tsk_comparedir

名前

tsk_comparedir - イメージやローカルデバイス内のディレクトリのコンテンツを比較する

書式

tsk_comparedir [-vV] [-n start_inum ] [ -f fstype ] [ -i imgtype ] [ -b dev_sector_size] [-o sector_offset ] image [images] comparison_directory

説明

tsk_comparedir imageのコンテンツとcomparison_directoryのコンテンツを比較する。このコマンドはrootkitの検知やテスト時に有用である。rootkitはローカルのディレクトリとそのrawデバイスでコンテンツを比較することにより検知できる。一般的なrootkitは直接rawデバイスを参照した際にデータを隠ぺいしないためである。 オプションは以下の通りである。

-o sector_offset
比較対象のイメージやデバイスのパーティションに対するセクタのオフセットを指定する。
-n start_inum
比較開始するイメージ内のディレクトリのiノード番号を指定する。
-v
詳細情報出力モードにする。内容は標準エラーSTDERRに出力される。
-V
バージョン情報を表示する。
-f fstype
ファイルシステムを指定する。引数に"-f list"を指定するとサポートしているファイルシステムタイプのリストを出力する。このオプションが与えられなければ、自動検出を実行する。
-i imgtype
イメージファイルのフォーマットを指定する。引数に"-i list"を指定するとサポートされているタイプを表示する。指定がなければ自動検出する。
-b dev_sector_size
デバイスのセクタサイズをバイトで指定する。指定がなければ自動検出する。
"image [images]"
-iオプションで指定されたフォーマットのディスクイメージまたはパーティションイメージを指定する。イメージが複数のセグメントに分割されていればそれらのファイル名を指定してもよい。もしファイルが1つだけ指定されて、それが連続するファイルの先頭(例えばファイル名の最後が'.001')であれば、イメージのセグメントは自動的に読み込まれる。

イメージファイルimage.dd内のディレクトリとdirectoryを比較する。
# tsk_comparedir ./image.dd ./directory

著者

Brian Carrier <carrier at sleuthkit dot org> ドキュメントの更新情報は<doc-updates at sleuthkit dot org>に送信してください。