2021-09-27 网安实验-取证分析-数字取证之Scalpel

Scalpel

对那些没有日志机制的旧有文件系统，scalpel 工具是一个很好的选择。scalpel 是快速文件恢复工具，通过读取文件系统的数据库来恢复文件。它是独立于文件系统的。

Scalpel作为早期的foremost的升级版被开发出来，主要是针对解决foremost提取文件时高CPU占用率和ROM使用率的问题而开发。和Foremost不一样，所需提取的文件类型需要在scalpel的配置文件中设置。

配置文件的路径

使用nano打开并修改，nano scalpel.conf

这是默认的配置

在上图中我们可以看到所有类型的前面都被#注释了，如果我们需要使用scalpel提取某种类型的文件，将它前面的#删去就可以了

我们来删去一些，请按照下图操作

文章来源: codeboy.blog.csdn.net，作者：愚公搬代码，版权归原作者所有，如需转载，请联系作者。

原文链接：codeboy.blog.csdn.net/article/details/120509814