---
# System prepended metadata

title: КЭ.Практическая работа №2 - Scalpel

---

# КЭ.Практическая работа №2 - Scalpel
> [name=Лаврентьев Ю.С. БСБО-04-19]

## Цель работы:
 ● Научиться азам работы с Parrot linux, вам поможет следующее.
 ● Изучить работу утилиты Scalpel (в дистрибутивах Parrot утилита должна быть предустановленна, если нет, то необходимо установить)
 ● Восстановить данные pdf, doc, jpg, txt форматов с основного раздела Parrot linux в заранее созданную вами директорию
 ● Восстановить данные pdf, doc, jpg, txt форматов с флеш-носителя в заранее созданную вами директорию
● Восстановить данные pdf, doc, jpg, txt форматов с дополнительного раздела,
который необходимо добавить в Parrot в заранее созданную вами директорию
● Восстановить с дополнительного раздела следующие форматы:
CDR, DSS, MDB, PDB, SYS. (необходимо изменить файл конфигурации
утилиты scalpel)

Scalpel – это программа с открытым исходным кодом для восстановления файлов
используя базу данных заголовков, колонтитулов. Может восстанавливать с образов
дисков или устройств с сырыми блоками, заголовки и колонтитулы устанавливаются
пользователем.

## Установка

Установить программу scalpel в Linux можно при помощи следующей команды:

sudo apt install scalpel

Загруска будет происходить из основного репозитория.

В линукс дистрибутивах Parrot OS и Kali Linux программа scalpel установлена по умолчанию.
Для того чтобы открыть утилиту Scalpel перейдем в панель Applications, далее выберем раздел Pentesting -> Digital Forensics -> Forensic Carving Tools и среди
предоставленных утилит выберем Scalpel.

![](https://i.imgur.com/DILA5w0.png)

При открытии утилиты появляется окно командной строки (терминала) с экраном
приветствия и просьбой ввода пароля.

![](https://i.imgur.com/SLrNp10.png)

зайдём в конфигруционный файл при помощи следующей команды:

nano /etc/scalpel/scalpel.conf

Это нужно для тогочтобы разрешить утилите востанавливать файлы определенных форматов. Нам нужно разрешить востановление следующих форматов данных: pdf, doc, jpg, txt. Для этого раскомментируем соответствующие строки в файле конфигурации.

![](https://i.imgur.com/uGYBGmU.png)

![](https://i.imgur.com/hN8LAid.png)

![](https://i.imgur.com/cAwgwNq.png)

![](https://i.imgur.com/Ozzdpo4.png)

Далее создадим папку, в которую будем востанавливать данные. Для этого воспользуемся утилитой mkdir в терминале

![](https://i.imgur.com/5NshzR3.png)

В директории home появилась создалась папка:

![](https://i.imgur.com/EfxSvZC.png)

При помощи команды cd scalpel_data откроем эту папку в терминале.

![](https://i.imgur.com/1K66YKs.png)

### Востановление данных из основной директории.

Узнаем какие разделы на жеском диске имеются в системе. Для этого можно использовать разные команды в терминале например fdisk или lsblk.

![](https://i.imgur.com/VUWYQHQ.png)

Востановим удаленные данные с раздела sda1.Для этого была использована следующая команда sudo scalpel (название/раздела) -о (название папки для востановления) -v.

![](https://i.imgur.com/USKCwnL.png)

![](https://i.imgur.com/21ryfOf.png)

Проверим файлы в папке scalpel_data/data.

Просмотр востановленных данных при помоши графического интерфейса:

![](https://i.imgur.com/UoBqVSJ.png)

Можно также посмотреть через командную строку:

![](https://i.imgur.com/RMNt5oa.png)

### Востановление данных с нового раздела.

Создадим новый раздел /dev/sda2 объемом 20 Gb

![](https://i.imgur.com/Q9BfLn8.png)

Используя команду fdisk -l просмотрим в терминале данные о новом разделе.

![](https://i.imgur.com/SG9gZMQ.png)

Затем запустим команду sudo scalpel /dev/sda2 -o /home/wombat/scalpel_data/newdata
-v.

![](https://i.imgur.com/jQYqAmE.png)

![](https://i.imgur.com/H0eh23G.png)

Откроем папку в графическом интерфейсе и теперь можем просмотреть востановленные данные в
разных форматах.

![](https://i.imgur.com/kt7zUeI.png)

### Востановление данных с флеш накопителя.

Создадим ещё одну папку (назовем её fleshdata), в которую будем востанавливать данные с флеш накопителя.


![](https://i.imgur.com/T5SbJSJ.png)

Перед востановлением стоит сказать, что на флеш накопитель были загружены и
удалены 9 файлов. Среди этих файлов были файлы форматов .txt, .pdf, .doc, .jpg.
Используя команду sudo parted -l посмотрим список доступных разделов.

![](https://i.imgur.com/TgTjbYi.png)

Из приведенного результата выполнения команды видно, что у нас появился новый
disk, который имеет объем 15,5 Gb и имеет путь /dev/sdb.
Востановим данные в папку fleshdata.

![](https://i.imgur.com/dSB9fIg.png)

Посмотрим папки с востановленными данными в терминале, используя команду ls.

![](https://i.imgur.com/akKvB1J.png)

И посмотрим сами востанновленные данные в графическом интерфейсе.

![](https://i.imgur.com/DRhYGd3.png)

## Вывод

Таким образом, была проделана работа по изучению работы утилиты scalpel и
соответственно, восстановление данных с помощью этого инструмента с основного раздела, дополнительного раздела и флеш-носителя.
