DedupInspector؛ بازیابی فایل از حجمهای Data Deduplication ویندوز
خلاصهٔ کاملتر
به گفتهٔ سازنده، DedupInspector یه ابزار فارنزیک سبک و تکفایله که برای بازیابی فایلها از حجمهای Data Deduplication ویندوز ساخته شده. ویژگی مهمش اینه که نه به نصب نیاز داره و نه به سرویس Data Deduplication خود ویندوز؛ کاملاً آفلاین کار میکنه و همین باعث میشه تو تحلیلهای فارنزیک روی یه سیستم جدا هم بهراحتی قابلاستفاده باشه.
برای بازسازی فایلها سه ورودی لازم داره: یه نسخهٔ اکسپورتشده از NTFS $MFT، یه فایل Stream دیدآپ و یه فایل Chunk با پسوند .ccc. تو Data Deduplication هر فایل به تکههای مشترک (chunk) شکسته و ذخیره میشه، و این ابزار با کنار هم گذاشتن این ورودیها فایل اصلی رو دوباره از همون تکهها سرهم میکنه.
از نظر فنی، این برنامه یه اپلیکیشن نیتیو ویندوزیه که با C++17، Win32 API و کتابخونهٔ استاندارد C++ و با CMake ساخته شده و خروجیش یه فایل اجرایی مستقل هست. هیچ وابستگیای به Qt، داتنت، جاوا، Electron یا Node.js نداره و چون CRT بهصورت استاتیک لینک شده، روی یه ویندوز خام هم بدون نیاز به Redistributable اجرا میشه. نویسنده اشاره میکنه که چون از Win32 API و Windows Compression API استفاده میکنه، فعلاً نمیشه از لینوکس یا مک کراسکامپایلش کرد و باید با MSVC یا MinGW-w64 روی خود ویندوز بیلد بشه.
نکات کلیدی:
- بازیابی فایل از حجمهای Data Deduplication ویندوز بدون نصب سرویس
- نیاز به سه ورودی: $MFT، فایل Stream و فایل Chunk با پسوند .ccc
- ساختهشده با C++17 و Win32 API، خروجی یه فایل اجرایی مستقل و آفلاین
- فعلاً فقط روی ویندوز بیلد میشه (MSVC یا MinGW-w64)
