Scalpel bricht ab mit Segmentation Fault

[morpheus]

Hallo zusammen,

habe mal wieder ein kleines Problemchen. Kollege hat sich einige wichtige Word-Deteien von der Platte gelöscht und natürlich kein Backup angefertigt. Also habe ich ein Image der Platte mit DD erstellt und anschließen versucht, mit Scalpel nach gelöschten Word-Dokumenten zu suchen. Scalpel legte los, brach dann aber bei 25 % mit der Fehlermeldung Segmentation Fault, core dumped ab.

Es ist mir zwar gelungen, die Dateien später mit Photorec wieder herzustellen, allerdings ließ mir das Problem doch keine Ruhe. Ich dachte mir, dass das Problem möglicherweise am Image läge und habe mir daher das Test Image 11 hier: http://dftt.sourceforge.net/test11/index.html heruntergeladen. Doch auch bei diesem Image bricht Scalpel bei etwa 65 % mit der besagten Fehlermeldung ab.

Ich frage mich, ob das nun am Port liegt oder an meinem System.

Hat jemand ähnliche Probleme, oder funktioniert bei jemandem Scalpel problemlos?
Ich habe hier leider keine zweite Maschine mit BSD, auf der ich das verifizieren könnte.

Gruß, Morpheus

 

[Columbo0815]

Da ich scalpel nicht kannte, aber dankbar für den Tipp bin, teste ich das mal eben schnell... Ich gebe Rückmeldung

 

[Columbo0815]

Image file pass 2/2.
Segmentation fault (core dumped)

Wobei ich bei libtre alle Optionen aktiviert habe. Ich teste es mal ohne diese "Optimierungen".

 

[Columbo0815]

Keine Änderung. Aber: ich habe die zweite doc-Zeile mal wieder rausgenommen.

Das Ergebnis:

/dev/md0: 100.0% |**************************************| 62.0 MB 00:00 ETAProcessing of image file complete. Cleaning up...
Done.
Scalpel is done, files carved = 2, elapsed = 2 secs.

 

[Columbo0815]

Noch ein Nachtrag:

mache ich es auf die dd-Datei direkt, gibt es auch einen Segmentation fault. Mit dem per mdconfig verfügbar gemachten Device /dev/md0 funktioniert es hingegen.

 

[morpheus]

Danke für Deine Mühe!

Also liegt es nicht an meinem System. Wundert mich nur, dass Scalpel solche Probleme mit einem simplen dd-Image hat. Angeblich soll Scalpel ja ein sehr gutes Forensik-Tool sein, aber bei verschiedenen Wiederherstellungstest habe ich mit anderen Programmen bessere Ergebnisse erzielt.

Laut Manpage muss es auch funktionieren, wenn man Scalpel direkt die Imagedatei bearbeiten lässt. Ist ja auch etwas umständlich, erst das Image zu mounten.Ich werde das nochmal unter Backtrack Linux probieren, ob Scalpel da auch so eine Fehlermeldung auswirft. Nicht, dass es am Port liegt.

 

[morpheus]

So, gleicher Test mit Backtrack 5 R3. Scalpel findet 16 Dateien und arbeitet problemlos direkt mit der Imagedatei.

Es scheint also am Port oder an FreeBSD zu liegen. Irgendwie ärgerlich, wenn man für solche kleinen Aufgaben immer noch irgendein anderes Betriebssystem benötigt.

Sofern es am Port liegen sollte, würde ich einen entsprechenden Bugreport schreiben.

 

[Columbo0815]

Es scheint also am Port oder an FreeBSD zu liegen. Irgendwie ärgerlich, wenn man für solche kleinen Aufgaben immer noch irgendein anderes Betriebssystem benötigt.

Brauchst du doch gar nicht?! Und mounten musst du das Image auch nicht. Bei meinen Tests hat es gereicht, das Image als Device einzubinden. Soooo irre aufwändig ist das nun auch wieder nicht. Zumindest ist es weniger Arbeit als ein anderes Betriebssystem zu booten

 

[morpheus]

Brauchst du doch gar nicht?! Und mounten musst du das Image auch nicht. Bei meinen Tests hat es gereicht, das Image als Device einzubinden.

Also bei meinem Rechner war es so,dass scalpel nach dem Einbinden mit mdconfig zwar durchgelaufen ist, wenn ich sclapel /dev/md0 eingegeben habe, er aber nichts gefunden hat. Gemounted habe ich das Image nicht.

Bei dem gleichen Image unter Backtrack hat er jede Menge Dateien wieder herstellen können.

Das wundert mich jetzt doch schon etwas. Irgendwie scheint das Programm unter FreeBSD nicht so zu funktionieren, wie es soll. Leider weiß ich nicht, warum.