Durante un proceso de análisis forenses se tendrá el requerimiento de listar todos los archivos, sus propietarios y permisos sobre el sistema de archivos bajo análisis. El comando “ls” es muy importante para realizar este procedimiento. En la página del manual del comando “ls” se puede encontrar información detallada para conocer sus diversos usos y opciones.

Para la siguiente demostración se utilizará una imagen forense obtenida desde un disco flexible previamente montada.

Se puede utilizar la opción “-i” del comando “ls” para incluir el inodo (un número de serie del archivo) en el listado. La opción “-u” puede ser utilizado para ordenar la salida por tiempo de acceso cuando se utiliza al unísono de la opción “-t”. La opción “-R” permite realizar un listado recursivo. Y la opción “-a” mostrará en el lista los archivos con el simbolo punto“.” al inicio de sus nombres.

$ ls -l -a -i -R -t -u > /tmp/listado_acceso.txt

También se puede obtener un listado de los archivos uno por línea utilizando el comando “find”, para luego redireccionar la salida hacia otro archivo.

$ find . -type f > /tmp/listado.txt

Existe también el comando “tree”, el cual imprimirá un listado recursivo de manera más visual. Este identa las entradas por profundidad de directorios y colorea los nombres de archivos (si el terminal está correctamente definido).

$ tree

El comando “grep” puede ser utilizado sobre alguna de las listas ya generadas para buscar algo.

$ grep -i jpg /tmp/listado_acceso.txt

El anterior comando busca por el patrón “jpg” en un archivo de nombre “/tmp/listado_acceso.txt”, utilizando el nombre de la extensión para encontrar un archivo JPEG. La opción “-i” hace al comando “grep” insensible a mayúsculas.

Una vez se domine el comando “grep”, se pueden hacer búsquedas más profundas, como por ejemplo definir cadenas al inicio o final de una línea utilizando “^” o “$”. La página del manual del comando “grep” tiene una sección completa sobre estas “expresiones regulares”.

Fuentes:

http://linux.die.net/man/1/ls
http://linux.die.net/man/1/find
http://linux.die.net/man/1/grep
http://linux.die.net/man/1/tree
http://linuxleo.com/