dls : Recover de Slack space
Om de slack space of de overgebleven ruimtes tussen de data de recupereren kun je dls van sleutkit op je dd laten lopen met het volgende commando :

# dls -s -f ntfs -o 63 -i raw /pad/naar/map/sda-img.dd > /pad/naar/map/slack.dd

Opmerking :

Om unallocated space met dls te recupereren gebruiken we het volgende (hier uit een EWF-bestand): 

# dls /pad/naar/map/image.E01 > /pad/naar/map/output.dls


Doorzoeken met :

# strings -t d /pad/naar/mapoutput.dls > /pad/naar/map/output.dls.str
# cat /pad/naar/map/output.dls.str
# grep 'keyword' /pad/naar/map/output.dls.str