---
# System prepended metadata

title: Практическая работа №2. Scalpel.

---

---
title: Практическая работа №2. Scalpel.
---

**Практическая работа №2. Scalpel.**
---

Scalpel - это утилита командной строки, которая для восстановления удаленных данных с образа, раздела или всего диска использует метод под названием «вырезание файлов (file carving)». Позволяет восстанавливать файлы размером больше 4 Гб. В дистрибутиве имеется уже готовая версия для Windows. Поддерживает FATx, NTFS, ext2/3, HFS+.

---
Подготовка
---
**Установка Parrot** 
Для начала необходимо установить Parrot Security OS. Я использовал образ с [оффициального сайта](https://www.parrotsec.org/download/), установленный на VMWare Workstation.
![](https://i.imgur.com/l1v8YVb.png)
*Рабочий стол сразу после установки ОС.*

---
Затем необходимо выполнить команду, чтобы получить актуальную информацию о доступных к установке пакетах и их версиях.
```
sudo apt update
```
После этого установить Scalpel, выполнив команду.
```
sudo apt-get install scalpel
```
![](https://i.imgur.com/rI63WQM.png)
После успешной установки программы запускаю её через GUI.
![](https://i.imgur.com/1mLeKUB.png)
Запущенная утилита scalpel
![](https://i.imgur.com/6XTPZPm.png)

Дальше нужно отредактировать файл scalpel.conf, раскомментировав нужные строки.
![](https://i.imgur.com/zdFyFzP.png)
Сохраняем при помощи сочетания клавиш Ctrl+o и выходим, нажав Ctrl+X.

---
Восстановление данных с основного раздела
---

Для начала восстановления файлов с основного раздела вводим команду:
```
sudo scalpel /dev/sda1 -o /home/xeeion/parrot_restore -v
```
Итог сканирования выглядит так:
![](https://i.imgur.com/Fl0BfvU.png)

По завершению сканирования в конечной папке появились восстановленые файлы:
![](https://i.imgur.com/Iv6PMsl.png)

![](https://i.imgur.com/qkHnWXb.png)

![](https://i.imgur.com/VqsVRqY.png)

---
Восстановление данных с USB накопителя
---

Для начала используя команду 
```
lsblk
```
![](https://i.imgur.com/HAyLWQf.png)

После чего видно, что флешка имеет путь /dev/sdb, следовательно, запустим сканирование, прописав команду
```
sudo scalpel /dev/sdb -o /home/xeeion/parrot_restore/flash -v
```
![](https://i.imgur.com/AOtrKVN.png)

По итогу сканирования получаем восстановленные файлы: 
![](https://i.imgur.com/iJYUSwc.png)

---
Восстановление данных с дополнительного раздела
---

Для начала необходимо увеличить место на диске виртуальной машины (я увеличил до 30 гб).
![](https://i.imgur.com/6clHtXv.png)

После этого посмотрим доступные для монтирования диски: 
![](https://i.imgur.com/FkhhylP.png)

При помощи команды fdisk разделяем диск на разделы:
![](https://i.imgur.com/cgW6WTI.png)
После чего создаем доп. раздел:
![](https://i.imgur.com/BXyyOUJ.png)
Полуачем:
![](https://i.imgur.com/ZF5hdCP.png)
Далее указываем файловую систему:
![](https://i.imgur.com/eaeudwM.png)
Так-же необходимо дополнить конфигурационный файл scalpel.conf. [Данные отсюда.](https://github.com/int0x80/anti-forensics/blob/main/scalpel.conf)
![](https://i.imgur.com/XYTW8Ub.png)
После успешного создания дополнительного раздела, запустим восстановление файлов при помощи команды
```
sudo scalpel /dev/sda5 -o /home/xeeion/parrot_restore/new_partition
```
![](https://i.imgur.com/bahRShk.png)
Итог восстановления:
![](https://i.imgur.com/RQXnbDa.png)

Работу выполнил Денис Игнатенко, 
БСБО-06-19.