---
# System prepended metadata

title: '**Scalpel**'

---

# **Scalpel** 
### 1.Введение
**Parrot Security OS** - это дистрибутив Linux, основанный на Debian и предназначенный для пентестеров и специалистов по информационной безопасности. По своей задаче Parrot Security OS похож на Kali Linux, здесь тоже вместе с системой поставляется огромное количество специального программного обеспечения для тестирования безопасности, взлома, шифрования и реверс инжиниринга программ. Среди поставляемых по умолчанию программ есть такие известные продукты, как Aircrack, Metasploit, Ettercap, Brup и многие другие.

**Scalpel** – это программа с открытым исходным кодом для восстановления файлов используя базу данных заголовков, колонтитулов. Может восстанавливать с образов дисков или устройств с сырыми блоками, заголовки и колонтитулы устанавливаются пользователем. Программа используется не только для восстановления файлов, но и цифровых криминалистических исследований.

### 2. Подготовка к работе

Для начала необходимо скачать образ Parrot OS и развернуть его на любом программном обеспечении для визуализации(виртуальной машине).

Scalpel обычно предустановлен на Parrot,если программа отсутствует, необходимо установить ее.
#### $sudo apt install scalpel

Далее создаём папки, куда будут воостанавливаться файлы: restore_1, restore_2, restore_usb. В первую воостановим файлы с жёсткого диска, во вторую с дополнительного раздела памяти, в третью с флеш-накопителя.
![](https://i.imgur.com/KXLkmaj.png)

Настройка приложения осуществляется в файле /etc/scalpel/scalpel.conf, где задаются соответствующие шаблоны поиска файлов. В нём можно увидеть уже готовые пресеты для поиска, к примеру по изображениям или doc файлам. Для восстановления потерянных данных следует раскомментировать соответствующие шаблоны и запустить приложение.

Если в файле отсутствует шаблон нужного файла, или к примеру вы ищете какого-то определенного формата xml то возникает необходимость создания своего шаблона, который описывается подобно правилам представленным ниже.

*  **Type** – имеет значение только в контексте программы, никакого отношения к восстанавливаемым файлам не имеет и будет использовано только при отображении лога и названии директорий в востановленных данных. Можно не указывать, в таком случае просто поставить NONE
* **Case sensitive** – учитывать ли регистр при поиске по заданному шаблону
* **Size range** – если указано просто число, то максимальный размер искомого файла, если через двоеточие то min:max размер файла
* **Header, Footer** – шаблоны поиска начала и конца файла. Допустимо использование TRE регулярных выражений. В качестве пробела используется символ \s, также можно использовать шестнадцатричное и восьмеричное представление искомых данных к примеру \x[0-f][0-f] или \[0-3][0-7][0-7]

Нам необходимо разкомментировать строки, которые отвечают за pdf, doc, jpg, txt форматов.

*nano /etc/scalpel/scalpel.conf*

![](https://i.imgur.com/7GecMSv.png)
![](https://i.imgur.com/pGnceol.png)
![](https://i.imgur.com/Ry7Wt8T.png)
![](https://i.imgur.com/6SeU0ls.png)



### 3. Восстановление данных с диска

Далее можно приступать к сканированию.
Сначала отсканируем основной диск.

sudo scalpel /dev/sda4 -o /home/moris/restore1

В данной команде

/dev/sda4 - путь к разделу, с которого будет происходить восстановление файлов;
-o /home/moris/restore1 - путь к директории, в которую будут сохранены восстановленыы файлы;
-v - опция, включающая подробный режим. Выводит информация об отладке.

![](https://i.imgur.com/uWgGpTZ.png)

![](https://i.imgur.com/YuzKGRz.png)

![](https://i.imgur.com/9fN88bA.png)

**Восстановленные картинки**

![](https://i.imgur.com/EHoIl5C.png)


**Восстановленный текстовый документ**

![](https://i.imgur.com/eE67g0o.png)




### 4. Восстановление данных с USB-накопителя


Просмотрим информацию о разделах, предварительно вставив USB-накопитель.

![](https://i.imgur.com/LXbc8A7.png)

Восстановим данные с USB-накопителя.

*sudo scalpel /dev/sdb1 -o /home/moris/restore_usb -v*

Востановленные данные: 
![](https://i.imgur.com/kphis0v.png)

### 5. Восстановления файлов с дополнительного раздела

Для восстановления файлов с дополнительного раздела сначала необходимо увеличить размер диска выделенного для виртуальной машины до 45 Гб, :

![](https://i.imgur.com/qHogEwh.png)

Далее в GParted создаем дополнительный раздел.

![](https://i.imgur.com/g8Xar5L.png)



![](https://i.imgur.com/p6CnCQc.png)

Далее, добавим в конфиг следующие форматы: 
CDR, DSS, MDB, PDB, SYS

![](https://i.imgur.com/o9dvVrO.png)

Создадим точку монтирования для доступа к созданному разделу.

![](https://i.imgur.com/uRLFeR3.png)

Начнем восстановление!

![](https://i.imgur.com/PwIOb4U.png)

Восстановленные файлы!

![](https://i.imgur.com/bQ7BTaw.png)

### Заключение

В данной работе мы познакомились с утилитой для восстановления файлов Scalpel и с ее помощью восстановили данные.