نام (NAME)

tsk_comparedir - مقایسه محتویات یک دایرکتوری با محتویات یک ایمیج یا دستگاه محلی

خلاصه دستور (SYNOPSIS)

tsk_comparedir [-vV] [-n start_inum ] [ -f fstype ] [ -i imgtype ] [ -b dev_sector_size ] [ -o sector_offset ] image [images] comparison_directory

توضیحات (DESCRIPTION)

tsk_comparedir محتویات image را با محتویات comparison_directory مقایسه می‌کند. این ابزار می‌تواند برای شناسایی روت‌کیت‌ها و هنگام آزمایش سودمند باشد. روت‌کیت‌ها را می‌توان با مقایسه محتویات یک دایرکتوری محلی و یک دستگاه خام (raw device) محلی شناسایی کرد. روت‌کیت‌ها معمولاً زمانی که داده‌ها مستقیماً از دستگاه خام خوانده می‌شوند، آن‌ها را پنهان نمی‌کنند.

آرگومان‌ها به شرح زیر هستند:

-o sector_offset

آفست سکتور برای یک پارتیشن در ایمیج یا دستگاه جهت مقایسه.

-n start_inum

شماره inum آغازین دایرکتوری درون ایمیج برای شروع مقایسه.

-v

خروجی پرجزئیات به stderr

-V

نمایش نسخه

-f fstype

نوع فایل‌سیستم را مشخص می‌کند. برای فهرست کردن انواع فایل‌سیستم‌های پشتیبانی‌شده از '-f list' استفاده کنید. در صورت عدم تعیین، از روش‌های تشخیص خودکار استفاده می‌شود.

-i imgtype

قالب فایل ایمیج، مانند raw. برای فهرست کردن انواع پشتیبانی‌شده از '-i list' استفاده کنید. در صورت عدم تعیین، از روش‌های تشخیص خودکار استفاده می‌شود.

-b dev_sector_size

اندازه سکتورهای دستگاه (به بایت). در صورت عدم تعیین، از روش‌های تشخیص خودکار استفاده می‌شود.

image [images]

ایمیج دیسک یا پارتیشن برای خواندن، که قالب آن با '-i' مشخص می‌شود. اگر ایمیج به چند بخش تقسیم شده باشد، می‌توان نام چندین فایل ایمیج را وارد کرد. اگر تنها یک فایل ایمیج وارد شود و نام آن نخستین بخش از یک دنباله باشد (برای نمونه، با ختم شدن به '.001' مشخص شود)، بخش‌های بعدی ایمیج به‌طور خودکار لحاظ خواهند شد.

مثال‌ها (EXAMPLES)

برای مقایسه دایرکتوری‌های موجود در image.dd با موارد موجود در directory:

# tsk_comparedir ./image.dd ./directory

نویسندگان (AUTHORS)

Brian Carrier <carrier at sleuthkit dot org>

ارسال به‌روزرسانی‌های مستندات به <doc-updates at sleuthkit dot org>