Security Professionals - ipfw add deny all from eindgebruikers to any

Gratis software om verwijderde bestanden a.d.h.v. DD-image te recoveren?

03-12-2008, 15:21 door Stephan078, 6 reacties
Hallo,

Ik heb met Adepto in Helix 2.0 een DD image van een schijf gemaakt (ik wil niet direct naar de schijf schrijven, opdracht van school). Echter, nu wil ik de verwijderde bestanden gaan recoveren aan de hand van die gemaakte DD image. Ik weet dat de gratis versie van FTK Imager bestanden kan laten zien in de image, maar niet de verwijderde bestanden, hiervoor moet je de betaalde versie hebben en die kan ik mij niet veroorloven ;) Is er gratis software die wél deleted files kan recoveren uit een DD image? Met bijv. simpele tools van GetDataBackforNTFS kan het wel, maar dan werk je dus direct op de desbetreffende schijf, wat niet mag. Het moet dus echt vanuit de image gaan.

Alvast enorm bedankt.
Reacties (6)
03-12-2008, 16:07 door Anoniem
FTK imager laat wel degelijk de verwijderde bestanden zien, echter ze zijn niet ingedeeld per bestandstype zoals bij de echte FTK versie. Verder kan je onder Linux DD bestanden mounten als een harde schijf door gebruik te maken van een loopback device (losetup). Vervolgens kan je de verwijderde bestanden met Linux tools (fls, icat, fatback) boven water toveren. Leer de "sleuth kit" gebruiken en alles is mogelijk.

Aan te raden is het boek "Real Digital Forensics" daar staan dit soort zaken ook allemaal in.
03-12-2008, 16:13 door Anoniem
Het werken met sleuth kit is wel een aanrader. Het zal wellicht een paar dagen kosten om dit door te krijgen, maar je zult zien dat het enorm makkelijk is.

Ik zou zeggen mount de hardeschijf in read only status, en test wat zaken uit. Of maak een kopie van de DD, zodat je hierop kunt achterhalen wat je precies bewerkt aan de harddisk.
04-12-2008, 10:42 door Anoniem
Wat dacht je van 'mount' met optie 'loop'?

Werkt onder *nux en Mac.
04-12-2008, 12:57 door Anoniem
Ik zou je adviseren gewoon even de volledige versie dowload FTK imager hier http://rapidlibrary.com/index.php

of hier FTK Imager v.2.5.1 probeer een serie code. Als student vind raar dat je geen legaal software krijgt voor je school opdracht!l).
http://www.google.com.sa/search?hl=ar&q=FTK+imager+serial+code&meta=
04-12-2008, 14:25 door pikah
mount -o ro, loop, noatime /home/jij/image.img /mnt/mountpoint

Check http://foremost.sourceforge.net/ voor recovery..
08-12-2008, 12:45 door Anoniem
photorec (onder linux) kan ook bestanden herstellen uit een dd image.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search