Tallado de archivos y recuperación de datos
Los CD o DVD en vivo ofrecen una forma de iniciar la unidad del sistema, así como la unidad de medios extraíble o fija, lo que le permite usar el administrador de archivos o el software para cargar el archivo. Un servidor de disco puede corromper estos casos y almacenar archivos de datos valiosos o de propiedad en compartimentos separados en los archivos del sistema operativo.
Talla de archivos es un procedimiento utilizado en la investigación de la escena del crimen de PC para extraer información de un disco duro u otros dispositivos de almacenamiento sin la ayuda de la tabla del sistema de archivos que creó el archivo original en primer lugar. La talla de archivos es una estrategia que asume el control sobre los documentos en el espacio no asignado sin datos y se utiliza para recuperar información para reproducir un examen clínico computarizado. Este proceso se llamó inicialmente "diseño", que es un término general para eliminar la información organizada de la información del crudo, a la luz de los atributos particulares del patrón de organización de la información almacenada.
Un método forense que recupera documentos depende de la estructura y el contenido de los archivos sin los metadatos del sistema de archivos apropiados. La talla de archivos le permite recuperar archivos del espacio no asignado en cualquier unidad. El área de la unidad indicada por la estructura del sistema de archivos (tabla de archivos) que no contiene la información del sistema de archivos se llama espacio no asignado.
Las estructuras del sistema de archivos faltantes o dañadas pueden afectar toda la unidad. En pocas palabras, muchos sistemas de archivos no eliminan los datos cuando se elimina. En cambio, simplemente elimina el conocimiento de dónde es. Escanear bytes sin procesar y ponerlos en orden es el proceso básico de la talla de archivos. Este proceso se realiza por Examinar el encabezado (primeros bytes) y el pie de página (Últimos bytes) de un archivo.
La talla de archivos es una excelente manera de recuperar archivos y fragmentos de archivos cuando el texto está dañado o faltando. A menudo lo usan los profesionales para solucionar problemas para volver a examinar la evidencia. Un ejemplo de la prohibición y la capacidad de evacuar los medios ocurrieron cuando la información fue eliminada de los campamentos de Osama bin Laden durante el ataque de la Armada de los Sellos de EE. UU. Los investigadores forenses utilizaron métodos de recuperación de archivos para recuperar datos de las unidades y sistemas utilizados en los campamentos.
Descripción general de los sistemas de archivos
A Sistema de archivos Is Un tipo de base de datos utilizada para almacenar, actualizar y recuperar archivos o varios números de archivos. Es una forma en que los archivos se archivan lógicamente y se nombran para el archivo y la recuperación. Hay diferentes tipos de sistemas de archivos mencionados a continuación:
Sistema de archivos de Windows: Microsoft Windows usa solo dos tipos de grasa y NTFS.
- GORDO, Lo que significa 'tabla de asignación de archivos', es el tipo más simple de sistema de archivos que contiene un sector de arranque, una tabla de asignación de archivos y un espacio de almacenamiento simple para almacenar archivos y carpetas. Recientemente, la grasa llegó en FAT16, FAT12 y FAT32. FAT32 es compatible con dispositivos de almacenamiento basados en Windows. Windows no puede crear un sistema de archivos FAT32 con un archivo mayor de 32 GB.
- NTFS, La abreviatura del "nuevo sistema de archivos de tecnología", ahora es un sistema de archivos predeterminado para archivos superiores a 32 GB. El cifrado y el control de acceso son algunas propiedades principales de este sistema de archivos.
Sistema de archivos de Linux: Linux es un sistema operativo de código abierto ampliamente utilizado, y fue desarrollado para pruebas y desarrollo. Este sistema operativo estaba destinado a usar diferentes conceptos del sistema de archivos. En Linux, hay varios tipos de sistemas de archivos.
- Ext2, ext3, ext4 - Este es el sistema de archivos Linux local o predeterminado. El sistema de archivos raíz generalmente se mide a toda la distribución de Linux. El sistema de archivos EXT3 es una excelente actualización del sistema de archivos EXT2 utilizado anteriormente; Utiliza la operación de redacción de archivos transaccionales. Ext4 es un archivo de extensión que admite la información de información y la atribución de archivos.
- Reiserfs - El problema del sistema de archivos se resuelve guardando muchos archivos pequeños a la vez. El Administrador de archivos hay una buena risa, y el permiso del archivo compatible, el almacenamiento del código de archivo, el archivo contiene metadatos en el modo de no usar el sistema de archivos grande debido a su tamaño.
- XFS - El sistema de archivos XFS funciona bien y se usa ampliamente para el archivo de archivos. Este tipo de sistema de archivos es popular en los servidores IRIX.
- JFS - IBM desarrolló este sistema de archivos, y se ha convertido en un sistema de archivos que se utiliza en casi todas las distribuciones de Linux
Sistema de archivos de MacOS: El sistema operativo Apple Macintosh usa solo el HFS + Sistema de archivos sin la extensión del sistema de archivos HFS. MacOS, iPhones, iPads y todos los demás productos de Apple usan el HFS + sistema de archivos. Algunos productos de Apple Server usan el sistema de archivos HSCAN. Este reconocido sistema de archivos realiza un seguimiento de la información relacionada con la vista de los directorios, la ubicación de Windows, etc.
Técnicas de talla de archivos
Durante la investigación digital, es necesario analizar los diferentes tipos de medios. La información aplicable se puede encontrar en varios dispositivos de almacenamiento y en la memoria de la PC. Se pueden desglosar varios tipos de información, por ejemplo, correo electrónico, informes electrónicos, registros de marco y registros de medios. La talla de archivos es una técnica de recuperación donde solo se consideran los contenidos y la estructura del archivo en lugar de los metadatos del archivo utilizados en la organización de datos en el medio de almacenamiento.
A continuación se presentan algunas terminologías de talla de archivos para recordar:
- Bloquear - El tamaño más pequeño de las unidades de datos que se pueden escribir en el almacenamiento
- Encabezamiento - El punto de partida del archivo.
- Pie de página - Los últimos bytes del archivo.
- Fragmento - Uno o varios bloques pertenecen a un solo archivo.
- Fragmento base - Primer fragmento del contenedor de archivos, el encabezado del archivo.
- Punto de fragmentación - El último bloque justo antes de que se produzca la fragmentación. Múltiples fragmentos en cualquier archivo da como resultado varios puntos de fragmentación.
Las técnicas de talla de archivos universales corporativas supremas son las siguientes:
- Técnica de footer de encabezado (o encabezado "tamaño de archivo máximo") - La estrategia básica aquí es tallar archivos basados en el título y la escritura a mano o los archivos totales.
- Archivos de extensión JPG o JPEG - "\ Xff \ xd8" y "\ xff \ xd9."
- Gif - Titulado "\ x47 \ x49 \ x46 \ x38 \ x37 \ x61" y "\ x00 \ x3b" pie.
- PST: "! Bdn ”encabezando sin pie de página.
- Si el sistema de archivos no tiene una base, el número máximo de archivos utilizados en el programa de talla.
- Tallado basado en la estructura de archivos
- El diseño interno del archivo se utiliza como una técnica básica.
- El encabezado, el pie de página, las cadenas de identificación y la información de tamaño son elementos básicos.
- Tallado basado en el contenido
La estructura de contenido es gratuita (mbox, html, xml)
- Características del material
- Cuenta de personajes
- Reconocimiento de texto / idioma
- Lista de datos en blanco y negro
- Entropía de información
- Características estadísticas (chi2)
Tallar un archivo (sin usar ninguna herramienta)
A continuación, veremos cómo tallar un .archivo jpeg sin usar una herramienta. Primero, necesitamos conocer la estructura del .archivo jpeg (encabezado y pie de página, etc.). Para hacer esto, abriremos un .imagen jpeg en el Maleficio editor para examinar qué encabezado el encabezado y el pie de página del .El archivo JPEG se ve como.
Aquí, encontramos el encabezado del archivo ( Ffd8ffe0). Ahora, para encontrar el pie de página, examinaremos los últimos bytes en el archivo.
Aquí, tenemos el pie de página o el remolque (Ffd9).
Si tiene un documento con una imagen, puede tallar la imagen conociendo su encabezado y pie.
Ahora, tenemos un archivo de Word con una imagen en él. Tallaremos la imagen utilizando esta técnica.
Lo primero que debemos hacer es abrir este documento de Word con el Maleficio Editor haciendo clic Archivo >> Abierto.
Aquí, podemos ver una figura que muestra los datos del archivo de palabra en forma hexadecimal. Como ya sabemos, el .El archivo JPEG tiene un valor de encabezado de Ffd8ffe0, Entonces buscaremos el encabezado del archivo presionando Ctrl + F o Búsqueda >> archivo e ingresar el valor de encabezado conocido (seleccionar el tipo de datos de valor hexadecimal es muy importante en este paso).
Encontraremos un valor de firma al desplazamiento 14fd.
A continuación, debemos buscar un pie de página o un remolque. Sabemos que el .el archivo jpeg tiene un valor de pie de página de Ffd9, Entonces buscaremos el pie de página del archivo presionando Ctrl + F o Búsqueda >> archivo e ingresar el valor de pie de página conocido (seleccionar el tipo de datos de valor hexadecimal es muy importante.
Encontraremos un valor de pie de página al desplazamiento 2Adb.
Actualmente tenemos el encabezado y el pie de página de un documento JPEG, y, como declaramos recientemente, entre el encabezado y el pie de página es la información de un registro de JPEG. Aquí duplicamos todo el cuadrado de información con encabezado y pie de página y la almacenamos como otro archivo.
Ir a Editar >> Seleccionar bloque e ingrese los dos siguientes términos:
Compensación del encabezado del archivo: 14fd
Apagado de pie de página de archivo: 2Adb
Después de ingresar estos valores, todo .El archivo JPEG se marcará en azul. Para guardarlo como un DFILE, copie haciendo clic con el botón derecho y seleccionando Copiar, o presionando Ctrl + C. A continuación, pegaremos la información en un nuevo archivo. Aparecerá un cuadro de diálogo, y haremos clic en DE ACUERDO. Ahora, estamos listos para guardar el archivo haciendo clic en Archivo >> Guardar como o presionando Ctrl + S. Si abre este archivo copiado, verá la misma imagen que en el documento original. Esta es la técnica básica para tallar archivos multimedia.
Herramientas de talla de datos
Las herramientas de recuperación de datos juegan un papel importante en la mayoría de las investigaciones forenses, ya que los atacantes inteligentes siempre intentan borrar la evidencia de sus crímenes. A continuación se enumeran algunas herramientas importantes de recuperación de datos en Linux y Windows.
- Foremost (herramienta de talla de archivos)
Para recuperar archivos que se pierden debido a sus estructuras de datos internos, encabezados y pies de página, principal, puede ser usado. El principal generalmente toma la entrada en varios formatos de imagen, como los formatos AFF o RAW, que se pueden generar utilizando una variedad de herramientas, como FTK Imager, DD, Encase, etc. Puede navegar a la página de ayuda de Foremost para aprender y explorar sus poderosos comandos utilizando el siguiente comando:
ubuntu@ubuntu: ~ $Recuperar archivos de una imagen de disco basada en tipos de archivos especificados por el
usuario que usa el interruptor -t.
Soporte JPG para los formatos JFIF y EXIF, incluidas las implementaciones
utilizado en cámaras digitales modernas.
gif
png
Soporte de BMP para el formato de Windows BMP.
avi
El soporte EXE para los binarios de Windows PE extraerá archivos DLL y EXE
junto con sus tiempos de compilación.
Soporte MPG para la mayoría de los archivos MPEG (debe comenzar con 0x000001BA)
wav
riff esto extraerá avi y riff ya que usan el mismo archivo para
Mat (riff). Nota más rápido que ejecutar cada uno por separado.
WMV Note también puede extraer archivos WMA, ya que tienen un formato similar.
OLE esto tomará cualquier archivo utilizando la estructura de archivo OLE. Este
Incluye PowerPoint, Word, Excel, Access y StarWriter
Doc nota Es más eficiente ejecutar OLE a medida que obtiene más golpes para
tu dinero. Si desea ignorar todos los demás archivos OLE, use
este.
nota zip se extraerá .archivos jar también porque usan un similar
formato. Los documentos de Office Open son solo archivos XML Zip'd, por lo que ellos
se extraen también. Estos incluyen SXW, SXC, SXI y SX? para
Archivos de OpenOffice indeterminados. Los archivos de Office 2007 también son XML
Basado (PPTX, DOCX, XLSX)
rar
htm
Detección del código fuente de CPP C, tenga en cuenta que esto es primitivo y puede generar
Documentos distintos del código C.
Soporte MP4 para archivos MP4.
Todos ejecutan todos los métodos de extracción predefinidos. [Predeterminado si no -t es
especificado]
- Binwalk
Binwalk se utiliza para administrar bibliotecas binarias y extraer datos importantes de imágenes de firmware. Esta herramienta es excelente para aquellos que saben cómo usarla. Binwalk se considera una de las mejores herramientas disponibles para la ingeniería inversa y la extracción de imágenes de firmware. Binwalk es fácil de usar y viene con enormes capacidades. Puede navegar a la página de ayuda de Binwalk para obtener más información utilizando el siguiente comando:
ubuntu@ubuntu: ~ $ binwalk -opciones de escaneo de firma de help:-B, -Archivos de destino de escaneo de firma para firmas de archivos comunes
-R, - -raw = escanear archivos de destino para la secuencia especificada de bytes
-A, -Opcodes Archivos de destino de escaneo para firmas comunes de código de operación ejecutable
-m, - -magic = especificar un archivo mágico personalizado para usar
-B, -DiM -DISPLITS SMART Signature Keywords
-I, -Las inválidas muestran resultados marcados como inválidos
-x, --exclude = excluir los resultados que coinciden
-y, --include = solo muestra resultados que coinciden
Opciones de extracción:
-E, -Extractan automáticamente los tipos de archivos conocidos
-D, --dd = extracto de firmas, dar a los archivos una extensión y ejecutar
-M, --MatryaShka escanean recursivamente archivos extraídos
-D, - -Depth = Profundidad de recursión de Limit Matryoshka (predeterminado: 8 niveles de profundidad)
-C, - -Directory = Extraer archivos/carpetas a un directorio personalizado (predeterminado: directorio de trabajo actual)
-J, --size = Limite el tamaño de cada archivo extraído
-n, --count = limitar el número de archivos extraídos
-R, - -RM Eliminar archivos tallados después de la extracción
-z, --carve talla datos de archivos, pero no ejecute utilidades de extracción
Opciones de análisis de entropía:
-E, -Entropy calcular la entropía del archivo
-F, -Usar el análisis de entropía más rápido, pero menos detallado
-J, -Save Save Plot como PNG
-Q, -Nlegend omitir la leyenda del gráfico de trazado de entropía
-N, - -nplot no genera un gráfico de trazado de entropía
-H, --hifigh = Establezca el umbral de disparo de entropía del borde ascendente (predeterminado: 0.95)
-L, --low = Establezca el umbral de disparo de entropía del borde de caída (predeterminado: 0.85)
Opciones de diferencia binaria:
-W, - -Hexdump realiza un hexdump / diff de un archivo o archivos
-G, -Green solo líneas de exhibición que contienen bytes que son las mismas entre todos los archivos
-I, -Red Only Show Lines que contienen bytes que son diferentes entre todos los archivos
-U, -BLUE SOLO SHOW LÍNEAS que contienen bytes que son diferentes entre algunos archivos
-w, --terse diff todos los archivos, pero solo muestra un volcado hexadecimal del primer archivo
Opciones de compresión en bruto:
-X, -escaneo de definición para flujos de compresión de deflación en bruto
-Z, -Lzma Scan para flujos de compresión LZMA crudos
-P, -Partial realizar un escaneo superficial, pero más rápido,
-S, -parada de parada después del primer resultado
Opciones generales:
-l, - -longitud = número de bytes para escanear
-o, --OffSet = Iniciar escaneo en esta compensación de archivo
-O, - -base = Agregar una dirección base a todas las compensaciones impresas
-K, --block = Establecer el tamaño del bloque de archivo
-g, --swap = revertir cada n bytes antes de escanear
-F, --log = Registro de registro para archivar
-C, - -CSV Registre los resultados para archivar en formato CSV
-t, -salida de formato de término para que se ajuste a la ventana del terminal
-Q, -Cuenta de suprimir la salida a stdout
-v, --verbose habilita la salida detallada
-h, - -Help Show Help Sutening
-a, - -finclude = solo escane los archivos cuyos nombres coinciden con este regex
-P, --fexClude = No escane los archivos cuyos nombres coincidan con este regex
-s, - -status = habilitar el servidor de estado en el puerto especificado
Recuperación de datos de discos formateados
Las herramientas de recuperación de datos deben seleccionarse cuidadosamente para recuperar información de discos formateados, unidades flash USB y tarjetas de memoria. Las herramientas diseñadas para completar diversas actividades pueden producir resultados inesperados. A continuación, analizaremos algunas de las diferencias entre varias herramientas de recuperación de datos para la corrección de datos en unidades formateadas.
No formatear
El primer error fatal que realizan muchos usuarios de computadoras cuando formatan accidentalmente sus unidades es encontrar, instalar y usar herramientas "sin formato". Hay muchas de estas herramientas en el mercado; Algunos son comerciales y otros son productos gratuitos. El propósito de estas herramientas es reconstruir o recrear el disco preformado restaurando el sistema de archivos.
Si bien esto puede parecer un enfoque viable para los inexpertos, podría terminar siendo un error más grande que perder los archivos en primer lugar. El formato del disco descarga el sistema de archivos original, reemplazándolo al menos en parte, generalmente al principio. Cuando intenta restaurar su sistema de archivos anterior, lo mejor que puede obtener es un disco que se puede legible con algunos de sus archivos. Todo no se puede recuperar exactamente como era de esta manera, y los archivos más preciosos podrían verse comprometidos, con solo muestras aleatorias de los archivos originales en el disco. Cuando piense en "formatear" una unidad de sistema, olvídala; Al menos algunos archivos del sistema se habrán ido. Incluso si puede iniciar el sistema operativo, nunca obtendrá un sistema estable.
Sin solucionar
El segundo error que cometerán muchos usuarios de computadoras es usar herramientas de recuperación. Aunque estas herramientas existen y tienden a hacer su trabajo de buena fe, no están diseñadas para manejar discos con un sistema de archivos excluidos. Incluso con algunas de las mejores herramientas de recuperación, como la recuperación de archivos RS, puede eliminar múltiples archivos, pero eso es todo.
Recuperación de la partición
Para recuperar archivos, debe buscar una herramienta de recuperación de partición como la recuperación de partición RS. Diseñada para manejar discos distribuidos, formateados y dañados, esta herramienta puede escanear toda la superficie de un disco o partición para recuperar todo lo que puede encontrar. Incluso si el sistema de archivos está vacío o eliminado, esta herramienta puede recuperar muchos tipos de archivos, como documentos, imágenes y videos, a través de su función de firma. Sin embargo, aunque las herramientas de recuperación segmentadas son de primera categoría para la recuperación de datos, generalmente son bastante caras. Si solo desea recuperar un disco formateado, puede ser útil buscar y guardar en su lugar.
Recuperación de grasa y NTFS
Puede ahorrar hasta el 40% en el costo de la recuperación de la partición RS eligiendo una herramienta que solo recupera los discos formados en grasa o NTFS. Recuerde que deberá comprar una herramienta que sea adecuada para el sistema de archivos original y no la escrita anteriormente. Si la unidad original es NTFS, obtenga el NTFS Recovery RS. Si es grasa o grasa32, obtenga la recuperación de grasa Rs. De esta manera, obtendrá las mismas herramientas de calidad, pero se limitará al formato de grasa o NTFS. Esta es la elección perfecta para un trabajo único.
Tallado de archivos (usando una herramienta)
Fotorecia es un software increíble utilizado para tallar archivos y especialmente archivos JPEG o imagen (por eso se llama Recuperación de Photo). Photorec pasa por alto el marco de documentos y persigue la información básica, por lo que funcionará independientemente de si el marco de registro de sus medios ha sido gravemente perjudicado o reformateado. Fotorecia es fácilmente accesible en los sistemas operativos de Windows.
Como ejemplo, recuperaremos los archivos de imagen de una unidad flash de 8 GB utilizando esta herramienta.
Primero, ejecute el Fotorecia.exe archivo y iniciar la aplicación. Veremos una pantalla como esta:
Aquí tenemos todas las particiones que se muestran. Seleccionaremos /K como nuestro objetivo deseado para recuperar datos.
Podemos ver qué sistema de archivos está utilizando esta partición aquí, y hay cuatro opciones en la parte inferior.
Buscar - Esto buscará la partición que contiene archivos para la recuperación.
Opción - Utilizado para cambios menores en las opciones.
Archivo opt - Utilizado para modificar los tipos de archivos que se recuperarán.
Abandonar - Sale del proceso.
Seleccionaremos Archivo opt (Opciones de archivo):
Esto nos dará opciones para seleccionar los archivos que queremos recuperar de la partición deseada. Prensado S Unmará todas las opciones. Seleccionaremos Fotos JPG, Como solo queremos recuperar archivos de imagen de la unidad. A continuación, presionaremos B.
Para seleccionar el Sistema de archivos, Regrese a las opciones principales y seleccione Otro. En cuanto a las opciones de recuperación, tenemos dos opciones:
- recuperarse del partición completa
- recuperarse de Solo espacio no asignado (FAT12, FAT16, FAT32, EXT1, EXT2, EXT3, etc.). Usando esta opción, solo se recuperarán los archivos que se han eliminado.
Ahora, todo lo que necesitamos hacer es establecer la ubicación donde se recuperarán los archivos eliminados. Después de eso, el proceso de recuperación comenzará y terminará después de tomarse un tiempo. Luego, buscaremos los archivos recuperados en la ubicación establecida. Los archivos de imagen recuperados estarán allí.
Conclusión
Talla de archivos es un término de computadora forense bien conocido para describir los tipos de archivos de identificación y eliminarlos de grupos no subordinados utilizando firmas de archivos. Una firma de archivo, también conocida como número mágico, es un valor de texto numérico o permanente utilizado para identificar el formato de archivo. Extracción de archivos o datos es un término utilizado en el campo de la informática forense. Un Investigación forense es una adquisición, verificación, análisis y documentación de evidencia contenida en un sistema informático, una red de computadoras u otras formas de medios digitales. Se llama extraer datos significativos de datos sin procesar tallado.
Escultura de archivos ¿Es la identificación y recuperación de archivos basados en el análisis de formato?. En la computación forense, la escultura es una forma útil de encontrar archivos ocultos o eliminados en medios digitales. Los filos se pueden ocultar en áreas como grupos perdidos, grupos no asignados y reproducir discos o medios digitales. Para usar este método de extracción, un archivo debe tener una firma estándar, llamada encabezado de archivo, Al comienzo del archivo. Para obtener el encabezado del archivo, la herramienta de recuperación continuará consultando hasta que alcance el pie de página del archivo al final del archivo. Los datos entre el encabezado y el pie de página se extraen y analizan para garantizar la integridad. Se utilizan varios métodos de escultura en sus algoritmos, dependiendo del tipo de archivo.
Los sistemas operativos modernos no eliminan completamente los archivos eliminados sin permiso del usuario. Los archivos eliminados se pueden recuperar a través de varias herramientas y tácticas forenses si los archivos eliminados no se agregan a otro archivo. Los archivos dañados se pueden recuperar si los datos no están dañados más allá del reconocimiento.
Hay mucha diferencia entre la recuperación de archivos y la talla de archivos. La recuperación de archivos utiliza información del sistema de archivos; Al utilizar esta información, se pueden recuperar varios archivos. Si la información es incorrecta, no funcionará. Con el advenimiento de la talla de archivos, la aplicación de la ley, los profesionales de la tecnología y los profesionales forenses han encontrado otra herramienta que puede usarse para recuperar datos eliminados. Si bien no siempre es perfecto y refinado, herramientas como Lo más importante, el bisturí, y Fotorecia Han hecho que la recreación de archivos sea más fácil que nunca.