Phenquestions
Live-cd's of dvd's bieden een manier om het systeemstation op te starten, evenals het verwijderbare of vaste mediastation, zodat u de bestandsbeheerder of software kunt gebruiken om het bestand te laden. Een schijfserver kan deze gevallen beschadigen en waardevolle of propriëtaire gegevensbestanden opslaan in aparte compartimenten in de OS-bestanden.
Bestand Carving is een procedure die wordt gebruikt bij pc-onderzoek naar plaats delict om informatie van een harde schijf of andere opslagapparaten te extraheren zonder de hulp van de bestandssysteemtabel die het originele bestand in de eerste plaats heeft gemaakt. File Carving is een strategie die controle over documenten op zich neemt in niet-toegewezen ruimte zonder gegevens en wordt gebruikt om informatie te herstellen om een geautomatiseerd klinisch onderzoek uit te voeren. Dit proces werd aanvankelijk "ontwerp" genoemd, wat een algemene term is voor het verwijderen van georganiseerde informatie uit ruwe informatie, in het licht van de specifieke kenmerken van het organisatiepatroon van de opgeslagen informatie.
Een forensische methode die documenten recupereert is afhankelijk van de structuur en inhoud van de bestanden zonder de juiste metadata van het bestandssysteem. Met bestandscarving kunt u bestanden herstellen van niet-toegewezen ruimte op elke schijf. Het gebied van de schijf dat wordt aangegeven door de bestandssysteemstructuur (bestandstabel) dat geen bestandssysteeminformatie bevat, wordt niet-toegewezen ruimte genoemd.
Ontbrekende of beschadigde bestandssysteemstructuren kunnen de hele schijf aantasten. Simpel gezegd, veel bestandssystemen verwijderen geen gegevens wanneer deze worden verwijderd. In plaats daarvan elimineert het eenvoudig de kennis van waar het vandaan komt. Het scannen van onbewerkte bytes en ze op volgorde zetten is het basisproces van File Carving. Dit proces wordt uitgevoerd door de koptekst (eerste bytes) en voettekst (laatste bytes) van een bestand onderzoeken.
Bestandscarving is een uitstekende manier om bestanden en bestandsfragmenten te herstellen wanneer tekst is beschadigd of ontbreekt. Het wordt vaak gebruikt door professionals bij het oplossen van problemen om het bewijs opnieuw te onderzoeken. Een voorbeeld van het verbod en de mogelijkheid om media te evacueren deed zich voor toen de informatie uit de kampen van Osama Bin Laden werd verwijderd tijdens de aanval door de US Seals Navy. Forensische onderzoekers gebruikten bestandsherstelmethoden om gegevens te herstellen van de schijven en systemen die in de kampen werden gebruikt.
Overzicht bestandssystemen
EEN bestandssysteem is een type database dat wordt gebruikt voor het opslaan, bijwerken en ophalen van bestanden of meerdere aantallen bestanden. Het is een manier waarop bestanden logisch worden gearchiveerd en benoemd voor archivering en herstel. Er zijn verschillende soorten bestandssystemen die hieronder worden genoemd:
Windows-bestandssysteem: Microsoft Windows gebruikt slechts twee typen FAT en NTFS.
- DIK, wat 'bestandstoewijzingstabel' betekent, is het eenvoudigste type bestandssysteem met een opstartsector, een bestandstoewijzingstabel en een eenvoudige opslagruimte voor het opslaan van bestanden en mappen. Onlangs kwam FAT in FAT16, FAT12 en FAT32. FAT32 is compatibel met op Windows gebaseerde opslagapparaten. Windows kan geen FAT32-bestandssysteem maken met een bestand groter dan 32 GB.
- NTFS, afkorting van 'New Technology File System' is nu een standaardbestandssysteem voor bestanden groter dan 32 GB. Versleuteling en toegangscontrole zijn enkele hoofdeigenschappen van dit bestandssysteem.
Linux-bestandssysteem: Linux is een veelgebruikt open-source besturingssysteem en is ontwikkeld voor testen en ontwikkelen. Dit besturingssysteem was bedoeld om verschillende bestandssysteemconcepten te gebruiken. In Linux zijn er verschillende soorten bestandssystemen.
- Ext2, Ext3, Ext4 - Dit is het lokale of standaard Linux-bestandssysteem. Het rootbestandssysteem is over het algemeen beperkt tot de gehele Linux-distributie. Het Ext3-bestandssysteem is een uitstekende update van het eerder gebruikte Ext2-bestandssysteem; het gebruikt de transactionele bestandsschrijfbewerking writing. Ext4 is een extensiebestand dat Ext3-informatie en bestandsattributie ondersteunt.
- ReiserFS - Het bestandssysteemprobleem wordt opgelost door veel kleine bestanden tegelijk op te slaan. Er wordt goed gelachen door de bestandsbeheerder, en de toestemming van het compatibele bestand, de opslag van de bestandscode, het bestand bevat metadata in de modus waarin het grote bestandssysteem niet wordt gebruikt vanwege de grootte.
- XFS - Het XFS-bestandssysteem werkt goed en wordt veel gebruikt voor bestandsarchivering. Dit type bestandssysteem is populair op IRIX-servers.
- JFS - IBM heeft dit bestandssysteem ontwikkeld en het is een bestandssysteem geworden dat op bijna alle Linux-distributies wordt gebruikt
macOS-bestandssysteem: Het Apple Macintosh-besturingssysteem gebruikt alleen de HFS + bestandssysteem zonder de HFS-bestandssysteemextensie. MacOS, iPhones, iPads en alle andere Apple-producten gebruiken de HFS + bestandssysteem. Sommige Apple Server-producten gebruiken het Hscan-bestandssysteem. Dit gerenommeerde bestandssysteem houdt informatie bij met betrekking tot directoryweergave, Windows-locatie, enz.
Technieken voor het snijden van bestanden
Tijdens het digitale onderzoek is het noodzakelijk om de verschillende soorten media te analyseren. Toepasselijke informatie is te vinden op verschillende opslagapparaten en in het pc-geheugen. Er kunnen verschillende soorten informatie worden uitgesplitst, bijvoorbeeld e-mail, elektronische rapporten, raamwerklogboeken en mediarecords. Bestandscarving is een hersteltechniek waarbij alleen rekening wordt gehouden met de inhoud en structuur van het bestand in plaats van metagegevens van bestanden die worden gebruikt bij de organisatie van gegevens op het opslagmedium.
Hieronder staan enkele terminologieën voor het maken van bestanden om te onthouden:
- Blok - De kleinste gegevenseenheden die naar de opslag kunnen worden geschreven
- kop - Het startpunt van het bestand.
- voettekst - De laatste bytes van het bestand.
- Fragment - Een of meerdere blokken behoren tot een enkel bestand.
- Basisfragment - Eerste fragment van bestandscontainer, de kop van het bestand.
- fragmentatiepunt - Het laatste blok net voordat fragmentatie plaatsvindt. Meerdere fragmenten in een bestand resulteren in verschillende fragmentatiepunten.
De ultieme zakelijke universele bestandssnijtechnieken zijn als volgt:
- Header-footer techniek (of header-“maximale bestandsgrootte”) - De basisstrategie hier is om bestanden te snijden op basis van titel en handschrift of het totale aantal bestanden.
- JPG- of JPEG-extensiebestanden - “\ xFF \ xD8” en “\ xFF \ xD9.”
- GIF - getiteld "\ x47 \ x49 \ x46 \ x38 \ x37 \ x61" en "\ x00 \ x3B" voettekst.
- PST: “! BDN'-kop zonder voetteksten.
- Als het bestandssysteem geen basis heeft, is het maximale aantal bestanden dat in het carving-programma wordt gebruikt.
- Op bestandsstructuur gebaseerd snijwerk
- De interne lay-out van het bestand wordt gebruikt als basistechniek.
- Koptekst, voettekst, ID-tekenreeksen en maatinformatie zijn basiselementen.
- Op inhoud gebaseerd snijwerk
Inhoudsstructuur is gratis (MBOX, HTML, XML)
- Eigenschappen van het materiaal
- Tekens tellen
- Tekst-/taalherkenning
- Zwart-wit gegevenslijst
- informatie entropie
- Statistische kenmerken (Chi2)
Een bestand snijden (zonder gereedschap te gebruiken)
Vervolgens zullen we zien hoe je een .jpeg-bestand zonder een tool te gebruiken. Eerst moeten we de structuur van de .jpeg-bestand (kop- en voettekst, enz.).). Hiervoor openen we een .jpeg-afbeelding in de Hex editor om te onderzoeken wat de kop- en voettekst van de .jpeg-bestand ziet eruit als.
Hier vonden we de bestandskop ( FFD8FFE0). Om nu de voettekst te vinden, zullen we de laatste bytes in het bestand onderzoeken examine.
Hier hebben we de bestandsvoettekst of trailer (FFD9).
Als je een document hebt met een afbeelding erin, kun je de afbeelding uitsnijden door de kop- en voettekst te kennen.
Nu hebben we een word-bestand met een afbeelding erin. We zullen de afbeelding uitsnijden met behulp van deze techniek.
Het eerste wat we moeten doen is dit word-document openen met de Hex editor door te klikken op Bestand >> Openen.
Hier kunnen we een figuur zien die de gegevens van het woordbestand in hexadecimale vorm toont. Zoals we al weten, is de .jpeg-bestand heeft een headerwaarde van FFD8FFE0, dus we zoeken naar de bestandskop door op . te drukken Ctrl + F of Zoeken >> Bestand en het invoeren van de bekende headerwaarde (het selecteren van het hexadecimale waardegegevenstype is erg belangrijk in deze stap).
We zullen een handtekeningwaarde vinden bij Offset 14FD.
Vervolgens moeten we zoeken naar een footer of trailer. We weten dat de .jpeg-bestand heeft een voettekstwaarde van FFD9, dus we zoeken naar de voettekst van het bestand door op te drukken Ctrl + F of Zoeken >> Bestand en het invoeren van de bekende voettekstwaarde (het selecteren van het hexadecimale gegevenstype is erg belangrijk).
We zullen een footer-waarde vinden bij Offset 2ADB.
Momenteel hebben we de kop- en voettekst van een jpeg-document, en, zoals we onlangs al zeiden, tussen de kop- en voettekst bevindt zich de informatie van een jpeg-record. Hier dupliceren we het hele vierkant van informatie met kop- en voettekst en slaan het op als een ander bestand.
Ga naar BEWERK >> Selecteer Blok en voer beide van de volgende termen in:
Offset bestandskop: 14FD
Verschuiving van bestandsvoettekst: 2ADB
Na het invoeren van deze waarden, wordt de volledige .jpeg-bestand wordt blauw gemarkeerd. Om het op te slaan als een d-bestand, kopieert u het door met de rechtermuisknop te klikken en te selecteren Kopiëren, of door op te drukken Ctrl + C. Vervolgens plakken we de informatie in een nieuw bestand. Er verschijnt een dialoogvenster en we klikken op OK. Nu zijn we klaar om het bestand op te slaan door te klikken op Bestand >> Opslaan als of op . drukken Ctrl + S. Als u dit gekopieerde bestand opent, ziet u dezelfde afbeelding als in het originele document. Dit is de basistechniek voor het snijden van mediabestanden.
Hulpmiddelen voor gegevenscarving
Hulpmiddelen voor gegevensherstel spelen een belangrijke rol in de meeste forensische onderzoeken, omdat slimme aanvallers altijd proberen het bewijs van hun misdaden te wissen. Hieronder vindt u enkele belangrijke hulpprogramma's voor gegevensherstel in: Linux en ramen.
- Foremost (tool voor het snijden van bestanden)
Om bestanden te herstellen die verloren zijn gegaan vanwege hun interne gegevensstructuren, kop- en voetteksten, vooral, kan worden gebruikt. Foremost neemt meestal invoer in verschillende afbeeldingsindelingen, zoals AFF of onbewerkte indelingen, die kunnen worden gegenereerd met behulp van verschillende tools, zoals FTK Imager, DD, encase, enz. U kunt naar de helppagina van de belangrijkste navigeren om de krachtige opdrachten te leren en te verkennen met behulp van de volgende opdracht:
[e-mail beveiligd]:~$ belangrijkste -h Herstel bestanden van een schijfkopie op basis van bestandstypes gespecificeerd door degebruiker die de schakelaar -t gebruikt.
jpg Ondersteuning voor de JFIF- en Exif-formaten, inclusief implementaties
gebruikt in moderne digitale camera's.
gif
png
bmp Ondersteuning voor windows bmp-formaat.
avi
exe Ondersteuning voor Windows PE-binaire bestanden zal DLL- en EXE-bestanden extraheren
samen met hun compilatietijden.
mpg Ondersteuning voor de meeste MPEG-bestanden (moet beginnen met 0x000001BA)
wav
riff Dit zal AVI en RIFF uitpakken omdat ze hetzelfde bestand gebruiken voor:
mat (RIFF). notitie sneller dan elk afzonderlijk uitvoeren.
wmv Note kan ook wma-bestanden extraheren omdat ze een vergelijkbare indeling hebben.
ole Dit zal elk bestand pakken dat de OLE-bestandsstructuur gebruikt. Dit
omvat PowerPoint, Word, Excel, Access en StarWriter
doc Merk op dat het efficiënter is om OLE uit te voeren naarmate u meer waar voor krijgt
jouw geld. Als je alle andere ole-bestanden wilt negeren, gebruik dan
dit.
zip Let op: het wordt uitgepakt .jar-bestanden ook omdat ze een vergelijkbare
formaat. Open Office-documenten zijn gewoon gezipte XML-bestanden, dus ze
worden ook geëxtraheerd. Deze omvatten SXW, SXC, SXI en SX? voor
onbepaalde OpenOffice-bestanden. Office 2007-bestanden zijn ook XML
gebaseerd (PPTX,DOCX,XLSX)
zeldzaam
htm
cpp C broncodedetectie, merk op dat dit primitief is en kan genereren
andere documenten dan C-code.
mp4 Ondersteuning voor MP4-bestanden.
alle Alle vooraf gedefinieerde extractiemethoden uitvoeren. [Standaard indien geen -t is
gespecificeerd]
- BinWalk
BinWalk wordt gebruikt om binaire bibliotheken te beheren en belangrijke gegevens uit firmware-images te extraheren. Deze tool is geweldig voor degenen die weten hoe ze het moeten gebruiken. BinWalk wordt beschouwd als een van de beste beschikbare tools voor reverse-engineering en het extraheren van firmware-images. BinWalk is gemakkelijk te gebruiken en wordt geleverd met enorme mogelijkheden. U kunt met de volgende opdracht naar de helppagina van binwalk gaan voor meer informatie:
[email protected]:~$ binwalk --help Signature Scan Opties:-B, --handtekening Scan doelbestand(en) voor algemene bestandshandtekeningen
-R, --raw= Scan doelbestand(en) voor de gespecificeerde reeks bytes
-A, --opcodes Scan doelbestand(en) voor algemene uitvoerbare opcode-handtekeningen
-m, --magic= Specificeer een aangepast magisch bestand om te gebruiken
-b, --dumb Slimme handtekening-trefwoorden uitschakelen
-I, --invalid Toon resultaten gemarkeerd als ongeldig
-x, --exclude= Resultaten uitsluiten die overeenkomen
-y, --include= Toon alleen resultaten die overeenkomen
Extractie-opties:
-e, --extract Automatisch bekende bestandstypen extraheren
-D, --dd= Handtekeningen extraheren, de bestanden een extensie geven van , en uitvoeren
-M, --matryoshka Recursief uitgepakte bestanden scannen
-d, -- depth= Beperk matryoshka-recursiediepte (standaard: 8 niveaus diep)
-C, --directory= Bestanden/mappen uitpakken naar een aangepaste map (standaard: huidige werkmap)
-j, --size= Beperk de grootte van elk uitgepakt bestand
-n, --count= Beperk het aantal uitgepakte bestanden
-r, --rm Gesneden bestanden verwijderen na extractie
-z, --carve Gegevens uit bestanden knippen, maar geen extractieprogramma's uitvoeren
Opties voor entropieanalyse:
-E, --entropy Bereken bestandsentropie
-F, --fast Gebruik snellere, maar minder gedetailleerde, entropie-analyse
-J, --save Plot opslaan als een PNG
-Q, --nlegend Laat de legende weg uit de entropieplotgrafiek
-N, --nplot Genereer geen entropieplotgrafiek
-H, --high= Stel de entropie-triggerdrempel voor stijgende flank in (standaard: 0.95)
-L, --low= Stel de dalende flank entropie triggerdrempel in (standaard: 0.85)
Binaire Diffing Opties:
-W, --hexdump Voer een hexdump / diff uit van een bestand of bestanden
-G, --green Toon alleen regels met bytes die hetzelfde zijn in alle bestanden
-i, --red Toon alleen regels met bytes die verschillen tussen alle bestanden
-U, --blue Toon alleen regels met bytes die verschillen tussen sommige bestanden
-w, --terse Diff alle bestanden, maar toon alleen een hex-dump van het eerste bestand
Ruwe compressie-opties:
-X, --deflate Scan naar onbewerkte deflate-compressiestromen
-Z, --lzma Scan naar onbewerkte LZMA-compressiestreams
-P, --partial Een oppervlakkige, maar snellere scan uitvoeren
-S, --stop Stop na het eerste resultaat
Algemene opties:
-l, --length= Aantal te scannen bytes
-o, --offset=Start scan bij dit bestand offset
-O, --base= Voeg een basisadres toe aan alle afgedrukte offsets
-K, --block= Bestandsblokgrootte instellen
-g, --swap= Keer elke n bytes om voor het scannen
-f, --log= Log resultaten in bestand
-c, --csv Log de resultaten in een CSV-formaat in
-t, --term Formatteer uitvoer om in het terminalvenster te passen
-q, --stil Onderdruk uitvoer naar stdout
-v, --verbose Uitgebreide uitvoer inschakelen
-h, --help Help-uitvoer weergeven
-a, --finclude= Scan alleen bestanden waarvan de naam overeenkomt met deze regex
-p, --fexclude=Scan geen bestanden waarvan de naam overeenkomt met deze regex
-s, --status= Schakel de statusserver in op de opgegeven poort
Gegevens herstellen van geformatteerde schijven
Hulpmiddelen voor gegevensherstel moeten zorgvuldig worden geselecteerd om informatie van geformatteerde schijven, USB-flashstations en geheugenkaarten te herstellen. Tools die zijn ontworpen om verschillende activiteiten uit te voeren, kunnen onverwachte resultaten opleveren. Hieronder zullen we enkele verschillen bekijken tussen verschillende tools voor gegevensherstel voor gegevenscorrectie in geformatteerde schijven:.
Unformat
De eerste fatale fout die veel computergebruikers maken bij het per ongeluk formatteren van hun schijven, is het vinden, installeren en gebruiken van "niet-geformatteerde" tools. Er zijn veel van deze tools op de markt; sommige zijn commercieel en andere zijn gratis goederen. Het doel van deze tools is om de voorgeformatteerde schijf opnieuw te bouwen of opnieuw te maken door het bestandssysteem te herstellen.
Hoewel dit een haalbare benadering lijkt voor de onervarenen, kan het uiteindelijk een grotere fout zijn dan het verliezen van de bestanden in de eerste plaats. Door de schijf te formatteren wordt het oorspronkelijke bestandssysteem leeggemaakt en wordt het ten minste gedeeltelijk vervangen, meestal aan het begin. Wanneer u probeert uw oude bestandssysteem te herstellen, kunt u het beste een schijf krijgen die leesbaar is met sommige van uw bestanden. Alles kan niet precies zo worden hersteld zoals het was, en de meest waardevolle bestanden kunnen worden aangetast, met alleen willekeurige voorbeelden van de originele bestanden op de schijf. Als u denkt aan het "formatteren" van een systeemstation, vergeet het dan; er zullen tenminste enkele systeembestanden verdwenen zijn. Zelfs als je het besturingssysteem kunt opstarten, krijg je nooit een stabiel systeem.
Verwijderen ongedaan maken
De tweede fout die veel computergebruikers zullen maken, is het gebruik van hersteltools. Hoewel deze tools bestaan en de neiging hebben om hun werk te goeder trouw te doen, zijn ze niet ontworpen om schijven met een uitgesloten bestandssysteem te verwerken. Zelfs met enkele van de beste hersteltools, zoals RS File Recovery, kun je meerdere bestanden verwijderen, maar dat is het dan ook.
Partitie herstel
Om bestanden te herstellen, moet je zoeken naar een partitiehersteltool zoals RS Partition Recovery. Deze tool is ontworpen om gedistribueerde, geformatteerde en beschadigde schijven te verwerken en kan het volledige oppervlak van een schijf of partitie scannen om alles te herstellen wat het kan vinden. Zelfs als het bestandssysteem leeg of verwijderd is, kan deze tool vele soorten bestanden herstellen, zoals documenten, afbeeldingen en video's, via de handtekeningfunctie. Hoewel gesegmenteerde hersteltools uitstekend zijn voor gegevensherstel, zijn ze meestal vrij duur. Als u alleen een geformatteerde schijf wilt herstellen, kan het handig zijn om in plaats daarvan te zoeken en op te slaan.
FAT- en NTFS-herstel
U kunt tot 40% besparen op de kosten van Partition RS-herstel door een tool te kiezen die alleen FAT- of NTFS-geformatteerde schijven herstelt. Onthoud dat u een tool moet aanschaffen die geschikt is voor het originele bestandssysteem en niet voor degene die hierboven is beschreven. Als de originele schijf NTFS is, download dan de NTFS Recovery RS. Als het FAT of FAT32 is, download dan de FAT Recovery RS. Op deze manier krijgt u dezelfde kwaliteitstools, maar bent u beperkt tot FAT- of NTFS-opmaak. Dit is de perfecte keuze voor een unieke baan.
Carving Files (met behulp van een tool)
FotoRec is een geweldige software die wordt gebruikt om bestanden te snijden en vooral jpeg- of afbeeldingsbestanden (daarom heet het Photo Recovery). PhotoRec ziet het documentkader over het hoofd en zoekt de basisinformatie, dus het zal werken, ongeacht of het opnamekader van uw media ernstig is beschadigd of opnieuw is geformatteerd. Fotorec is gemakkelijk toegankelijk op Windows-besturingssystemen.
Als voorbeeld zullen we met deze tool afbeeldingsbestanden herstellen van een flashstation van 8 GB.
Voer eerst de FotoRec.exe bestand en start de applicatie. We zullen een scherm als dit zien:
Hier hebben we alle partities die worden weergegeven:. We zullen selecteren: /K als ons gewenste doelwit om gegevens te herstellen.
We kunnen hier zien welk bestandssysteem deze partitie gebruikt, en er zijn vier opties onderaan.
Zoeken - Dit zal de partitie zoeken die bestanden bevat voor herstel.
Opties - Gebruikt voor kleine wijzigingen in de opties.
Bestandsoptie - Gebruikt voor het wijzigen van de typen bestanden die moeten worden hersteld.
Stoppen - Verlaat het proces.
We zullen selecteren: Bestandsoptie (Bestandsopties):
Dit geeft ons opties voor het selecteren van de bestanden die we willen herstellen van de gewenste partitie. Drukken op S zal alle opties demarkeren. We zullen selecteren: JPG-afbeeldingen, omdat we alleen afbeeldingsbestanden van de schijf willen herstellen. Vervolgens drukken we op B.
Om de . te selecteren Bestandssysteem, ga terug naar de hoofdopties en selecteer andere. Wat betreft herstelopties hebben we twee keuzes:
- herstellen van de hele partitie
- herstel van alleen niet-toegewezen ruimte (FAT12, FAT16, FAT32, EXT1, EXT2, EXT3, enz.).). Met deze optie worden alleen de verwijderde bestanden hersteld.
Nu hoeven we alleen nog de locatie in te stellen waar de verwijderde bestanden zullen worden hersteld. Daarna zal het herstelproces na enige tijd starten en eindigen. Vervolgens gaan we op zoek naar de herstelde bestanden op de ingestelde locatie. De herstelde afbeeldingsbestanden zullen daar zijn.
Conclusie
Bestand Carving is een bekende forensische computerterm om het identificeren van bestandstypen te beschrijven en deze te verwijderen uit niet-ondergeschikte clusters met behulp van bestandshandtekeningen. Een bestandshandtekening, ook wel een magisch getal genoemd, is een numerieke of permanente tekstwaarde die wordt gebruikt om het bestandsformaat te identificeren. Extractie van bestanden of gegevens is een term die wordt gebruikt op het gebied van forensische informatica. een computergestuurde forensisch onderzoek is een verwerving, verificatie, analyse en documentatie van bewijsmateriaal in een computersysteem, een netwerk van computers of andere vormen van digitale media. Het extraheren van zinvolle gegevens uit onbewerkte gegevens heet snijwerk.
Bestandsbeeldhouwen is de identificatie en herstel van bestanden op basis van formaatanalyse. In forensisch computergebruik is beeldhouwen een handige manier om verborgen of verwijderde bestanden op digitale media te vinden. FFiles kunnen worden verborgen in gebieden zoals verloren clusters, niet-toegewezen clusters en het afspelen van schijven of digitale media. Om deze extractiemethode te gebruiken, moet een bestand een standaardhandtekening hebben, genaamd a bestandskop, aan het begin van het bestand. Om de bestandsheader te verkrijgen, blijft de hersteltool vragen totdat het de voettekst van het bestand aan het einde van het bestand bereikt. De gegevens tussen de koptekst en de voettekst worden geëxtraheerd en geanalyseerd om de integriteit te waarborgen. Er worden verschillende beeldhouwmethoden gebruikt in de algoritmen, afhankelijk van het bestandstype.
Moderne besturingssystemen verwijderen verwijderde bestanden niet volledig zonder toestemming van de gebruiker. Verwijderde bestanden kunnen worden hersteld via verschillende forensische tools en tactieken als de verwijderde bestanden niet aan een ander bestand worden toegevoegd. Beschadigde bestanden kunnen worden hersteld als de gegevens niet onherkenbaar beschadigd zijn.
Er is veel verschil tussen het herstellen van bestanden en het snijden van bestanden. Bestandsherstel gebruikt informatie uit het bestandssysteem; door deze informatie te gebruiken, kunnen verschillende bestanden worden hersteld. Als de informatie onjuist is, werkt het niet. Met de komst van het snijden van bestanden hebben wetshandhavers, technologieprofessionals en forensische professionals een ander hulpmiddel gevonden dat kan worden gebruikt om verwijderde gegevens te herstellen. Hoewel het niet altijd perfect en verfijnd is, zijn tools zoals: In de eerste plaats scalpel, en Fotorec hebben bestandsrecreatie eenvoudiger dan ooit gemaakt.
