@port139 Blog

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

-tオプション

ビルトインのパターン指定ということで以下が形式をリカバリ対象として指定が可能。何も指定しない場合には all 指定となり、下記ファイル形式の全てでリカバリが試みられる。
-tオプションを指定しなかった場合、設定ファイル(foremost.conf)が読み込まれ*1、もし設定ファイルで有効なエクステンションが無い場合には -t all の状態でリカバリが実行される。設定ファイルに有効なエクステンションがあり、-t オプションが無い場合はビルトインのリカバリは行われない。(ビルトインを使いたくない場合)

jpg, gif, png, bmp, avi, mpg, wav, riff,
wmv, mov, pdf, ole, doc, zip, htm, cpp

ビルトインを使ってリカバリした場合と、foremost.conf にあるパターンでリカバリさせた場合では結果に差があるようですねぇ。
例えば -t png を指定した場合と、foremost.conf で png を有効にしてリカバリした場合では、ビルトインで処理させたほうがリカバリ数が多く正確な結果になっています。
ビルトインで処理させたほうがよさそうな雰囲気ですねぇ。
処理の流れ的には最初にビルトインのパターンでリカバリが行われてから、設定ファイルのパターンでリカバリが試みれるので、設定ファイルのエクステンション名はわかりやすく変更しておいたほうがよさげですね。

# foremost -v -T -t png -c ./foremost.conf usb.dd
省略
81 FILES EXTRACTED

png:= 59
c_png:= 22

この結果だと、png となっているのがビルトインの結果で、c_png が foremost.conf で指定したパターンでリカバリされた結果です。
っていうか、png_conf とか後ろに識別する文字を繋げたほうが見栄えがよさそうですねorz(リカバリされたファイルのエクステンションになるので少し考えたほうがいいかも、ファイルを開く時に面倒でしたorz)

*1:カレントディレクトリが最初に走査され、次に make install でインストールされたパス上のものが使われる