Forensicist

---

名前

icat - 指定したiノード番号に基づくファイルのコンテンツを出力する

書式

icat [-hrsvV] [-f fstype ] [-i imgtype ] [-o imgoffset ] [-b dev_sector_size ] image [images] inode

説明

icatはimage(s)を開きinode番号で指定されたファイルをコピーして標準出力に出力する。

引数

-f fstype

ファイルシステムタイプを指定する。引数に"-f list"を指定するとサポートされているファイルシステムタイプのリストを出力する。このオプションが与えられなければ、自動検出を実行する。

-h

スパースファイル内の空き部分をスキップする。絶対アドレスの情報はなくなる。このオプションでスパースファイルをコピーするときに利用領域を節約することができる。

-r

ファイルが削除されていれば復元手法を使う。

-s

出力にスラックスペースを含める。

-i imgtype

イメージファイルのタイプをrawまたはsplitのように指定する。引数に"-i list"を指定するとサポートされているタイプのリストを出力する。このオプションが与えられなければ、自動検出を実行する。

-o imgoffset

そのイメージ内でファイルシステムの先頭を指すセクタのオフセットを指定する。

-b dev_sector_size

デバイスのセクタサイズをバイト値で指定する。このオプション指定がない場合はイメージフォーマットで利用されている値か512が指定される。

-v

標準エラー出力STDERRに詳細情報を出力する。

-V

バージョン情報を表示する。

image [images]

-iオプションで指定されたフォーマットのディスクイメージまたはパーティションイメージを指定する(イメージが分割されていれば複数指定も可)。

inode

iノード番号。 icat は指定されたすべてのファイルのコンテンツを連結する。

ライセンス

このソフトウェアはIBM Public Licenseに従い配布される。

履歴

TCT 1.0で初めて登場し、現在はSleuth Kitに含まれている。

著者

Wietse Venema
IBM T.J. Watson Research
P.O. Box 704
Yorktown Heights, NY 10598, USA

このバージョンはBrian Carrier (carrier at sleuthkit dot org)によってメンテナンスされている。

ドキュメントの更新情報は<doc-updates at sleuthkit dot org>に送信してください。

---