Как видите, с /bin/umount что-то случилось после создания базы данных, и его контрольная сумма не совпадает. И наконец, скрипт на Perl – sorter, который анализирует образ при помощи fls и icat, находит файлы, в том числе и скрытые, для найденного файла запускает команду file, для того чтобы его распознать. При использовании библиотеки NSRL возможно отделение плохих файлов от хороших. Список плохих тут же попадет в файл alert.txt. Опция -s позволяет сохранить в указанном каталоге фактическое содержание файла, но для этого необходимо указать при помощи опции -С файл конфигурации, некоторые шаблоны можно найти в каталоге sorter/sort, этот файл позволяет задать соответствие между расширением и типом файла.

В каждом файле имеются поля шаблонов (конечно же, можно добавить и свои), например:

ext            jpg,jpeg,jpe       JPEG image data     

ext            gif            GIF image data

В общем же случае работа утилиты выглядит так:

#mkdir data

# ./sorter -d data -f linux-ext3 /image/system.img

Analyzing /data2/bin.img

  Loading Allocated File Listing

  Processing 117 Allocated Files and Directories

  100%

  Loading Unallocated File Listing

  Processing 4 Unallocated meta-data structures

  100%

All files have been saved to: data

Теперь в подкаталоге data появятся до тринадцати файлов, количество которых зависит от типов данных, и файл sorter.sum, в котором содержится суммарная информация о найденных файлах.

# ls data

.  .. archive.txt compress.txt documents.txt exec.txt sorter.sum

Например, exec.txt содержит рассортированный по алфавиту список исполняемых файлов, найденных в образе.

sort

  ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV),

  for GNU/Linux 2.2.5, dynamically linked (uses shared libs), stripped

  Image: /image/system.img  Inode: 107

...

unicode_start