Diğer yazımda DD ve FDİSK araçlarından bahsetmiştim. Yazıma buradan ulaşabilirsiniz. Bu yazımda, The Sleuth Kit araçlarından FLS ve MMLS’den bahsedeceğim. FLS ve MMLS araçlarından bahsetmem gerekirse imaj içerisindeki dosya adlarını ve dizinleri listelememize olanak sağlayan araçlardır. Hatta en son silinen dosyaların adlarını gösterme işlemleri de yapmaktadır. FLS ve MMLS arasındaki fark ise MMLS aracının ayrılmamış yapısını da dahil ederek işleme almasıdır.
FLS
The Sleuth Kit FLS Aracı -f
-f parametresi fls aracında desteklenen dosya sistem türlerini göstermektedir. Dosya sistem türleri içerisinde dahil değilse işlemlerde sorunla karşılaşabilirsiniz.
The Sleuth Kit FLS Aracı -i
-i parametresi desteklenen imaj formatlarını gösterir. İmaj formatı bunlardan biri değil ise fls aracında işlemleriniz geçerli olmaz.
The Sleuth Kit FLS Aracı -o
-o parametresi ile başlangıç sektörünü yazarak imaj içerisindeki dosya ve dizin ile ilgili bütün bilgileri elde edilebilir. fls -o 2048 imaj.dd yazarak kullanabiliriz. Yaptığımız işlemde silinmiş ve var olan bütün verilerin adlarını görebiliyoruz.
The Sleuth Kit FLS Aracı -u
-u parametresi ise silinmemiş dizinleri görüntülememize olanak sağlar. fls -o 2048 -u imaj.dd şeklinde kullanabiliriz.
The Sleuth Kit FLS Aracı -d
-d parametresi ise silinmiş dosyaların listelenmesine yarar. Bu işlemi fls -o 2048 -d imaj.dd şeklinde yapabilirsiniz.
The Sleuth Kit FLS Aracı -F
-F ise sadece dosyaların listelenmesine yardımcı olan bir komuttur. Bu işlemi fls -o 2048 -F imaj.dd şeklinde kullanabilirsiniz.
fls aracında bahsetmek istediğim bir diğer husus ve bilmeniz gerekenler
r/r: Dosya yapısında olduğunu belirtir.
d/d: Dizin yapısında olduğunu belirtir.
v/v: Sistem içinde kurduğu dosyaları belirtir.
-/r: Silinmiş dosyaları belirtir.
MMLS
The Sleuth Kit MMLS Aracı -t
MMLS aracında desteklenen partition türlerini listelemek için kullanılır. kullanım şekli mmls -t list ‘dir.
The Sleuth Kit MMLS Aracı -i
MMLS aracına imaj formatı türlerini listelememiz için kullanılır. mmls -i list şeklinde kullanılır.
The Sleuth Kit MMLS Aracı Kullanımı
mmls imaj.dd şeklinde kullanabiliriz. Meta verilerimizin bulunduğu uzunluğu, başlangıç bitiş sektörüne ait bilgiler ve dosya türü bilgisini verir.
The Sleuth Kit MMLS Aracı -m
Burada ise Meta verisi ile ilgili bilgileri çekmek için kullanırız. İmajın partition türünü belirtir. mmls -m imaj.dd şeklinde kullanılır.
The Sleuth Kit MMLS Aracı -a
İmaj içerisinde ayrılmış partition uzuluğunu göstermek için kullanılır. mmls -a imaj.dd şeklinde kullanılır.
The Sleuth Kit MMLS Aracı -A
İmaj içerisinde ayrılmamış partiton uzunluğu göstermek için kullanılır. mmls -A imaj.dd şeklinde kullanılır.
The Sleuth Kit araçlarından bahsedeceklerim bu kadar umarım faydalı bir anlatım olmuştur. Diğer blog yazılarımda görüşmez üzere…