Recuperação de arquivos sem assinaturas (números mágicos)

Question

É possível recuperar um arquivo de uma imagem de disco (imagem dd) se o Cabeçalho / Rodapé do Arquivo, Assinatura foi alterado / modificado ou removido?

Por exemplo, se a assinatura da imagem de bitmap (0x42 0x4d) ou até mesmo os primeiros 30 bytes foi removida ou alterada?

Se não o que é maneira alternativa de recuperar esse arquivo não baseado na assinatura do arquivo? Se é possível como é feito?

    

Answer 1

Você pode analisar a estrutura residual do sistema de arquivos.

Por exemplo, a família de sistemas de arquivos FAT indica que um arquivo foi excluído, sobrescrevendo o primeiro byte de o nome do arquivo em uma entrada de diretório com o valor de byte 0x3F. O restante dos metadados (incluindo a maior parte do nome do arquivo) ainda estará lá imediatamente após a exclusão, portanto um programa que acessa o disco diretamente e não através do sistema operacional pode encontrar facilmente o arquivo, que é como o comando "undelete" do DOS funciona .

Outros sistemas de arquivos são semelhantes, embora geralmente menos informações estejam disponíveis - a família FAT é especialmente fácil de recuperar arquivos.

    

Answer 2

Você poderia se tivesse alguma ideia do que procurar e onde procurar. Um bitmap (não compactado) tem propriedades estatísticas específicas e você pode reconstruí-lo.

Sabendo de antemão que um intervalo provável para a largura da imagem seria, por exemplo, imensamente benéfico. Saber sua cromaticidade aproximada também ajudaria.

O problema real provavelmente será que o arquivo em si pode ser dividido em setores não contíguos e as informações necessárias para colocá-lo em funcionamento também podem ter sido apagadas. Um bitmap pequeno o suficiente para caber em um único cluster de sistema de arquivos teria as melhores chances.

Outra possibilidade muito real a ser considerada é que o que quer que tenha apagado os primeiros bytes também apagou os restantes, ou uma parte significativa dos mesmos, tornando a recuperação indeterminada, se possível.

Para tentar recuperar um bitmap DIB descompactado, você procuraria por sequências de bytes com a propriedade que os valores variam em triplas (ou seja, dada uma sequência de N bytes, a correlação entre pixels obtidos com o módulo de índice três é significativamente maior do que com qualquer outro índice não múltiplo de três). Em seguida, você verificará se existe uma correlação semelhante com um índice superior, que é a largura da linha arredondada para o múltiplo de quatro mais próximo. Mais análise é necessária para determinar o início / parada da linha.

Sem saber mais sobre o caso específico (sistema de arquivos, formato real de bitmap usado, tamanho do bitmap, como foi excluído / substituído , tamanho da imagem dd, motivo da operação), não consegui você mais do que um "talvez" quanto às chances de recuperação.