![在 Linux 分区中搜索特定的字节序列](https://linux22.com/image/1247699/%E5%9C%A8%20Linux%20%E5%88%86%E5%8C%BA%E4%B8%AD%E6%90%9C%E7%B4%A2%E7%89%B9%E5%AE%9A%E7%9A%84%E5%AD%97%E8%8A%82%E5%BA%8F%E5%88%97.png)
我丢失了一个重要的文件。我知道该文件以哪些字节开头。如何在分区中搜索字节序列?
答案1
答案2
如何在分区中搜索字节序列?
您可以在发行版提供的任何十六进制编辑器/查看器中将分区设备(例如 /dev/hdc1)作为文件打开(例如,midnight commander 应该可以做到这一点)。只需确保您以只读模式打开设备,并且您的十六进制编辑器可以处理该大小的文件。
还,一字节不足以找到该文件。
答案3
有一种取证工具叫做最重要的这有助于恢复文件。
答案4
我很确定这不是最好的解决方案,但您可以 grep 该设备,例如:
sudo grep `echo -e "\x11\x22\x33\x44"` /dev/hdc1
0x11 0x22 0x33 0x44
这将搜索中的字节字符串/dev/hdc1
,并返回布尔结果。