Scalpel — Carving haute performance configurable

Différence avec Foremost

Scalpel (fork de Foremost) est optimisé pour la vitesse et la mémoire, et repose entièrement sur un fichier de configuration où l'on déclare précisément les signatures à rechercher.

Configuration

# /etc/scalpel/scalpel.conf : décommenter/ajouter
# ext  casse  taille_max  header        footer
jpg   y     200000000   \xff\xd8\xff   \xff\xd9
pdf   y     50000000    %PDF          %%EOF
zip   y     100000000   PK\x03\x04

Exécution

scalpel -c /etc/scalpel/scalpel.conf -o output/ disk.dd
# output/ contient un sous-dossier par type + audit.txt