浅谈Kali中的文件取证管理工具

逍遥子大表哥

发布于 2026-07-06 18:59:00

文章被收录于专栏：kali blogkali blog

文件系统是Linux系统的核心，除了我们最常用的ls命令之外，还有哪些实用的命令呢？本篇文章，我们来讲讲它的另外几个兄弟命令ffind,fls,fsstat,tsk_comparedir。

fsstat

用途：查看文件系统的详细信息。

当你拿到一个磁盘镜像，第一步就是搞清楚它的文件系统是什么—EXT4？NTFS？FAT32？fsstat 直接告诉你答案。

基本用法：

fsstat image.dd
# 指定文件系统类型
fsstat -f ext4 image.dd  
fsstat -t image.dd

fls

用途：列出磁盘镜像中的文件和目录名（包括已删除的）。

fls 是 TSK 中最常用的工具之一。它不挂载磁盘，直接读取底层文件系统结构，连被删除的文件也能翻出来。

实战案例：

# 列出镜像根目录下所有文件（含已删除）
fls -r image.dd
# 查看指定 inode 目录的内容
fls -l -d image.dd 29
# 输出完整路径的已删除文件
fls -d -p image.dd
# 生成时间线数据
fls -m /mnt image.dd > body.txt
mactime -b body.txt > timeline.csv

ffind

用途：给定一个 inode 编号，找出对应的文件名。取证场景中，你经常先用 ifind 或 istat 定位到某个可疑 inode，然后需要用 ffind 反查它的文件名。

语法：

ffind image.dd <inode编号>

常用参数：

• -a：查找所有同名条目（包括已删除的）
• -d：只找已删除条目
• -u：只找未删除条目

实战链路：

# Step 1: 定位可疑数据块对应的 inode
ifind -d 12345 image.dd
# Step 2: 反查文件名
ffind image.dd 212
# Step 3: 查看 inode 详细信息
istat image.dd 212
# Step 4: 导出文件内容
icat image.dd 212 > recovered_file.bin

tsk_comparedir

用途：比对本机目录与磁盘镜像目录的内容，检测隐藏文件或 Rootkit。

这是 TSK 中一个容易被忽视但非常强大的工具。它通过对比「原始设备扇区」和「操作系统看到的文件列表」，发现那些被 rootkit 隐藏的文件。

基本用法：

tsk_comparedir image.dd /本地目录
tsk_comparedir /dev/sda1 /本地目录    # 直接对设备操作

适用场景：

• Rootkit 检测：rootkit 可能通过 hook 系统调用来隐藏文件，但直接读原始设备是绕不过去的。两者对比，差异立现。
• 数据一致性校验：验证备份是否完整。

实战小演练

假设我们有一个磁盘镜像 evidence.dd，某人删除了一个关键 PDF：

# 1. 先看文件系统
fsstat evidence.dd
# 2. 列出被删除的文件
fls -d -r evidence.dd | grep -i "\.pdf"
# 找到输出：r/r 12345: secret.pdf (deleted)
# 3. 用 icat 恢复（-r 自动使用恢复技术）
icat -r evidence.dd 12345 > recovered_secret.pdf
# 4. 确认恢复结果
file recovered_secret.pdf
ls -la recovered_secret.pdf

更多精彩文章欢迎关注我们呢

本文参与腾讯云自媒体同步曝光计划，分享自微信公众号。

原始发表：2026-07-05，如有侵权请联系 cloudcommunity@tencent.com 删除

工具