| ILS(1) | General Commands Manual | ILS(1) |
نام (NAME)
ils - فهرست کردن اطلاعات inode
خلاصه دستور (SYNOPSIS)
ils [-emOpvV] [-f fstype ] [-s seconds ] [-i imgtype ] [-o imgoffset ] [-b dev_sector_size] image [images] [start-stop]
ils [-aAlLvVzZ] [-f fstype ] [-s seconds ] [-i imgtype ] [-o imgoffset ] image [images] [start-stop]
توضیحات (DESCRIPTION)
دستور ils ایمیج(های) مشخص‌شده در image(s) را باز کرده و اطلاعات inode را فهرست می‌کند. به‌طور پیش‌فرض، ils تنها inodeهای فایل‌های حذف‌شده را فهرست می‌نماید.
آرگومان‌ها:
- -e
- فهرست کردن تمام inodeها در سیستم‌فایل.
- -f fstype
- نوع سیستم‌فایل را مشخص می‌کند. برای مشاهده فهرست انواع سیستم‌فایل‌های پشتیبانی‌شده از '-f list' استفاده کنید. در صورت عدم تعیین، از روش‌های تشخیص خودکار استفاده می‌شود.
- -s seconds
- انحراف زمانی سیستم اصلی بر حسب ثانیه. برای مثال، اگر ساعت سیستم اصلی ۱۰۰ ثانیه عقب بوده باشد، این مقدار -100 خواهد بود.
- -m
- نمایش جزئیات inode در قالبی که برنامه mactime می‌خواند (جایگزین اسکریپت ils2mac از TCT).
- -O
- فقط فهرست کردن inodeهای فایل‌های حذف‌شده‌ای که هنوز باز هستند یا در حال اجرا می‌باشند. این گزینه فرم کوتاه -aL است (بخش کنترل‌های دقیق‌تر در زیر را ببینید). (این گزینه قبلاً -o بود).
- -p
- نمایش inodeهای یتیم (تخصیص‌نیافته و فاقد نام فایل).
- -r
- (پیش‌فرض) فقط فهرست کردن inodeهای فایل‌های حذف‌شده. این گزینه فرم کوتاه -LZ است (بخش کنترل‌های دقیق‌تر در زیر را ببینید).
- -i imgtype
- نوع فایل ایمیج، مانند raw را مشخص می‌کند. برای دیدن فهرست انواع پشتیبانی‌شده از '-i list' استفاده کنید. در صورت عدم تعیین، از روش‌های تشخیص خودکار استفاده می‌شود.
- -o imgoffset
- آفست سکتور که سیستم‌فایل در ایمیج از آنجا شروع می‌شود.
- -b dev_sector_size
- اندازه سکتورهای دستگاه مبنا به بایت. در صورت عدم تعیین، مقدار موجود در قالب ایمیج (در صورت وجود) استفاده می‌شود یا مقدار پیش‌فرض ۵۱۲ بایت در نظر گرفته می‌شود.
- -v
- فعال‌سازی حالت پرگو (verbose)، خروجی به stderr ارسال می‌شود.
- -V
- نمایش نسخه.
- image [images]
- ایمیج دیسک یا پارتیشن برای خواندن، که قالب آن با '-i' تعیین می‌شود. در صورتی که ایمیج به چند بخش تقسیم شده باشد، می‌توان چندین نام فایل ایمیج را مشخص کرد. اگر فقط یک فایل ایمیج داده شود و نام آن نخستین بخش در یک دنباله باشد (برای نمونه، نام آن با '.001' پایان یابد)، بخش‌های بعدی ایمیج به‌طور خودکار لحاظ خواهند شد.
- start-stop
- بررسی شماره inode یا بازه شماره‌های مشخص‌شده.
کنترل‌های دقیق‌تر:
- -a
- فقط فهرست کردن inodeهای تخصیص‌یافته: این‌ها متعلق به فایل‌هایی با حداقل یک ورودی دایرکتوری در سیستم‌فایل و فایل‌های حذف‌شده‌ای هستند که هنوز باز یا در حال اجرا می‌باشند.
- -A
- فقط فهرست کردن inodeهای تخصیص‌نیافته: این‌ها متعلق به فایل‌هایی هستند که دیگر وجود ندارند.
- -l
- فقط فهرست کردن inodeهای دارای دست‌کم یک پیوند سخت (hard link). این‌ها متعلق به فایل‌هایی با حداقل یک ورودی دایرکتوری در سیستم‌فایل هستند.
- -L
- فقط فهرست کردن inodeهای فاقد هرگونه پیوند سخت. این‌ها متعلق به فایل‌هایی هستند که دیگر وجود ندارند، و فایل‌های حذف‌شده‌ای که هنوز باز یا در حال اجرا می‌باشند.
- -z
- فقط فهرست کردن inodeهایی که احتمالاً استفاده نشده‌اند.
- -Z
- فقط فهرست کردن inodeهایی که احتمالاً استفاده شده‌اند.
قالب خروجی مطابق با قالب ماشین زمان (time machine) است. خروجی با یک سرآیند دو خطی آغاز می‌شود که منشأ داده‌ها را توصیف می‌کند، و در ادامه یک سرآیند یک خطی می‌آید که نام ویژگی‌های داده‌ای تشکیل‌دهنده ادامه خروجی را فهرست می‌کند:
- st_ino
- شماره inode.
- st_alloc
- وضعیت تخصیص: `a` برای inode تخصیص‌یافته، `f` برای inode آزاد.
- st_uid
- شناسه کاربر مالک (UID).
- st_gid
- شناسه گروه مالک (GID).
- st_mtime
- زمان یونیکس (ثانیه) مربوط به آخرین تغییر محتوای فایل.
- st_atime
- زمان یونیکس (ثانیه) مربوط به آخرین دسترسی به فایل.
- st_ctime
- زمان یونیکس (ثانیه) مربوط به آخرین تغییر وضعیت inode.
- st_dtime
- زمان یونیکس (ثانیه) مربوط به حذف فایل (فقط LINUX).
- st_mode
- نوع فایل و مجوزها (مبنای هشت / octal).
- st_nlink
- تعداد پیوندهای سخت.
- st_size
- اندازه فایل به بایت.
- st_block0,st_block1
- دو ورودی نخست در فهرست آدرس بلوک‌های مستقیم.
همچنین ببینید (SEE ALSO)
mactime(1)
مجوز (LICENSE)
این نرم‌افزار تحت مجوز IBM Public License توزیع می‌شود.
تاریخچه (HISTORY)
نخستین بار در The Coroners Toolkit (TCT) 1.0 عرضه شد.
نویسندگان (AUTHORS)
Wietse Venema IBM T.J. Watson Research P.O. Box 704 Yorktown Heights, NY 10598, USA
این نسخه توسط Brian Carrier نگهداری می‌شود (carrier at sleuthkit dot org)
به‌روزرسانی‌های مستندات را به <doc-updates at sleuthkit dot org> ارسال کنید.