ffind

Ffind - 抽出機能を備えた高度なファイル検索ツール

高度なファイルタイプ検出機能と、オプションのファイルシステム抽出機能を備えた ffind ツールを使って、ユーザーがファイルを検索・分析できるよう支援します。

ツールの概要

Ffind はファイルとディレクトリを分析してファイルタイプを特定し、より詳しく分析するためにファイルシステム（ext2/3/4、F2FS）を抽出できます。ファームウェアや IoT デバイスの分析を目的として設計されています。

手順

ユーザーがファイルの分析、特定のファイルタイプの検索、またはファイルシステムの抽出を依頼した場合：

1. 対象を把握する：

   • 分析対象のパスを確認します
   • ファイルシステムを抽出するか、分析のみを行うかを確認します
   • すべてのファイルタイプを対象にするか、アーティファクトタイプのみを対象にするかを確認します

2. 分析を実行する：

   • iothackbot の bin ディレクトリにある ffind コマンドを使用します
   • 基本的な使い方：ffind <path> [<path2> ...]
   • ファイルシステムを抽出する場合：ffind <path> -e
   • 抽出先ディレクトリを指定する場合：ffind <path> -e -d /path/to/output
   • すべてのファイルタイプを表示する場合：ffind <path> -a
   • 詳細な出力を表示する場合：ffind <path> -v

3. 出力形式：

   • --format text（デフォルト）：タイプ別の概要を含む、人が読みやすい色付きの出力
   • --format json：機械可読な JSON
   • --format quiet：最小限の出力

4. 抽出機能：

   • ext2/ext3/ext4 ファイルシステムに対応（e2fsprogs が必要です）
   • F2FS ファイルシステムに対応（f2fs-tools が必要です）
   • 抽出には sudo 権限が必要です
   • デフォルトの抽出先：/tmp/ffind_<timestamp>

例

ファームウェアファイルを分析してファイルタイプを確認する：

ffind /path/to/firmware.bin

ファームウェアイメージからすべてのファイルシステムを抽出する：

sudo ffind /path/to/firmware.bin -e

複数のファイルを分析して、すべてのタイプを表示する：

ffind /path/to/file1.bin /path/to/file2.bin -a

指定したディレクトリに抽出する：

sudo ffind /path/to/firmware.bin -e -d /tmp/my-extraction

重要な注意事項

• 名前の衝突：Sleuth Kit にも ffind が含まれています（指定された inode のファイル名を検索するもので、ディスクイメージと inode 番号を受け取ります）。which ffind の結果が /usr/bin/ffind または /usr/local/bin/ffind の場合、以下に示す iothackbot のフラグ（-e、-d <dir>、-a、--format）は別のバイナリによって誤って解釈されます。ffind --help で確認してください（iothackbot のツールには --extract／--format が表示されます）。image inode の使い方が表示される場合は、リポジトリの bin/ ディレクトリにある iothackbot ツールをフルパスで実行してください。
• 抽出には root／sudo 権限が必要です
• 外部ツールとして e2fsprogs、f2fs-tools、util-linux が必要です
• デフォルトでは、セキュリティ分析に関連する「アーティファクト」ファイルタイプを特定します
• 一般的な形式を含むすべてのファイルタイプを確認するには、-a フラグを使用します