Ufffa! TestDisk e PhotoRec. CAPA O TestDisk, e seu primo PhotoRec, irão ajudá-lo a recuperar os dados que você pensou ter perdido.

Transcrição

1 CAPA Recuperação de dados Recuperação de dados com o TestDisk Ufffa! CAPA O TestDisk, e seu primo PhotoRec, irão ajudá-lo a recuperar os dados que você pensou ter perdido. por Klaus Knopper O TestDisk é um nome que você pode associar a uma ferramenta de medição de desempenho de disco, mas usuários avançados em Linux que especializaram-se em recuperação de dados sabem que o TestDisk [1] é uma ferramenta que pode restaurar tabelas de partição danificadas ou sobrescritas. O importante recurso de restaurar arquivos danificados é a razão pela qual o TestDisk tem sido parte da coleção de software base do Knoppix por um longo tempo. Figura 1 Sessão de exemplo de um acidente no sistema de arquivos. Se você se aprofundar um pouco mais e ler as páginas de wiki do TestDisk [2], logo irá perceber que ele e seu colega PhotoRec são muito mais do que ferramentas de recuperação comuns: juntos, eles são uma das melhores escolhas para recuperar dados de partes danificadas ou sistemas de arquivos sobrescritos, e incorporam algumas das melhores características de outras ferramentas de recuperação de dados, como a conhecida foremost. E tenho que admitir que também subestimei o TestDisk e o PhotoRec por um longo tempo, e só recentemente descobri alguns recursos avançados que não estão disponíveis no Debian atual e em pacotes TestDisk do Ubuntu. Neste artigo, vou mostrar como recuperar partições perdidas e arquivos com o TestDisk. TestDisk e PhotoRec Christophe Grenier inicialmente descreveu o TestDisk como uma ferramenta de reparo de partições no DOS, o que explica a sintaxe de linha 34

2 Recuperação de dados CAPA Figura 2 O PhotoRec varre por tipos de arquivo conhecidos e copia arquivos para um novo local. Figura 3 O TestDisk procura por cópias intactas do primeiro superbloco destruído. de comando como as do DOS, com as opções /parâmetro ao invés da sintaxe típica do Unix --parâmetrolongo ou -parâmetrocurto. A versão estável atual (enquanto escrevo) é a 6.12 com o suporte a NTFS- -3G e a ReiserFS, mas estou usando a versão de desenvolvimento 6.13 para meus testes, porque tem recursos avançados, como a recuperação melhorada de video/arquivos multimídia e suporte para a listagem de Fluxos de Dados Alternados NTFS (NTFS ADS). O TestDisk e o PhotoRec são licenciados sob a GPL e estão disponíveis como pacotes nas distribuições GNU/Linux mais atuais. Compilando você mesmo Infelizmente, a versão mais recente do TestDisk disponível como um pacote oficial do Debian é a Esta incorporação lenta dos pacotes na distribuição pode estar relacionada ao fato de que algumas das dependências para compilá-lo com os novos recuros também estão faltando no Debian (uma dessas dependências é o libreiserfs ). O wiki do TestDisk lista as seguintes exigências, embora algumas sejam recursos opcionais: build-essential (gcc e ferramentas relacionadas) e2fslibs-dev libncurses5-dev libncursesw5-dev libjpeg62-dev libreiserfs0.3-dev (opcional) uuid-dev zlib1g-dev libntfs-dev (ou superior, ntfs-3gdev desde a versão 6.12 do TestDisk). Com as bibliotecas necessárias e a inclusão de arquivos atuais no momento da compilação, o TestDisk pode ler alguns sistemas de arquivos e até mesmo fragmentos de arquivos diretamente. É uma boa ideia é instalar as bibliotecas de desenvolvimento correspondentes e incluir arquivos para ter o maior número possível de sistemas de arquivos suportados. O procedimento de compilação é o padrão utilizado em diversas distribuições para compilar programas: wget... tar xvf arquivo cd diretório-fonte./configure make sudo make install Figura 4 O TestDisk pode detectar as permissões de arquivo e datas. Figura 5 Recuperação com TestDisk. Se você deseja executar o testdisk a partir de um sistema de recuperação muito pequeno, que pode não conter todas as bibliotecas de acesso ao sistema de arquivos, você pode construir uma versão ligada estaticamente usando make static ao invés de make. Você pode também baixar versões précompiladas e vinculadas estaticamente para Linux 32 e 64-bits a partir do site do TestDisk [3]. Para meus experimentos, Linux Magazine #87 Fevereiro de

3 CAPA Recuperação de dados Figura 6 Os arquivos apagados em NTFS com um arquivo contendo um Fluxo de Dados Alternados (ADS). Figura 7 Visualização de arquivos do TestDisk em um sistema de arquivos ext3. O arquivo excluído está marcado em vermelho. Figura 8 Seleção do tipo de Sistema de Arquivos no PhotoRec. compilei o testdisk e o photorec versão 6.13 (WIP Work In Progress ) com suporte ao ReiserFS e NTFS-3G. Um caso não muito incomum Figura 10 A escolha de diretório de destino no PhotoRec. Considere o seguinte cenário, no qual eu gostaria de arquivar minhas fotos e videos em diferentes cartões SD e excluí-los do meu disco rígido principal para liberar algum espaço. Eu gostaria de formatar o cartão SD de destino com um sistema de arquivos capaz de manter os tipos de dados desejados (o FAT32 só pode armazenar arquivos de até 4 GB), mover os arquivos para seu novo destino, e mudar para o próximo cartão SD. A figura 1 mostra o cenário. O sistema de arquivos ext2 original, que continha as fotos/videos, foi sem querer reformatado para se tornar um sistema de arquivos FAT32 vazio semelhante ao que acontece se você selecionar Formatar cartão SD no menu de uma filmadora ou câmera digital. Felizmente, a formatação (ou a criação de um sistema de arquivos com mkfs ) não substitui a maioria dos dados; ao invés disso, ele cria um arquivo de índice vazio, então a conexão entre o nome de um arquivo e seu conteúdo é perdida quando a tabela de alocação de arquivos é apagada, mas é possível detectar e restaurar os dados do arquivo sabendo as assinaturas dos respectivos conteúdos. Muitos tipos de arquivos multimídia contêm um cabeçalho com informações sobre o conteúdo do arquivo e tamanho. O PhotoRec pode usar esta informação, juntamente com as assinaturas de início de outros arquivos, para copiar os dados em arquivos novos, com pouco ou nenhum conhecimento da estrutura do sistema de arquivos original ( figura 2 ). Figura 9 Selecione uma área para fazer a varredura. Arquivos excluídos estão localizados normalmente no "espaço livre" de uma partição. Após o PhotoRec terminar o processo, a maioria dos arquivos do disco flash formatado e até mesmo arquivos excluídos anteriormente na mesma mídia (independente do fato de termos reformatado para FAT32) têm agora uma cópia localizada no diretório de destino especificado na caixa de diálogo. Infelizmente, os nomes dos arquivos originais e os caminhos se foram, e você só tem lotes e lotes de arquivos com nomes engraçados, como f jpg. Com alguma triagem manual e verificação do conteúdo do arquivo (que você pode fazer facilmente, olhando para as miniaturas em um navegador de arquivos), poderá restaurar tudo ao estado inicial. O TestDisk pode fazer um trabalho ainda melhor, e é atualmente a minha primeira escolha ao tentar restaurar os dados, com o mesmo diretório e nomeando a estrutura como antes. Iniciando o aplicativo com o comando testdisk /dev/sdb1, o TestDisk encontra a assinatura do sistema de arquivos ext2 anterior e me diz o superbloco de backup e tamanho do bloco a ser usado para tentar reparar o sistema de arquivos ( figura 3 ). Eu copio a partição em uma nova imagem de sistema de arquivos (o testdisk tem 36

4 Recuperação de dados CAPA Figura 11 Documento recuperado e um relatório sobre ele. uma opção para isso) e então executo a verificação do sistema de arquivos atual nesta cópia; assim, a partição original permanece inalterada para uma possível investigação mais aprofundada. Nota: Não tente reparar o disco original, pois em cada byte que você substituir, poderá perder informações importantes que poderiam ser usadas por outras ferramentas forenses. Ao invés disso, trabalhe em uma cópia (arquivo de imagem). Depois de fazer uma verificação de sistema de arquivos com fsck.ext2 -b B 4096 /dev/sdb1 o diretório MyPhotos estará localizado no diretório lost+found do sistema de arquivos ext2 reestabelecido, que agora você pode montar novamente. Com um pouco mais de sorte, e com o início da partição ligeiramente deslocada o que revela um pouco mais sobre a estrutura do sistema de arquivos ext2 anterior o TestDisk pode ser capaz de encontrar os dados do sistema de arquivos antigo diretamente e acessar os dados com um navegador de arquivos interno. Além disso, o TestDisk pode detectar o proprietário do arquivo, data e permissões ( figura 4 ). Isto é possível porque ele sabe o suficiente sobre o sistema de arquivos ext2 para ler os metadados do arquivo. Esse suporte de metadados também funciona bem com o sistema de arquivos NTFS suportado através do libntfs ou o NTFS-3G. Figura 12 Verifi cação de uma partição NTFS. Recuperando arquivos Para alguns sistemas de arquivos, é relativamente fácil recuperar arquivos que foram apagados. Nos sistemas de arquivos FAT* (incluindo exfat), NTFS, ext2 por exemplo, basta marcar um arquivo como excluído em suas estruturas de alocação de arquivos (FAT, mudando apenas 1 byte) e atualizar a lista de blocos livres duas operações que são bastante triviais para reverter; assim o arquivo pode ser recuperado completamente se seus dados não tiverem sido substituídos por um novo arquivo em uma operação subsequente. Para um primeiro caso de teste, usei uma amostra de sistema de arquivos NTFS a partir da Ferramenta Digital Forense de Teste de Imagens ( Digital Forensic Tool Testing Images ) [4]. Figura 13 Seleção do disco (trabalhando em uma imagem). O 7-ntfs-undel.dd (figura 5 ) contém um pequeno sistema de arquivos NTFS com alguns arquivos apagados, um dos quais possui uma peculiaridade do NTFS Fluxos de Dados Alternados (ADS) que são arquivos ocultos dentro de outros arquivos. O Windows Explorer não mostra os dados ocultos, nem os considera para calcular o tamanho do arquivo exibido no Windows. Um caso de uso óbvio para o ADS seriam vírus ou trojans escondendo seus principais dados dentro de arquivos de aparência inocente, como arquivos MP3, de videos, ou malwares escondidos em documentos de texto simples como anexos invisíveis. No entanto, a intenção original desta característica no projeto do sistema de arquivos foi provavelmente acrescentar mais informações e dados do programa em Figura 14 Selecionando o tipo de tabela de partição. Intel é a ideal para a maioria dos dados. Linux Magazine #87 Fevereiro de

5 CAPA Recuperação de dados Figura 15 Queremos analisar o particionamento. Figura 16 A atual tabela de partição válida. Figura 17 Uma busca rápida já encontrou as duas partições Linux. Figura 18 Listando o conteúdo da antiga partição ReiserFS. um único arquivo. O ADS também serve como uma disponível (embora bastante insegura) forma de esconder dados pessoais de serem descobertos. O TestDisk pode ler o ADS e exibe os dados com a seguinte sintaxe: nomedoarquivo:nomedofluxo_ads sintaxe que pode ajudar os investigadores forenses a encontrarem dados ocultos ou suspeitos em um sistema de arquivos NTFS. Os arquivos e diretórios mostrados na figura 6 podem agora ser copiados para um novo local, com os seus nomes de arquivos corretos. Para o segundo caso de teste, criei um sistema de arquivos ext3, copiei alguns arquivos, sincronizei os dados e depois excluí um dos arquivos. A exclusão do arquivo no ext3 e ext4 é um pouco diferente da exclusão no ext2: um arquivo a ser excluído primeiro tem seu bloco de ponteiros zerado (mas não os dados do arquivo em si) para a recuperação segura em caso de um acidente; e em seguida sua referência é removida da estrutura de alocação do sistema de arquivos. Ao navegar no sistema de arquivos da partição com o testdisk, tenho a lista apresentada na figura 7. Aqui, você pode ver o arquivo excluído, AskKlaus.odt, que é declarado com um tamanho zero mas, é claro que não era o caso antes de ter sido excluído. Além de copiar um arquivo de tamanho zero, mas pelo menos com o nome correto, não posso fazer muito mais com o TestDisk, então vou mudar para o PhotoRec para recuperar os dados do arquivo ( figura 8 ). Especificar o sistema de arquivos ajuda ao PhotoRec a reunir mais informações sobre o arquivo, especialmente para a detecção de fragmentos de arquivos em pedaços descontínuos interligados. Por eu só estar interessado no arquivo excluído, posso varrer a área não alocada do sistema de arquivos ext3 ( figura 9 ). Em seguida, vem um seletor que pede um destino para os dados recuperados. O PhotoRec lida com o disco de origem como somente leitura e, portanto, precisa de um diretório gravável em um segundo disco, em que ele copia todos os arquivos salvos ( figura 10 ). Atualmente, o PhotoRec pode detectar e lidar com cerca de 300 tipos de arquivos; você pode habilitar ou desabilitar a detecção no menu File Options. Meu arquivo LibreOffice excluído está entre os tipos de arquivo conhecidos, por isso vou encontrá-lo no diretório de destino selecionado /tmp/recover/, juntamente com um relatório no formato XML ( figura 11 ). Repao de tabelas de partição O TestDisk foi inicialmente criado para a tarefa de reparar tabelas de partição. Ao entrar no menu Analyse, inicialmente uma verificação rápida é feita, onde a tabela de partição principal e a localização correta das tabelas de partição estendidas são varridas; então, você tem a opção de fazer uma busca mais profunda, que vai investigar todo o disco nas entranhas da estrutura do sistema de arquivos e de assinaturas de partição sem referência. Ao analisar um disco que tenha sido reparticionado algumas vezes, você provavelmente encontrará conflito entre início e fim de partição, que o TestDisk mostra de uma forma colorida. Se estiver tentando reparar uma tabela de partição, você terá que decidir qual a combinação de partições é a correta. A opção procurar arquivos ( browse files ) pode ser útil para ver se há uma estrutura de sistema de arquivos real presente na partição em questão. Além disso, existe uma opção que lhe dá um dump hexadecimal com uma reprodução em texto imprimível de uma partição, para que você possa verificar se os dados no início de uma partição, como uma partição NTFS, contêm as informações necessárias, tais como assinatura de volume ou uma mensagem de gerenciador de inicialização ( figura 12 ). Claro, é aconselhável trabalhar com uma cópia do disco e manter inalterado o original até você saber que sua tentativa de consertar as partições foi bem-sucedida, mas você tem que ter um segundo disco grande o suficiente, a fim de manter uma imagem de todo o disco original. 38

6 Recuperação de dados CAPA No caso do teste a seguir, primeiro particiono um pequeno disco em duas partições: uma partição ReiserFS (tipo 83) e uma swap (tipo 82). Então, copiei um arquivo para a partição ReiserFS, e reparticionei como uma única partição primária FAT32, em seguida também formatando e copiando um único arquivo. A figura 13 mostra o que o testdisk ainda pode encontrar (figura encurtada para mostrar as partes relevantes da tela). Selecione Proceed para definir informações adicionais para a recuperação. Selecione o tipo de partição ( figura 14 ) e, em seguida, selecione Analyse para procurar partições perdidas ( figura 15 ). O TestDisk diz que há uma partição FAT32 ( figura 16 ). O Quick Search encontra agora as partições Linux existentes anteriormente ( figura 17 ). Pressionar [ P ] lista o conteúdo da partição, dizendo que o sistema de arquivos ainda está (em grande parte) intacto, mesmo que a partição não exista mais ( figura 18 ). Voltando para a tela anterior ( figura 17 ), e pressionando [ Enter ], permite que eu selecione Deeper Search ( figura 19 ) que fará a varredura de todo o disco por mais partições. O TestDisk também oferece uma opção para reescrever a tabela de partições exibida para o disco (ou a imagem de disco), que permite acessar as partições antigas através do ponto de montagem. Você pode usar esse recurso se deseja restaurar a tabela de partições antiga de forma permanente. Mais informações [1] TestDisk: [2] Compile o testdisk: org/wiki/testdisk_compilation [3] Download do TestDisk: org/wiki/testdisk_download [4] Ferramenta Digital Forenses de Teste de Imagens: [5] Manual de scripts do TestDisk: cgsecurity.org/wiki/scripted_run Figura 19 Teclar [ Enter ] na visão geral de partição mostra mais opções. Figura 20 Partições que se sobrepõem são marcadas como deletadas ; você tem que recuperar um conjunto delas para resolver os confl itos manualmente. O resultado da pesquisa mais profunda é um conjunto de partições (marcadas como excluídas) que se sobrepõem. Você pode ativar um subconjunto das partições que não têm conflitos, selecionando a partição com a seta para cima/baixo e depois a seta para direita/esquerda para selecionar a opção de partição ( figura 20 ). Se a nova configuração de partição não contiver quaisquer inconsistências, você poderá ativá- -la com um [ Enter ] e usar a opção write para salvá-la permanentemente. Criação de scripts! Uma vez que você começar a usar o TestDisk de forma interativa, é interessante considerar que pode também chamar o testdisk (ou o photorec ) através de scripts, utilizando as várias opções de linha de comando; assim, você não tem que passar por todos os menus para tarefas repetidas com frequência. Chame o testdisk não interativamente com a opção /cmd : testdisk /cmd dispositivo-ouimagem sequencia-de-comandos... A sequência de comandos é basicamente a ordem das seleções nos menus interativos, apenas com nomes predefinidos para cada um. O seguinte comando diz ao photorec para recuperar todos os arquivos de uma partição ext3, de uma imagem teste.ext3, para o diretório de destino chamado /tmp/recover.* : photorec /d /tmp/recover /cmd teste.ext3 partition_none, options, mode_ext2, fileopt, everything, enable, search Veja o wiki do TestDisk para o manual completo de scripts [5]. Gostou do artigo? Queremos ouvir sua opinião. ião. Fale conosco em cartas@linuxmagazine.com.brcom.b Este artigo no nosso so site: Linux Magazine #87 Fevereiro de