bulk_extractor - Quét ảnh đĩa để tìm biểu thức chính quy và nội dung khác.
bulk_extractor -o output_dir [options] [ image | -R dir ]
bulk_extractor quét ảnh đĩa (hoặc bất kỳ tệp nào khác) để tìm một số lượng lớn các biểu thức chính quy được xác định trước và các loại nội dung khác. Các mục này được gọi là tính năng. Khi tìm thấy một tính năng, bulk_extractor ghi đầu ra vào một tệp đầu ra. Mỗi dòng của tệp đầu ra chứa một byte offset tại đó tính năng được tìm thấy, một tab và tính năng thực tế. Do đó, các tính năng không thể chứa ký tự cuối dòng.
bulk_extractor bao gồm hỗ trợ riêng cho các tệp EnCase (.E01) và AFFLIB (.aff), nếu tệp được biên dịch và liên kết trên một hệ thống chứa các thư viện đó. Ngoài ra, tùy chọn -R có thể được sử dụng để quét đệ quy và xử lý một thư mục chứa các tệp riêng lẻ (ảnh đĩa trong một thư mục như vậy sẽ được coi là tệp chứ không phải là ảnh đĩa).
bulk_extractor là đa luồng. Bằng cách chỉ định tùy chọn -j, nhiều bản sao của chương trình có thể được chạy. Mỗi luồng ghi kết quả của nó vào tệp tính năng của chính nó. Sau đó, các tệp được kết hợp bởi luồng chính khi tất cả các luồng phụ hoàn tất.
bulk_extractor là một chương trình gồm hai giai đoạn. Trong giai đoạn 1, các tính năng được trích xuất. Trong giai đoạn 2, một biểu đồ được tạo ra từ các tính năng có liên quan.
bulk_extractor cũng sẽ tạo một danh sách từ gồm tất cả các từ có trong ảnh đĩa. Điều này có thể được sử dụng như một từ điển để bẻ khóa mã hóa.
Các tùy chọn như sau:
Chỉ định thư mục đầu ra sẽ được tạo bởi bulk_extractor nếu cần. Nếu thư mục đầu ra chứa dữ liệu từ một lần chạy bulk_extractor một phần, thì bulk_extractor sẽ cố gắng tiếp tục ở nơi lần chạy trước đó đã dừng lại.
Đọc nội dung của bannerfile.txt và đóng dấu vào đầu mỗi tệp đầu ra. Điều này có thể hữu ích nếu bạn có một số loại biểu ngữ bảo mật cần được đóng dấu ở đầu tất cả các tệp của bạn.
Chỉ định danh sách cảnh báo, (hoặc danh sách đỏ), là danh sách các thuật ngữ, nếu được tìm thấy, sẽ được gắn cờ cụ thể trong một tệp cảnh báo đặc biệt bắt đầu bằng các chữ cái ALERT. Danh sách cảnh báo có thể chứa các thuật ngữ riêng lẻ, các thuật ngữ này phải được tìm thấy toàn bộ và phân biệt chữ hoa chữ thường hoặc ký tự đại diện với tính năng toàn cầu Unix tiêu chuẩn (ví dụ: *@company.com). Các thuật ngữ Globbed không phân biệt chữ hoa chữ thường.
Chỉ định một danh sách dừng (hoặc danh sách trắng), là danh sách các thuật ngữ, nếu được tìm thấy, sẽ được đặt trong một tệp đã dừng đặc biệt (chứ không phải trong tệp chính). Danh sách trắng cũng có thể chứa các thuật ngữ toàn cầu.
Chỉ định tham số lấy mẫu ngẫu nhiên.
Mở ảnh đĩa và in thông tin có tại đường dẫn. Thông số kỹ thuật định dạng có thể là r cho đầu ra thô và h cho đầu ra hex.
Chỉ định -p - cho chế độ tương tác.
Chỉ định -p -http cho chế độ HTTP.
Chỉ định một tệp biểu thức chính quy sẽ được sử dụng làm cụm từ tìm kiếm.
Chỉ định một biểu thức chính quy được sử dụng làm cụm từ tìm kiếm.
Chế độ yên lặng. Chỉ in mọi nn báo cáo trạng thái.
Chỉ định -1 nếu không có trạng thái.
Máy quét scan_wordlist chỉ nên trích xuất các từ có độ dài từ n1 đến n2 ký tự.
Các lệnh này rất hữu ích cho hoạt động điều chỉnh:
Chỉ định kích thước của cửa sổ ngữ cảnh.
chỉ định cửa sổ ngữ cảnh cho đầu ghi
chỉ định cửa sổ ngữ cảnh sau NN cho đầu ghi
chỉ định cửa sổ ngữ cảnh trước NN cho đầu ghi
chỉ định kích thước trang
Chỉ định kích thước của lề theo byte.
Sử dụng n chủ đề để phân tích. Thông thường, bạn không cần chỉ định điều này, vì mặc định là số lượng bộ xử lý trên máy tính hiện tại.
Yêu cầu bulk_extractor đợi tối đa NN phút để máy quét hoàn tất sau khi tất cả dữ liệu đã được đọc.
Các lệnh sau rất hữu ích cho việc gỡ lỗi:
In số phiên bản
Khởi động lại chương trình từ nơi nó dừng lại cho một thư mục cụ thể.
Đặt bộ lọc Bloom đã loại trừ thành nn bit. Điều này được sử dụng bởi trình quét scan_wordlist.
Chỉ định độ sâu đệ quy tối đa là nn.
Bắt đầu từ trang số pagenum.
Bắt đầu ở phần bù đầu vào o1 tùy ý kết thúc ở phần bù o2
Bật mức gỡ lỗi N.
Cuối cùng, bạn có thể điều khiển máy quét bằng các tùy chọn sau:
Chỉ định một thư mục để tìm plugin.
Tắt tất cả máy quét, sau đó bật máy quét máy quét.
Cho phép một máy quét.
Vô hiệu hóa một máy quét.
bulk_extractor dựa trên trình trích xuất tính năng và trình nhận dạng thực thể có tên được phát triển cho SBook vào năm 1991. Trình trích xuất tính năng này được tái sử dụng cho ảnh đĩa vào năm 2003. Chương trình bulk_extractor độc lập được viết lại vào năm 2005 và phát hành công khai vào năm 2007. bulk_extractor đa luồng được phát hành vào tháng 5 năm 2010.
Simson Garfinkel