# **Scalpel**

## Введение
**Parrot Security OS (или ParrotSec)** — дистрибутив Linux, основан на Debian с упором на компьютерную безопасность. Предназначен для тестирования системы на проникновение, оценки уязвимостей и ликвидации их последствий, компьютерной криминалистики и анонимного просмотра веб-страниц. Разработан командой Frozenbox.

**Scalpel** - утилита для восстановления данных. Удаленные файлы ищутся по первым и последним байтам, а также другим характерным признакам. Конфигурационный файл утилиты очень похож на Foremost, на коде которого и основана утилита. Однако, программы имеют и свои отличия.

## Ход работы

### Подготовка

Заходим в улититу Scalpel. Она должна быть установлена в системе изначально. Находится она по адресу: Pentesting -> Digital Forensics -> Forensic Carving Tools -> scalpel.
Открывается приветственное окно:

Далее нужно создать три папки для трёх различных методов восстановлений файлов: restore1, restore2, restore3.

Далее с помощью команды nano /etc/scalpel/scalpel.conf открываем конфигурационный файл. Нам нужно раскомментировать типы файлов doc, jpg, pdf, txt.

С помощью команды lblsk узнаем, какой диск нам нужен для восстановления.

### Восстановление с диска
С помощью команды sudo scalpel /dev/sda1 -o /home/artem/restore1

Спустя некоторое время, утилита завершает сканирование и восстановление файлов в указанную папку.

### Восстановление с флеш-носителя

Вставляем флеш-носитель и в появившемся меню выбираем "подключение к виртуальной машине".
Далее, с помощью команды sudo fdisk -l узнаем, как именно называется наш флеш-носитель:

Используем команду sudo scalpel /dev/sdb1 -o /home/artem/restore2

Восстановленные файлы найдем в папке restore2:

### Восстановление с дополнительного раздела

Сначала с помощью программы gparted из общей памяти выделяем необходимую для дополнительного раздела:

После этого с помощью команды mount смонтируем дополнительный раздел, чтобы его можно было отсканировать с помощью утилиты scalpel.

Далее, открываем nano /etc/scalpel/scalpel.conf. Нам нужно добавить необходимые заголовки для таких типов файлов, как SYS, CDR, DSS, MDB, PDB.


После этого, с помощью команды sudo scalpel /dev/sda2 -o /home/artem/restore3 -v запускаем сканирование и восстановление файлов из дополнительного раздела в указанную папку. Результат восстановления:

### Заключение
В этой практической работе я познакомился с утилитой Scaplel и с её помощью научился восстанавливать утерянные данные.