Sleuthkit

mmls	Ausgabe der Partitionstabelle eines Laufwerks
fsstat	Dateisystemlayout anzeigen
ffind	findet (auch gelöschte) Dateinamen, die auf eine Metadatenstruktur (z.B. Inode) zeigen
fls	listet alle Dateinamen im Verzeichnis (auch gelöschte)
icat	Gibt Dateiinhalt basierend seiner inode nummer aus
ifind	findet Metadaten mit gewünschten Eigenschaften
ils	listet Metadatenstrukturen und ihre Inhalte
istat	Übersicht über Metadateneintrag
dcat	Extrahiert Inhalt eines Datenblocks
dls	Informationen über Datenblöcke, kann auch alle unbelegten Datenblöcke extrahieren
dstat	Übersicht über Datenblock

Siehe auch http://www.sleuthkit.org/sleuthkit/man/

~~COMPLEX_TABLES~~