Elmar Hanlhofer - Grinch Selfie
zoom

English / Deutsch | Druckversion
Twitter
twitter

<< Zurück
Leere Verzeichnisse entfernen

Inhaltsverzeichnis

Weiter >>
Dateien & Logs von Hfsprescue

Bytes einer Datei und/oder Unicode String finden


Mit Hfsprescue können Bytes einer Datei und Unicode Strings gesucht werden. Unter anderem kann mit dieser Funktion der Partitionsstart ermittelt werden. Die Parameter -ff and -fi können gleichzeitig in einem Befehl verwendet werden.

hfsprescue --find <device node|image file> [-ff <file> <num bytes>] [-fs <string>] [-o <offset in bytes>]


Bytes einer Datei finden -ff

Das Auffinden der Bytes einer Datei (Inhalt) kann unter anderem verwendet werden wenn man den Startoffset einer Partition ermitteln muß. Es macht wenig Sinn nach der kompletten Datei zu suchen, weil die Datei fragmentiert sein kann und deshalb nichts gefunden wird. Die Dateigröße ist nicht limitiert, allerdings wird maximal nach einem 1MB großen Block gesucht. 1MB ist in diesem Fall sehr groß. Ich empfehle 1 Blocksize als Suchblockgröße.

Das Ergebnis der Suche wird in der Datei 'hfsprescue-data/find.log' abgespeichert.

Wenn Sie '-o <offset in bytes>' verwenden, dann beginnt die Suche beim Offset und ignoriert den Speicherplatz davor.

Suche nach Bytes Beispiel:

Befehl: hfsprescue --find /dev/sdb2 -ff PerfectPicture.jpg 4096

Beispielausgabe:

File bytes found at offset 746586112 + 28672 = 746614784 (0x2c800000 + 0x7000 = 0x2c807000)


Suche String -fs

Dieser Parameter wird verwendet um Unicode Strings zu finden. Dateinamen sind als Unicode abgespeichert und können mit -fs gefunden werden. Man kann damit die Position von Verzeichniseinträgen finden. Der Parameter wird von Hfsprescue automatisch in Unicode umgewandelt.

Das Ergebnis der Suche wird in der Datei 'hfsprescue-data/find.log' abgespeichert.

Wenn Sie '-o <offset in bytes>' verwenden, dann beginnt die Suche beim Offset und ignoriert den Speicherplatz davor.

Suche nach String Beispiel:

Befehl: hfsprescue --find /dev/sdb2 -fs myimportantfile.doc

Beispielausgabe:

String "myimportantfile.doc" found at offset 1048576 + 326870 = 1375446 (0x100000 + 0x4fcd6 = 0x14fcd6)
String "myimportantfile.doc" found at offset 1048576 + 494446 = 1543022 (0x100000 + 0x78b6e = 0x178b6e)




<< Zurück
Leere Verzeichnisse entfernen

Inhaltsverzeichnis

Weiter >>
Dateien & Logs von Hfsprescue


© 2016 by Elmar Hanlhofer