Tutorial za brisanje metapodataka file system-a sa slike diska

Uvod

Imamo sliku diska na kojemu se između ostaloga nalaze neke obrisane datoteke. Te obrisane datoteke je moguće rekonstruirati na dva načina:

“brzo”, pomoću metapodataka file system-a koji nam olakšavaju pronalazak

“sporo”, pretraživajući cijelu sliku za otiscima (file signature) traženih datoteka (obično povezanih uz format datoteke)

Ta druga metoda je poznata pod nazivom file carving. Mi želimo sa slike izbrisati sve podatke osim čistih podataka obrisanih datoteka kako bi samo taj način rekonstrukcije bio moguć.

Postupak

Tutorial je objašnjen na primjeru u kojem imamo:

Sliku diska (slika_sa_metapodacima.img)

Tražene obrisane datoteke (dokument1.docx, dokument2.pdf, slika.jpeg, tekst.txt)

Postupak se provodi na Windows OS-u uz hex editor HxD, no sličan je i na drugim sustavima sa drugim hex editorom. Pretpostavljeno je osnovno znanje korištenja hex editora.

Ovaj postupak pretpostavlja da datoteke nisu fragmentirane. U slučaju da postoje fragmentirane datoteke, potrebno je naći njene fragmente u slici i tretirati ih kao odvojene datoteke u ovom postupku.

1. Otvori sliku i sve datoteke u hex editoru

slika

2. Pronađi koje byte-ove na slici zauzimaju datoteke

Otvori prvu datoteku u hex editoru

Označi i kopiraj cijeli njen hex sadržaj

Otvori sliku u hex editoru

Pretraži ju pomoću upravo kopiranog hex sadržaja. Za HxD:

Pozicioniraj se na početak slike

Odaberi Search -> Find

Zaljepi kopiran hex sadržaj u “Search for” polje (ako je sadržaj prevelik polje će izgledati prazno no sve će normalno funkcionirati)

Odaberi “Hex-values” u “Datatype” polju

Odaberi “Forward” u “Search direction” polju

Stisni “OK”

Zapiši koje byte-ove zauzima ta datoteka u slici, i ponovi postupak od koraka 1 sa sljedećom datotekom

U HxD-u je to označeno u donjem dijelu prozora (prikazano na slici)

slika

U mojem slučaju, datoteke sadržavaju ove byte-ove na slici:

Ime datoteke	Prvi byte	Zadnji byte
dokument1.docx	24000	25295
dokument2.pdf	28A6000	28AC304
slika.jpg	28AD000	28C3C7C
tekst.txt	295E920	295E982

=== 3.