アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

資料追加

まだ Web の表示を更新していませんが、文字列抽出に関する簡単な PPT 資料を一本追加。
Autopsy の HELP にある『grep Search Limitations』を参考に図にしただけです。

http://www.port139.co.jp/forensics/dd-strings.ppt

dd コマンドで作成したファイルシステムイメージに対し、strings コマンドで文字列を抽出するケースを想定しています。
dd コマンドを使いファイルシステム イメージを作成した場合、ハードディスクやパーティション(ボリューム)の先頭から順次データが読み取られ、バイナリファイルとして保存されます。イメージ ファイル中のどこからどこまでがひとつのファイルなのかを strings コマンドは認識しません。(ひとつのバイナリファイルから文字列を抽出することにになる)
このため、データの並びによっては、strings コマンドが文字列を誤認するケースがあります。