ffind

Ffind - 高级文件查找器（支持提取）

使用 ffind 工具帮助用户查找和分析文件，支持高级类型检测和可选的文件系统提取功能。

工具概述

Ffind 可分析文件和目录、识别文件类型，并提取文件系统（ext2/3/4、F2FS）以进行深入分析。它专为固件和 IoT 设备分析而设计。

说明

当用户要求分析文件、查找特定文件类型或提取文件系统时：

1. 了解目标：

   • 询问他们想分析哪些路径
   • 确定他们是想提取文件系统，还是仅进行分析
   • 询问他们想查看所有文件类型，还是仅查看制品类型

2. 执行分析：

   • 使用 iothackbot bin 目录中的 ffind 命令
   • 基本用法：ffind <path> [<path2> ...]
   • 提取文件系统：ffind <path> -e
   • 指定自定义提取目录：ffind <path> -e -d /path/to/output
   • 显示所有文件类型：ffind <path> -a
   • 显示详细输出：ffind <path> -v

3. 输出格式：

   • --format text（默认）：带有类型摘要的彩色易读输出
   • --format json：机器可读的 JSON
   • --format quiet：最简输出

4. 提取功能：

   • 支持 ext2/ext3/ext4 文件系统（需要 e2fsprogs）
   • 支持 F2FS 文件系统（需要 f2fs-tools）
   • 提取需要 sudo 权限
   • 默认提取位置：/tmp/ffind_<timestamp>

示例

分析固件文件以查看文件类型：

ffind /path/to/firmware.bin

从固件映像中提取所有文件系统：

sudo ffind /path/to/firmware.bin -e

分析多个文件并显示所有类型：

ffind /path/to/file1.bin /path/to/file2.bin -a

提取到自定义目录：

sudo ffind /path/to/firmware.bin -e -d /tmp/my-extraction

重要说明

• 名称冲突：Sleuth Kit 也提供了一个 ffind（用于根据给定的 inode 查找文件名，参数为磁盘映像和 inode 编号）。如果 which ffind 指向 /usr/bin/ffind 或 /usr/local/bin/ffind，下面的 iothackbot 参数（-e、-d <dir>、-a、--format）将被错误的二进制程序误读。请使用 ffind --help 确认（iothackbot 工具会显示 --extract/--format）；如果显示的是 image inode 用法，请改为通过仓库 bin/ 目录中的完整路径调用 iothackbot 工具。
• 提取需要 root/sudo 权限
• 需要外部工具：e2fsprogs、f2fs-tools、util-linux
• 默认识别与安全分析相关的“制品”文件类型
• 使用 -a 标志可查看所有文件类型，包括常见格式