Block Range: 0 - 32767

    Super Block: 0 - 0

    Group Descriptor Table: 1 - 1

    Data bitmap: 2 - 2

    Inode bitmap: 3 - 3

    Inode Table: 4 - 500

    Data Blocks: 501 - 32767

...

Group: 16:

  Inode Range: 254465 - 270368

  Block Range: 524288 - 540176

    Data bitmap: 524288 - 524288

    Inode bitmap: 524289 - 524289

    Inode Table: 524290 - 524786

    Data Blocks: 524290 - 524289, 524787 - 540176

До этого все программы предназначались в основном для сбора данных, но вот анализ целиком возлагался на плечи исследователя, и для того, чтобы найти в нескольких гигабайтах информации инструменты взломщика, ему потребуется много опыта, времени, потраченных на исследование.

Утилита hfind как раз и предназначена для поиска хеш-функций в предварительно созданной базе. Для сравнения может использоваться предварительно созданная база, тогда ее работа в чем-то напоминает Tripwire. Но наибольшая эффективность от применения будет достигнута при использовании National Software Reference Library (NSRL), которую можно найти на http://www.nsrl.nist.gov. Проект поддержан Национальным Институтом Американского Министерства юстиции (NIJ, http://www.ojp.usdoj.gov/nij/sciencetech/ecrime.htm), Национальным Институтом Стандартов и Технологии (NIST) и другими подобными организациями, и предназначен для того, чтобы эффективно использовать компьютерные технологии в расследовании преступлений, инструментом которых является компьютер. NSRL разработана, чтобы собрать программное обеспечение из различных источников и включить профили файлов в справочный информационный набор Reference Data Set (RDS).

На декабрь 2003 года NSRL обеспечил профили и цифровые сигнатуры для 17 909 964 файлов. Использовав NSRL, возможно идентифицировать критические системные файлы, которые были изменены, одним из назначений этой библиотеки является поиск программ при расследовании преступлений, направленных против интеллектуальной собственности. Hfind проверяет значения хеш-функции в базе данных, используя двоичный алгоритм поиска. Это быстрее, чем grep, но требует создания индексного файла (опция -i).

# ./hfind –h

./hfind: invalid option -- h