Comment Récupérer des Données Comme un Expert en Criminalistique?

Récupérer des données comme un expert en criminalistique à l'aide d'un CD Live Ubuntu

Il existe de nombreux utilitaires pour récupérer les fichiers supprimés, mais que se passe-t-il si vous ne pouvez pas démarrer votre ordinateur ou si le lecteur entier a été formaté? Nous allons vous montrer quelques outils qui vont creuser en profondeur et récupérer les fichiers supprimés les plus insaisissables, voire des partitions entières de disques durs.

Récupérer des Données, Recuperer des Donnees comme un Expert en Criminalistique, Foremost, TestDisk, PhotoRec, TestDisk, Scalpel,

Nous vous avons montré des moyens simples de récupérer des fichiers supprimés accidentellement, même une méthode simple pouvant être effectuée à partir d’un Live CD Ubuntu, mais pour les disques durs fortement endommagés, ces méthodes ne le réduiront pas. Dans cet article, nous allons examiner quatre outils capables de récupérer des données sur les disques durs les plus endommagés, qu’ils aient été formatés pour un ordinateur Windows, Linux ou Mac, ou même si la table de partitions est entièrement effacée.

Remarque: Ces outils ne peuvent pas récupérer les données écrasées sur un disque dur. Le remplacement d'un fichier supprimé dépend de nombreux facteurs: plus vous réalisez rapidement que vous souhaitez récupérer un fichier, plus vous serez en mesure de le faire.

Notre configuration

Pour afficher ces outils, nous avons configuré un petit disque dur de 1 Go, dont la moitié de l’espace est partitionné en tant que ext2, un système de fichiers utilisé sous Linux, et la moitié de l’espace partitionné en tant que FAT32, un système de fichiers utilisé dans les anciens systèmes Windows. Nous avons stocké dix images aléatoires sur chaque disque dur.

Nous avons ensuite effacé la table des partitions du disque dur en supprimant les partitions de GParted.

Récupérer des Données, Recuperer des Donnees comme un Expert en Criminalistique, Foremost, TestDisk, PhotoRec, TestDisk, Scalpel,

Est-ce que nos données sont perdues pour toujours?

Installer les outils

Tous les outils que nous allons utiliser se trouvent dans le référentiel des univers Ubuntu.

Pour activer le référentiel, ouvrez Synaptic Package Manager en cliquant sur Système en haut à gauche, puis sur Administration > Gestionnaire de paquets Synaptic.

Cliquez sur Paramètres > Référentiels et cochez la case "Logiciel Open Source maintenu par la communauté (univers)".

Récupérer des Données, Recuperer des Donnees comme un Expert en Criminalistique, Foremost, TestDisk, PhotoRec, TestDisk, Scalpel,

Cliquez sur Fermer, puis dans la fenêtre principale du Gestionnaire de paquets Synaptic, cliquez sur le bouton Recharger. Une fois la liste des packages rechargée et l'index de recherche reconstitué, recherchez et marquez pour l'installation un ou tous les packages suivants: testdisk, foremost et scalpel.

Testdisk comprend TestDisk, qui peut récupérer des partitions perdues et réparer des secteurs d’amorçage, et PhotoRec, qui permet de récupérer de nombreux types de fichiers à partir de tonnes de systèmes de fichiers différents.

Récupérer des Données, Recuperer des Donnees comme un Expert en Criminalistique, Foremost, TestDisk, PhotoRec, TestDisk, Scalpel,

Foremost, développé à l'origine par le Bureau des enquêtes spéciales de l'US Air Force, récupère les fichiers en fonction de leurs en-têtes et d'autres structures internes. Foremost fonctionne sur des disques durs ou des fichiers d’image de disque générés par divers outils.

Enfin, le scalpel remplit les mêmes fonctions que précédemment, mais est axé sur l'amélioration des performances et une utilisation réduite de la mémoire. Scalpel peut fonctionner mieux si vous avez une machine plus ancienne avec moins de RAM.

Récupérer des Données, Recuperer des Donnees comme un Expert en Criminalistique, Foremost, TestDisk, PhotoRec, TestDisk, Scalpel,

Récupérer des partitions de disque dur

Si vous ne pouvez pas monter votre disque dur, sa table de partition peut être corrompue. Avant de commencer à essayer de récupérer vos fichiers importants, il peut être possible de récupérer une ou plusieurs partitions sur votre disque, en récupérant tous vos fichiers en une étape.

Testdisk est l'outil pour le travail. Commencez par ouvrir un terminal (Applications & gt; Accessoires > Terminal) et en tapant:

sudo testdisk

Si vous le souhaitez, vous pouvez créer un fichier journal sans affecter la quantité de données récupérée. Une fois votre choix effectué, vous recevez une liste des supports de stockage stockés sur votre ordinateur. Vous devriez pouvoir identifier le disque dur sur lequel vous voulez récupérer les partitions par sa taille et son étiquette.

TestDisk vous demande de sélectionner le type de table de partition à rechercher. Dans la plupart des cas (ext2 / 3, NTFS, FAT32, etc.), vous devez sélectionner Intel et appuyer sur Entrée.

Mettez Analyze en surbrillance et appuyez sur enter.

Dans notre cas, notre petit disque dur était auparavant formaté en NTFS. Étonnamment, TestDisk trouve cette partition, bien qu’il ne puisse pas la récupérer.

Il trouve également les deux partitions que nous venons de supprimer. Nous pouvons modifier leurs attributs, ou ajouter d'autres partitions, mais nous les récupérerons simplement en appuyant sur Entrée.

Si TestDisk n'a pas trouvé toutes vos partitions, vous pouvez essayer d'effectuer une recherche plus approfondie en sélectionnant cette option à l'aide des touches fléchées gauche et droite. Nous n’avions que ces deux partitions, nous allons donc les récupérer en sélectionnant Écriture et en appuyant sur Entrée.

Testdisk nous informe que nous devrons redémarrer.

Remarque: Si votre Ubuntu Live CD n'est pas persistant, vous devrez alors réinstaller les outils que vous avez installés précédemment.

Après le redémarrage, nos deux partitions retrouvent leur état d'origine, ainsi que leurs images.

Récupérer des fichiers de certains types

Pour les exemples suivants, nous avons supprimé les 10 images des deux partitions, puis les avons reformatées.

PhotoRec

Parmi les trois outils que nous allons montrer, PhotoRec est le plus convivial, bien qu’il s’agisse d’un utilitaire basé sur une console. Pour commencer à récupérer des fichiers, ouvrez un terminal (Applications > Accessoires > Terminal et entrez la commande ci-dessous:

sudo photorec

Pour commencer, vous êtes invité à sélectionner un périphérique de stockage à rechercher. Vous devriez être capable d'identifier le bon périphérique par sa taille et son étiquette. Sélectionnez le bon périphérique, puis appuyez sur Entrée.

PhotoRec vous demande de sélectionner le type de partition à rechercher. Dans la plupart des cas (ext2 / 3, NTFS, FAT, etc.), vous devez sélectionner Intel et appuyer sur Entrée.

Vous obtenez une liste des partitions sur votre disque dur sélectionné. Si vous souhaitez récupérer tous les fichiers sur une partition, sélectionnez Rechercher et appuyez sur Entrée.

Toutefois, ce processus peut être très lent et, dans notre cas, nous souhaitons uniquement rechercher des fichiers images. Nous utilisons donc la flèche vers la droite pour sélectionner Fichier Opt et appuyez sur Entrée.

PhotoRec peut récupérer de nombreux types de fichiers différents, et désélectionner chacun d’eux prendrait beaucoup de temps. Au lieu de cela, nous appuyons sur «s» pour effacer toutes les sélections, puis nous trouvons les types de fichiers appropriés - jpg, gif et png - et nous les sélectionnons en appuyant sur la flèche droite.

Une fois ces trois éléments sélectionnés, nous appuyons sur «b» pour enregistrer ces sélections.

Appuyez sur Entrée pour revenir à la liste des partitions du disque dur. Nous souhaitons effectuer une recherche dans nos deux partitions. Nous mettons en surbrillance «Aucune partition» et «Rechercher», puis appuyez sur Entrée.

PhotoRec demande un emplacement pour stocker les fichiers récupérés. Si vous avez un disque dur en bonne santé, nous vous recommandons d'y stocker les fichiers récupérés. Comme nous ne récupérons pas beaucoup, nous le stockons sur le bureau d’Ubuntu Live CD.

PhotoRec est capable de récupérer les 20 images à partir des partitions de notre disque dur!

Un rapide coup d'œil dans le répertoire recup_dir.1 qu'il est crée confirme que PhotoRec a récupéré toutes nos images, à l'exception des noms de fichiers.

Foremost 

Foremost est un programme en ligne de commande sans interface interactive comme PhotoRec, mais offre un certain nombre d’options en ligne de commande pour extraire autant de données que possible de votre disque.

Pour obtenir une liste complète des options pouvant être modifiées via la ligne de commande, ouvrez un terminal (Applications > Accessoires > Terminal) et entrez  la commande ci dessous:

foremost –h

Dans notre cas, les options de ligne de commande que nous allons utiliser sont les suivantes:

• -t, une liste de types de fichiers à rechercher séparés par des virgules. Dans notre cas, il s’agit de “jpeg, png, gif”.
• -v, activant le mode verbose, nous donnant plus d'informations sur ce que fait tout le monde.
• -o, le dossier de sortie dans lequel stocker les fichiers récupérés. Dans notre cas, nous avons créé un répertoire appelé «foremost» sur le bureau.
• -i, l'entrée qui sera recherchée pour les fichiers. Cela peut être une image de disque dans plusieurs formats différents; Cependant, nous utiliserons un disque dur, / dev / sda.

Notre première invocation est:

sudo foremost –t jpeg,png,gif –o foremost –v –i /dev/sda

Votre appel sera différent selon ce que vous recherchez et où vous le recherchez.

Foremost est capable de récupérer 17 des 20 fichiers stockés sur le disque dur.

En regardant les fichiers, nous pouvons confirmer que ces fichiers ont été relativement bien récupérés, bien que nous puissions voir quelques erreurs dans la vignette de 00622449.jpg.

Cela peut être en partie dû au système de fichiers ext2. Foremost recommande d'utiliser l'option de ligne de commande –d pour les systèmes de fichiers Linux tels que ext2.

Nous allons de nouveau lancer la commande en ajoutant l’option de ligne de commande –d à notre première invocation:

sudo foremost –t jpeg,png,gif –d –o foremost –v –i /dev/sda

Cette fois, tout d'abord capable de récupérer les 20 images!

Un dernier regard sur les images révèle que les images ont été récupérées sans aucun problème.

 Scalpel

Scalpel est un autre programme puissant qui, comme Foremost, est fortement configurable. Contrairement à Foremost, Scalpel nécessite que vous modifiiez un fichier de configuration avant toute tentative de récupération de données.

N'importe quel éditeur de texte fera l'affaire, mais nous utiliserons gedit pour modifier le fichier de configuration. Dans une fenêtre de terminal (Applications > Accessoires > Terminal), entrez la commande ci-dessous:

sudo gedit /etc/scalpel/scalpel.conf

scalpel.conf contient des informations sur un certain nombre de types de fichiers différents. Faites défiler les lignes de ce fichier et les lignes de commentaire qui commencent par le type de fichier que vous souhaitez récupérer (c'est-à-dire supprimez le caractère «#» au début de ces lignes).

Enregistrez le fichier et fermez-le. Retournez dans la fenêtre du terminal.

Scalpel propose également une multitude d'options de ligne de commande qui peuvent vous aider à effectuer une recherche rapide et efficace. Cependant, nous allons simplement définir le périphérique d'entrée (/ dev / sda) et le dossier de sortie (un dossier appelé «scalpel» que nous avons créé sur le bureau).

Notre invocation est:

sudo scalpel /dev/sda –o scalpel

Scalpel est capable de récupérer 18 de nos 20 fichiers.

Un rapide coup d’œil aux fichiers récupérés par le scalpel révèle que la plupart de nos fichiers ont été récupérés avec succès, même s’il ya eu des problèmes (par exemple, 00000012.jpg).

Conclusion

Dans notre exemple de jouet rapide, TestDisk a pu récupérer deux partitions supprimées, et PhotoRec et Foremost ont pu récupérer les 20 images supprimées. Scalpel a récupéré la plupart des fichiers, mais il est très probable que jouer avec les options de ligne de commande pour Scalpel nous aurait permis de récupérer les 20 images.

Ces outils sauvent des vies lorsque quelque chose ne va pas avec votre disque dur. Si vos données se trouvent quelque part sur le disque dur, l'un de ces outils vous permettra de les localiser!