bulk_extractor - Escanea una imagen de disco en busca de expresiones regulares y otro contenido.
bulk_extractor -o output_dir [options] [ image | -R dir ]
bulk_extractor escanea una imagen de disco (o cualquier otro archivo) en busca de una gran cantidad de expresiones regulares predefinidas y otros tipos de contenido. Estos elementos se denominan características. Cuando encuentra una característica, bulk_extractor escribe la salida en un archivo de salida. Cada línea del archivo de salida contiene un desplazamiento de bytes en el que se encontró la característica, una pestaña y la característica real. Por lo tanto, las características no pueden contener el carácter de fin de línea.
bulk_extractor incluye soporte nativo para archivos EnCase (.E01) y AFFLIB (.aff), si se compilaron y vincularon en un sistema que contiene esas bibliotecas. Alternativamente, la opción -R se puede usar para escanear y procesar recursivamente un directorio de archivos individuales (las imágenes de disco en dicho directorio se tratarán como archivos, no como imágenes de disco).
bulk_extractor tiene varios subprocesos. Al especificar la opción -j, se pueden ejecutar varias copias del programa. Cada subproceso escribe sus resultados en su propio archivo de funciones. Luego, el subproceso principal combina los archivos cuando se completan todos los subprocesos secundarios.
bulk_extractor es un programa de dos fases. En la fase 1 se extraen las características. En la fase 2 se crea un histograma de características relevantes.
bulk_extractor también creará una lista de palabras de todas las palabras que se encuentran en la imagen del disco. Esto se puede usar como un diccionario para descifrar el cifrado.
Las opciones son las siguientes:
Especifica el directorio de salida, que será creado por bulk_extractor si es necesario. Si el directorio de salida contiene datos de una ejecución parcial de bulk_extractor, bulk_extractor intentará reanudar donde quedó la ejecución anterior.
Lea el contenido de bannerfile.txt y márquelo al principio de cada archivo de salida. Esto podría ser útil si tiene algún tipo de banner de privacidad que debe estamparse en la parte superior de todos sus archivos.
Especifica una lista de alertas (o lista roja), que es una lista de términos que, si se encuentran, se marcarán específicamente en un archivo de alerta especial que comienza con las letras ALERTA. La lista de alertas puede contener términos individuales, que deben encontrarse en su totalidad y distinguen entre mayúsculas y minúsculas, o comodines con globbing estándar de Unix (p. ej., *@empresa.com). Los términos globales no distinguen entre mayúsculas y minúsculas.
Especifica una lista de exclusión (o lista blanca), que es una lista de términos que, si se encuentran, se colocarán en un archivo detenido especial (en lugar de en el archivo principal). archivo). La lista blanca también puede contener términos globales.
Especifique los parámetros de muestreo aleatorio.
Abra una imagen de disco e imprima la información que se encuentra en ruta. La especificación de formato puede ser r para salida sin procesar y h para salida hexadecimal.
Especifique -p - para el modo interactivo.
Especifique -p -http para el modo HTTP.
Especifica un archivo de expresiones regulares que se utilizará como términos de búsqueda.
Especifica una expresión regular que se utilizará como término de búsqueda.
Modo silencioso. Solo imprime cada nn informes de estado.
Especifique -1 para ningún estado.
El escáner scan_wordlist solo debe extraer palabras que tengan entre n1 y n2 caracteres de longitud.
Estos comandos son útiles para la operación de ajuste:
Especifica el tamaño de la ventana de contexto.
especifica la ventana de contexto para la grabadora
especifica la ventana de contexto después de NN para la grabadora
especifica la ventana de contexto antes de NN para la grabadora
especificar el tamaño de la página
Especifica el tamaño del margen en bytes.
Utilice n subprocesos para el análisis. Normalmente no necesita especificar esto, ya que el valor predeterminado es el número de procesadores en la computadora actual.
Haga que bulk_extractor espere como máximo NN minutos para que los escáneres terminen después de que se hayan leído todos los datos.
Los siguientes comandos son útiles para la depuración:
Imprime el número de versión
Reinicia el programa desde donde lo dejó para un directorio en particular.
Establezca el filtro Bloom de deduplicación en nn bits. Esto es utilizado por el escáner scan_wordlist.
Especifica una profundidad de recursión máxima de nn.
Comienza en la página número pagenum.
Comenzar en el desplazamiento de entrada o1 opcionalmente terminando en el desplazamiento o2
Habilitar el nivel de depuración N.
Finalmente, puede controlar los escáneres con estas opciones:
Especifica un directorio en el que encontrar complementos.
Apaga todos los escáneres, luego habilita el escáner.
Habilita un escáner.
Deshabilita un escáner.
bulk_extractor se basa en un extractor de funciones y un reconocedor de entidades con nombre desarrollado para SBook en 1991. El extractor de funciones se reutilizó para imágenes de disco en 2003. El programa independiente bulk_extractor se reescribió en 2005 y se lanzó al público en 2007. El bulk_extractor de subprocesos múltiples se lanzó en mayo de 2010.
Simson Garfinkel simsong@acm.org