bulk_extractor - Verifica uma imagem de disco em busca de expressões regulares e outros conteúdos.
bulk_extractor -o output_dir [options] [ image | -R dir ]
bulk_extractor verifica uma imagem de disco (ou qualquer outro arquivo) em busca de um grande número de expressões regulares predefinidas e outros tipos de conteúdo. Esses itens são chamados de recursos. Quando encontra um recurso, o bulk_extractor grava a saída em um arquivo de saída. Cada linha do arquivo de saída contém um deslocamento de byte no qual o recurso foi encontrado, uma tabulação e o recurso real. Os recursos, portanto, não podem conter o caractere de fim de linha.
bulk_extractor inclui suporte nativo para arquivos EnCase (.E01) e AFFLIB (.aff), se compilado e vinculado em um sistema contendo essas bibliotecas. Como alternativa, a opção -R pode ser usada para verificar e processar recursivamente um diretório de arquivos individuais (as imagens de disco em tal diretório serão tratadas como arquivos, não como imagens de disco).
bulk_extractor é multiencadeado. Ao especificar a opção -j, várias cópias do programa podem ser executadas. Cada thread grava seus resultados em seu próprio arquivo de recursos. Os arquivos são então combinados pelo thread primário quando todos os threads secundários são concluídos.
bulk_extractor é um programa de duas fases. Na fase 1 as características são extraídas. Na fase 2 é criado um histograma de características relevantes.
bulk_extractor também criará uma wordlist de todas as palavras encontradas na imagem do disco. Isso pode ser usado como um dicionário para quebrar a criptografia.
As opções são as seguintes:
Especifica o diretório de saída, que será criado pelo bulk_extractor se necessário. Se o diretório de saída contiver dados de uma execução parcial do bulk_extractor, o bulk_extractor tentará continuar de onde a execução anterior parou.
Leia o conteúdo de bannerfile.txt e marque-o no início de cada arquivo de saída. Isso pode ser útil se você tiver algum tipo de banner de privacidade que precise ser carimbado na parte superior de todos os seus arquivos.
Especifica uma lista de alerta, (ou lista vermelha), que é uma lista de termos que, se encontrados, serão sinalizados especificamente em um arquivo de alerta especial que começa com as letras ALERT. A lista de alertas pode conter termos individuais, que devem ser encontrados em sua totalidade e fazer distinção entre maiúsculas e minúsculas, ou curingas com globbing padrão do Unix (por exemplo, *@empresa.com). Os termos globbed não diferenciam maiúsculas de minúsculas.
Especifica uma lista de paradas (ou lista branca), que é uma lista de termos que, se encontrados, serão colocados em um arquivo parado especial (em vez de no arquivo principal arquivo). A lista branca também pode conter termos globbed.
Especifique os parâmetros de amostragem aleatória.
Abra uma imagem de disco e imprima as informações encontradas em path. A especificação format pode ser r para saída bruta e h para saída hexadecimal.
Especifique -p - para o modo interativo.
Especifique -p -http para o modo HTTP.
Especifica um arquivo de expressões regulares a serem usadas como termos de pesquisa.
Especifica uma expressão regular a ser usada como um termo de pesquisa.
Modo silencioso. Imprime apenas relatórios de status a cada nn.
Especifique -1 para nenhum status.
O scanner scan_wordlist só deve extrair palavras que tenham entre n1 e n2 caracteres de comprimento.
Estes comandos são úteis para ajustar a operação:
Especifica o tamanho da janela de contexto.
especifica a janela de contexto para o gravador
especifica a janela de contexto depois de NN para o gravador
especifica a janela de contexto antes de NN para o gravador
especifique o tamanho da página
Especifica o tamanho da margem em bytes.
Use n threads para análise. Normalmente, você não precisa especificar isso, pois o padrão é o número de processadores no computador atual.
Faça o bulk_extractor esperar no máximo NN minutos para que os scanners terminem depois que todos os dados forem lidos.
Os seguintes comandos são úteis para depuração:
Imprimir o número da versão
Reinicia o programa de onde parou para um diretório específico.
Defina o filtro Bloom deduplicado para nn bits. Isso é usado pelo scanner scan_wordlist.
Especifica uma profundidade máxima de recursão de nn.
Comece no número da página pagenum.
Comece no deslocamento de entrada o1 terminando opcionalmente no deslocamento o2
Habilitar nível de depuração N.
Finalmente, você pode controlar os scanners com estas opções:
Especifica um diretório no qual localizar plug-ins.
Desativa todos os scanners e, em seguida, ativa o scanner do scanner.
Ativa um scanner.
Desativa um scanner.
bulk_extractor é baseado em um extrator de recursos e reconhecedor de entidade nomeado desenvolvido para SBook em 1991. O extrator de recursos foi reaproveitado para imagens de disco em 2003. O programa bulk_extractor independente foi reescrito em 2005 e lançado publicamente em 2007. O multi-threaded bulk_extractor foi lançado em maio de 2010.
Simson Garfinkel simsong@acm.org