[port139:01381] Re: unallocated (free) space, file slack

[Tanaka Souji <souta3@xxxxxxxxxxxxxx>]

Linux のセットアップ完了...

On Sun, 07 Jul 2002 13:05:19 +0900
DANNA <danna@xxxxxxxxxxx> wrote:

>てなカンジだとすれば、slack space は unallocated block に含まれま
>せんので、デフォルトの unrm ではそれらのデータを集めることは出来
>ないとなりますが。

ありがとうございます、やはり私の理解が間違っていたようです。

余談ですが、実際に unrm を使って試してみました。

ext2fs で 10メガの領域を sdb1 上に /data として作成し、slack.txt
を新規に作り bmap で file slack へ“evil data”を保存。

# bmap --mode slack /data/slack.txt
getting from block 178
file size was: 5
slack size: 1019
block size: 1024
evil data

unrm で /dev/sdb1 の内容を収集し hexdump で確認。

# ./unrm /dev/sdb1 > hdsdb1_data

# hexdump -cx hdsdb1_data
0000000  \0  \0  \0  \0  \0  \0  \0  \0  \0  \0  \0  \0  \0  \0  \0  \0
0000000    0000    0000    0000    0000    0000    0000    0000    0000
*
09a6400

新規に作成した領域なので、全て 0 になっており、“evil data”は存
在してないようです。

とりあえず、TCT(unrm）では file slack のデータは収集されないこと
がわかりました。
はて...では UNIX(Linux) で file slack を迅速に解析するには...

-- 
Tanaka Souji <souta3@xxxxxxxxxxxxxx>