می‌شود (در صورت وجود) یا ۵۱۲ بایت فرض می‌شود.
تنها نمایش مدخل‌های حذف‌نشده.
خروجی با جزئیات کامل در خروجی استاندارد خطا (stderr).
نمایش نسخه.
رشته اسکی (ASCII) منطقه زمانی سیستم اصلی؛ برای مثال EST یا GMT. این رشته‌ها باید توسط سیستم‌عامل شما تعریف شده باشند و ممکن است متغیر باشند.
ایمیج دیسک یا پارتیشن برای خواندن که فرمت آن با -i مشخص می‌شود. اگر ایمیج به چند بخش تقسیم شده باشد، می‌توان چندین نام فایل ایمیج را مشخص کرد. اگر تنها یک فایل ایمیج داده شود و نام آن اولین مورد در یک دنباله باشد (مانند فایل‌هایی که با «001.» ختم می‌شوند)، بخش‌های بعدی ایمیج به‌طور خودکار افزوده خواهند شد.

پس از تعیین اینود، فایل را می‌توان با استفاده از icat(1) از جعبه‌ابزار The Coroners Toolkit بازیابی کرد. میزان اطلاعات بازیابی‌شده از مدخل‌های فایل حذف‌شده بسته به سیستم متفاوت است. برای مثال، در لینوکس فایلی که به‌تازگی حذف شده را می‌توان به‌سادگی بازیابی کرد، در حالی که در سولاریس حتی اینود آن نیز قابل تعیین نیست. اگر فقط می‌خواهید بدانید چه نام فایلی به یک اینود تعلق دارد، استفاده از ffind(1) آسان‌تر است.

برای دریافت فهرستی از تمام فایل‌ها و پوشه‌ها در یک ایمیج:

# fls -r image 2

یا در صورتی که اینودی مشخص نشود، اینود دایرکتوری ریشه استفاده می‌شود:

# fls -r image

برای دریافت مسیر کامل فایل‌های حذف‌شده در یک دایرکتوری معین:

# fls -d -p image 29

برای دریافت خروجی mactime:

# fls -m /usr/local image 2

اگر ایمیج دیسک دارید و سیستم فایل از سکتور ۶۳ شروع می‌شود:

# fls -o 63 disk-img.dd

اگر ایمیج دیسک چندبخشی (split) دارید:

# fls -i "split" -o 63 disk-1.dd disk-2.dd disk-3.dd

ffind(1), icat(1)

Brian Carrier <carrier at sleuthkit dot org>

ارسال به‌روزرسانی‌های مستندات به <doc-updates at sleuthkit dot org>