Ανάκτηση διεγραμμένων αρχείων με την χρήση του foremost

[Chris_th]

Ναι ψάχνω για κάποια έγγραφα word με κατάληξη .exe και για φωτογραφίες με κατάληξη .jpeg

[Learner]

Ναι ψάχνω για κάποια έγγραφα word με κατάληξη .exe και για φωτογραφίες με κατάληξη .jpeg

Αυτά είναι εύκολα αρχεία. Τα δύσκολα είναι οι ταινίες - βίντεο. Μπορείς να χρησιμοποιήσεις και το testdisk , είναι λίγο πιο απλό και ίσως καλύτερο για ανάκτηση δεδομένων τύπου .jpeg - .exe .
Κοίτα αυτό το βίντεο --> http://www.youtube.com/watch?v=EncqYP1ijFg

[konnn]

Μάλλον θέλει αρκετό πείραγμα,δεν τα κατάφερα.

1. Ακολουθούμε τις οδηγίες στο
http://foremost.svn.sourceforge.net/vie ... iew=markup

2. Για παράδειγμα, για αρχεία WordPerfect,

Κώδικας: Επιλογή όλων

#---------------------------------------------------------------------
# WORDPERFECT
#---------------------------------------------------------------------
#
wpc y 100000 ?WPC
#

Μπορείς να επιβεβαιώσεις αν πάρεις ένα αρχείο .wpd και τρέξεις

$ hexdump -c seventh_grade.wpd | head
0000000 � W P C ? D 002 \0 001 \n 002 003 \0 \0 \0 002
0000010 005 \0 \0 \0 � U 002 \0 \0 002 \0 \0 @ 237 @ =

3. Έχουν τα αρχεία .mod κάποια κοινά byte στην αρχή τους;
Ας δούμε αν μπορούμε να βρούμε κάτι έτοιμο.

Η εντολή file μπορεί να εντοπίσει το είδος ενός αρχείου από τα πρώτα του byte, αν αυτά είναι κοινά.
Χρησιμοποιεί το αρχείο /etc/magic όπου έχει πληροφορίες παρόμοιες με το foremost.conf.
Η εντολή file είναι πολύ παλιά, και τώρα τα δεδομένα της (/etc/magic) έχουν μεταφερθεί στο /usr/share/file/
και βρίσκεται εκεί το μεγάλο αρχείο με τα δεδομένα, σε μια μεταγλωττισμένη μορφή (για γρήγορη πρόσβαση).
Τι κάνουμε εμείς για να βρούμε το αρχείο magic;

Με

Κώδικας: Επιλογή όλων


man file

βλέπουμε στο τέλος ότι

Κώδικας: Επιλογή όλων

AVAILABILITY
You can obtain the original author's latest version by anonymous FTP on
ftp.astron.com in the directory /pub/file/file-X.YZ.tar.gz.


Η πιο πρόσφατη έκδοση είναι ftp://ftp.astron.com/pub/file/file-5.11.tar.gz
Μετά από την αποσυμπίεση, στο file-5.11/magic/Magdir θα δεις τα σχετικά αρχεία, καθώς και την πληροφορία για το WordPerfect:

Κώδικας: Επιλογή όλων

#WordPerfect type files Version 1.6 - PLEASE DO NOT REMOVE THIS LINE
0 string \377WPC\020\000\000\000\022\012\001\001\000\000\000\000 (WP) loadable file


που μπορείς εύκολα να δεις την αντιστοιχία με τη μορφή του κανόνα στο foremost.

Υπάρχουν ήδη κανόνες για αρχεία MOD, στο file-5.11/magic/Magdir/audio

Κώδικας: Επιλογή όλων

.........
#audio/x-tracker-module
>17 string >\0 Title: "%s"

21 string/c =!SCREAM! Screamtracker 2 module sound data
!:mime audio/x-mod
#audio/x-screamtracker-module
21 string BMOD2STM Screamtracker 2 module sound data
!:mime audio/x-mod
#audio/x-screamtracker-module
1080 string M.K. 4-channel Protracker module sound data
!:mime audio/x-mod
#audio/x-protracker-module
>0 string >\0 Title: "%s"
1080 string M!K! 4-channel Protracker module sound data
!:mime audio/x-mod
......

Ανάλογα με το είδος MOD που έχεις, νομίζω ότι το κοινό ζήτημα είναι να έχουν στη θέση 1080 το αλφαριθμητικό M!K!.
Σε κάθε περίπτωση, αν δεν καταφέρεις κάτι, επιβάλλεται να αναφέρεις που ακριβώς κόλλησες.

Λοιπόν, η εντολή που αναφέρεις Σίμο είναι φοβερή. Με παράμετρο το κεφαλαίο C, σε δείγμα τεσσάρων βίντεο, παίρνω τα εξής αποτελέσματα:

Κώδικας: Επιλογή όλων


konnn@konnn-desktop:~/Videos/Thai /2nd_day$ hexdump -C MOV001.MOD | head
00000000 00 00 01 ba 44 00 04 00 04 01 01 89 c3 f8 00 00 |....D...........|
00000010 01 bb 00 12 80 c4 e1 04 e1 7f b9 e0 e8 b8 c0 20 |............... |
00000020 bd e0 3a bf e0 02 00 00 01 bf 07 d4 50 00 00 00 |..:.........P...|
00000030 00 5c 30 00 00 00 00 00 ff ff ff ff ff 00 00 00 |.\0.............|
00000040 00 00 40 10 00 00 00 00 64 76 64 76 72 78 30 31 |..@.....dvdvrx01|
00000050 30 70 61 6e 61 73 6f 6e 69 63 30 31 32 30 32 30 |0panasonic012020|
00000060 31 55 30 31 00 00 00 00 42 52 10 07 da 01 07 02 |1U01....BR......|
00000070 01 1a 42 53 10 00 00 53 00 00 00 64 76 64 76 72 |..BS...S...dvdvr|
00000080 78 30 31 30 70 61 6e 61 73 6f 6e 69 63 30 31 32 |x010panasonic012|
00000090 30 32 30 31 55 30 31 00 00 00 00 53 4e 01 4d 64 |0201U01....SN.Md|
konnn@konnn-desktop:~/Videos/Thai /2nd_day$ hexdump -C MOV002.MOD | head
00000000 00 00 01 ba 44 00 04 00 04 01 01 89 c3 f8 00 00 |....D...........|
00000010 01 bb 00 12 80 c4 e1 04 e1 7f b9 e0 e8 b8 c0 20 |............... |
00000020 bd e0 3a bf e0 02 00 00 01 bf 07 d4 50 00 00 00 |..:.........P...|
00000030 00 5c 30 00 00 00 00 00 ff ff ff ff ff 00 00 00 |.\0.............|
00000040 00 00 40 10 00 00 00 00 64 76 64 76 72 78 30 31 |..@.....dvdvrx01|
00000050 30 70 61 6e 61 73 6f 6e 69 63 30 31 32 30 32 30 |0panasonic012020|
00000060 31 55 30 31 00 00 00 00 42 52 10 07 da 01 07 02 |1U01....BR......|
00000070 02 28 42 53 10 00 00 53 00 00 00 64 76 64 76 72 |.(BS...S...dvdvr|
00000080 78 30 31 30 70 61 6e 61 73 6f 6e 69 63 30 31 32 |x010panasonic012|
00000090 30 32 30 31 55 30 31 00 00 00 00 53 4e 01 4d 64 |0201U01....SN.Md|
konnn@konnn-desktop:~/Videos/Thai /2nd_day$ hexdump -C MOV00A.MOD | head
0000000000 00 01 ba 44 00 04 00 04 01 01 89 c3 f8 00 00 |....D...........|
00000010 01 bb 00 12 80 c4 e1 04 e1 7f b9 e0 e8 b8 c0 20 |............... |
00000020 bd e0 3a bf e0 02 00 00 01 bf 07 d4 50 00 00 00 |..:.........P...|
00000030 00 5c 30 00 00 00 00 00 ff ff ff ff ff 00 00 00 |.\0.............|
00000040 00 00 40 10 00 00 00 00 64 76 64 76 72 78 30 31 |..@.....dvdvrx01|
00000050 30 70 61 6e 61 73 6f 6e 69 63 30 31 32 30 32 30 |0panasonic012020|
00000060 31 55 30 31 00 00 00 00 42 52 10 07 da 01 07 14 |1U01....BR......|
00000070 20 22 42 53 10 00 00 53 00 00 00 64 76 64 76 72 | "BS...S...dvdvr|
00000080 78 30 31 30 70 61 6e 61 73 6f 6e 69 63 30 31 32 |x010panasonic012|
00000090 30 32 30 31 55 30 31 00 00 00 00 53 4e 01 4d 64 |0201U01....SN.Md|
konnn@konnn-desktop:~/Videos/Thai /2nd_day$ hexdump -C MOV00B.MOD | head
00000000 00 00 01 ba 44 00 04 00 04 01 01 89 c3 f8 00 00 |....D...........|
00000010 01 bb 00 12 80 c4 e1 04 e1 7f b9 e0 e8 b8 c0 20 |............... |
00000020 bd e0 3a bf e0 02 00 00 01 bf 07 d4 50 00 00 00 |..:.........P...|
00000030 00 5c 30 00 00 00 00 00 ff ff ff ff ff 00 00 00 |.\0.............|
00000040 00 00 40 10 00 00 00 00 64 76 64 76 72 78 30 31 |..@.....dvdvrx01|
00000050 30 70 61 6e 61 73 6f 6e 69 63 30 31 32 30 32 30 |0panasonic012020|
00000060 31 55 30 31 00 00 00 00 42 52 10 07 da 01 07 14 |1U01....BR......|
00000070 24 0a 42 53 10 00 00 53 00 00 00 64 76 64 76 72 |$.BS...S...dvdvr|
00000080 78 30 31 30 70 61 6e 61 73 6f 6e 69 63 30 31 32 |x010panasonic012|
00000090 30 32 30 31 55 30 31 00 00 00 00 53 4e 01 4d 64 |0201U01....SN.Md|



Από τα παραπάνω βλέπουμε πως η πρώτη γραμμή

00 00 01 ba 44 00 04 00 04 01 01 89 c3 f8 00 00

είναι κοινή σε όλα τα αρχεία. Οπότε είπα να βάλω μέρος της ως κανόνα. Το αποτέλεσμα : Φαίνεται μια χωρίς τελειωμό εκτέλεση του foremost με ίδια αποτελέσματα, ίσως κατακερματισμένα, δηλαδή μικρού περιεχομένου αρχεία ίσως με υλικό από άλλο βίντεο,δηλ. .

Τώρα, είπα να μεγαλώσω τον κανόνα και να τοποθετήσω όλον , δηλ. πχ αυτόν

Κώδικας: Επιλογή όλων

00 00 01 ba 44 00 04 00 04 01 01 89 c3 f8 00 00

. Αποτέλεσμα : κανένα αποτέλεσμα, ούτε ένα αρχείο.
Αν αλλάξω τον κανόνα με κάτι άλλο , φυσικά με βάση τα αποτελέσματα που μου δίνει η εντολή

Κώδικας: Επιλογή όλων

hexdump

, αλλάζουν και τα αρχεία που ανακτώνται,ποτέ όμως τα επιθυμητά που είναι προ διετίας αλλά, όπως λέει ο κάτοχος της mem card, δεν έγινε ποτέ διαμόρφωσή της αλλά απλές διαγραφές.

[simosx]

Το αποτέλεσμα : Φαίνεται μια χωρίς τελειωμό εκτέλεση του foremost με ίδια αποτελέσματα, ίσως κατακερματισμένα, δηλαδή μικρού περιεχομένου αρχεία ίσως με υλικό από άλλο βίντεο,δηλ.

Τυπικά αρχεία βίντεο είναι αρκετά μεγάλα, και όταν ο δίσκος είναι κατακερματισμένος, το foremost δεν είναι σε θέση να ενώσει όλα τα κομμάτια.
Το foremost βρίσκει μεν την αρχή του βίντεο από την «υπογραφή» (τα πρώτα byte), ωστόσο συνεχίζει να προσθέτει τους επόμενους τομείς μέχρι να εντοπίσει ένα τομέα που δε μοιάζει με βίντεο (π.χ. έχει λίγα δεδομένα και το υπόλοιπό του είναι με μηδενικά).
Για μεγάλα αρχεία που ενδεχομένως είναι κατακερματισμένα, βοηθάει αν υπάρξει ειδικός προγραμματισμός στο ίδιο το foremost ώστε να μαντεύει πιο σωστά τα κατάλληλα κομμάτια.

Για μικρά αρχεία όπως .mod, πρέπει να είναι πιο εύκολο να τα πετυχαίνει.

[konnn]

Ποια είναι η παράμετρο όπου αντί για

Κώδικας: Επιλογή όλων

| head

να βάζω κάτι άλλο ώστε να βρω τα footer;

edit :

Κώδικας: Επιλογή όλων

| tail

[Chris_th]

Ναι ψάχνω για κάποια έγγραφα word με κατάληξη .exe και για φωτογραφίες με κατάληξη .jpeg

Αυτά είναι εύκολα αρχεία. Τα δύσκολα είναι οι ταινίες - βίντεο. Μπορείς να χρησιμοποιήσεις και το testdisk , είναι λίγο πιο απλό και ίσως καλύτερο για ανάκτηση δεδομένων τύπου .jpeg - .exe .
Κοίτα αυτό το βίντεο --> http://www.youtube.com/watch?v=EncqYP1ijFg

Είδα το video αλλά δεν κατάλαβα πως μπορεί να λειτουργήσει στην περίπτωση μου. Τα αρχεία που ψάχνω εγώ υπήρχαν στον σκληρό όσο είχε windows. Έγινε format και περάστηκαν το ubuntu.

[simosx]

Είδα το video αλλά δεν κατάλαβα πως μπορεί να λειτουργήσει στην περίπτωση μου. Τα αρχεία που ψάχνω εγώ υπήρχαν στον σκληρό όσο είχε windows. Έγινε format και περάστηκαν το ubuntu.

Αν έγινε μορφοποίηση/διαμόρφωση του δίσκου, τότε τα αρχεία που υπήρχαν εκεί έχουν χαθεί.
Το foremost λειτουργεί επειδή όταν σβήνεις ένα αρχείο από το δίσκο, τα δεδομένα του αρχείο στους τομείς δεν μηδενίζονται. Απλά σβήνεται η αναφορά ότι το τάδε αρχείο βρίσκεται στο δίσκο. Και το foremost έχει κάποιους τρόπους για να μαντεύει το είδος του αρχείο μόνο και μόνο διαβάζοντας τους μη-δεσμευμένους τομείς.

[Chris_th]

@simosx ο Learner παραπάνω μου πρότεινε το testdisk αντί του foremost. Να υποθέσω όμως ότι ισχύει το ίδιο και για το testdisk;

[AAEIV]

Προσπαθώ να κάνω recovery τα αρχεία από ένα σκληρό που μετατράπηκε σε raw(σχετικό θέμα viewtopic.php?f=4&t=25116)
Χρησιμοποιήσα

Κώδικας: Επιλογή όλων

sudo foremost -o /home/mitsmag/Rescue -t all -i /dev/sdc

και έχει κολλήσει στο

Κώδικας: Επιλογή όλων

Processing: stdin
|

[vagel]

Καλησπέρα! Δεν έχω ιδέα από Linux και κατά την εγκατάσταση του ubuntu έχασα πολλά ολιγόλεπτα προσωπικά βίντεο συνολικού μεγέθους 1,5gb σε μορφή mpg. Είχα κρατήσει backup ότι άλλο χρειαζόμουν αλλά αυτά τα ξέχασα. Επειδή φοβάμαι και δεν καταλαβαίνω και πολλά, μήπως κάποιος από εσάς τους έμπειρους βρίσκεται εδώ γύρω στην Χαλκίδα να του φέρω τον δίσκο μου;