recovering-deleted-files-with-photorec

# 使用 PhotoRec 恢复已删除文件

## 适用场景
- 从取证磁盘镜像或存储设备恢复已删除文件时
- 文件系统损坏、已格式化或被覆写时
- 调查中需要恢复文档、图像、视频或数据库时
- 文件系统元数据不可用但原始数据扇区仍完整时
- 从存储卡、USB 驱动器和硬盘恢复文件时

## 前置条件
- 已安装 PhotoRec（TestDisk 套件的一部分）
- 取证磁盘镜像或直接设备访问（只读）
- 充足的输出存储空间（可能大于源数据）
- 使用原始介质时需使用写保护器
- 设备访问所需的 root/sudo 权限
- 了解目标文件类型以进行有针对性的恢复

## 工作流程

### 步骤 1：安装 PhotoRec 并准备环境

```bash
# 在 Debian/Ubuntu 上安装 TestDisk（包含 PhotoRec）
sudo apt-get install testdisk

# 在 RHEL/CentOS 上安装
sudo yum install testdisk

# 在 macOS 上安装
brew install testdisk

# 验证安装
photorec --version

# 创建输出目录结构
mkdir -p /cases/case-2024-001/recovered/{all,documents,images,databases}

# 验证取证镜像
file /cases/case-2024-001/images/evidence.dd
ls -lh /cases/case-2024-001/images/evidence.dd
```

### 步骤 2：以交互模式运行 PhotoRec

```bash
# 对取证镜像启动 PhotoRec
photorec /cases/case-2024-001/images/evidence.dd

# 交互菜单操作步骤：
# 1. 选择磁盘镜像：evidence.dd
# 2. 选择分区表类型：[Intel] 表示 MBR，[EFI GPT] 表示 GPT
# 3. 选择要扫描的分区（或选"No partition"扫描整个磁盘）
# 4. 选择文件系统类型：[ext2/ext3/ext4] 或 [Other] 表示 NTFS/FAT
# 5. 选择扫描范围：[Free]（仅未分配空间）或 [Whole]（整个分区）
# 6. 选择输出目录：/cases/case-2024-001/recovered/all/
# 7. 按 C 确认并开始恢复

# 直接扫描设备（使用写保护器时）
sudo photorec /dev/sdb
```

### 步骤 3：使用命令行选项运行 PhotoRec 进行定向恢复

```bash
# 非交互模式，指定特定文件类型
photorec /d /cases/case-2024-001/recovered/documents/ \
   /cmd /cases/case-2024-001/images/evidence.dd \
   partition_table,options,mode,fileopt,search

# 仅恢复特定文件类型
photorec /d /cases/case-2024-001/recovered/documents/ \
   /cmd /cases/case-2024-001/images/evidence.dd \
   options,keep_corrupted_file,enable \
   fileopt,everything,disable \
   fileopt,doc,enable \
   fileopt,docx,enable \
   fileopt,pdf,enable \
   fileopt,xlsx,enable \
   search

# 仅恢复图像文件
photorec /d /cases/case-2024-001/recovered/images/ \
   /cmd /cases/case-2024-001/images/evidence.dd \
   fileopt,everything,disable \
   fileopt,jpg,enable \
   fileopt,png,enable \
   fileopt,gif,enable \
   fileopt,bmp,enable \
   fileopt,tif,enable \
   search

# 恢复数据库文件
photorec /d /cases/case-2024-001/recovered/databases/ \
   /cmd /cases/case-2024-001/images/evidence.dd \
   fileopt,everything,disable \
   fileopt,sqlite,enable \
   fileopt,dbf,enable \
   search
```

### 步骤 4：整理和编目恢复的文件

```bash
# PhotoRec 将文件输出到 recup_dir.1、recup_dir.2 等目录
ls /cases/case-2024-001/recovered/all/

# 按类型统计恢复文件数量
find /cases/case-2024-001/recovered/all/ -type f | \
   sed 's/.*\.//' | sort | uniq -c | sort -rn > /cases/case-2024-001/recovered/file_type_summary.txt

# 按扩展名将恢复文件整理到各目录
cd /cases/case-2024-001/recovered/all/
for ext in jpg png pdf docx xlsx pptx zip sqlite; do
   mkdir -p /cases/case-2024-001/recovered/sorted/$ext
   find . -name "*.$ext" -exec cp {} /cases/case-2024-001/recovered/sorted/$ext/ \;
done

# 为所有恢复文件生成 SHA-256 哈希值
find /cases/case-2024-001/recovered/all/ -type f -exec sha256sum {} \; \
   > /cases/case-2024-001/recovered/recovered_hashes.txt

# 生成带元数据的文件列表
find /cases/case-2024-001/recovered/all/ -type f \
   -printf "%f\t%s\t%T+\t%p\n" | sort > /cases/case-2024-001/recovered/file_listing.txt
```

### 步骤 5：验证和过滤恢复的文件

```bash
# 使用文件签名验证文件完整性
find /cases/case-2024-001/recovered/all/ -type f -exec file {} \; \
   > /cases/case-2024-001/recovered/file_signatures.txt

# 查找扩展名与签名不匹配的文件
while IFS= read -r line; do
   filepath=$(echo "$line" | cut -d: -f1)
   filetype=$(echo "$line" | cut -d: -f2-)
   ext="${filepath##*.}"
   if [[ "$ext" == "jpg" ]] && ! echo "$filetype" | grep -qi "JPEG"; then
      echo "MISMATCH: $filepath -> $filetype"
   fi
done < /cases/case-2024-001/recovered/file_signatures.txt > /cases/case-2024-001/recovered/mismatches.txt

# 使用 NSRL 哈希集比对过滤已知良性文件
hashdeep -r -c sha256 /cases/case-2024-001/recovered/all/ | \
   grep -vFf /opt/nsrl/nsrl_sha256.txt > /cases/case-2024-001/recovered/unknown_files.txt

# 删除零字节和损坏的文件
find /cases/case-2024-001/recovered/all/ -type f -empty -delete
find /cases/case-2024-001/recovered/all/ -name "*.jpg" -exec jpeginfo -c {} \; 2>&1 | \
   grep "ERROR" > /cases/case-2024-001/recovered/corrupted_images.txt
```

## 关键概念

| 概念 | 描述 |
|------|------|
| 文件雕刻（File carving） | 使用文件头/尾签名从原始数据中恢复文件 |
| 文件签名 | 文件开头的魔术字节，用于标识文件类型（例如 JPEG 为 FF D8 FF） |
| 未分配空间（Unallocated space） | 未分配给任何活动文件的磁盘扇区；可能包含已删除数据 |
| 碎片文件（Fragmented files） | 存储在非连续扇区的文件；更难完整雕刻 |
| 簇/块大小（Cluster/Block size） | 文件系统上的最小分配单元；影响雕刻粒度 |
| 文件尾（File footer） | 标记文件结束的字节序列（并非所有格式都有文件尾） |
| 数据残留（Data remanence） | 删除后残留的数据，直到扇区被覆写才消失 |
| 误报（False positives） | 匹配签名但包含损坏或不完整数据的雕刻制品 |

## 工具与系统

| 工具 | 用途 |
|------|------|
| PhotoRec | 支持 300+ 种文件格式的开源文件雕刻工具 |
| TestDisk | 用于分区恢复和修复的配套工具 |
| Foremost | 最初由美国空军 OSI 开发的替代文件雕刻工具 |
| Scalpel | 基于 Foremost 的高性能文件雕刻工具 |
| hashdeep | 递归哈希计算和审计工具 |
| jpeginfo | JPEG 文件完整性验证 |
| file | 通过魔术字节识别文件类型的 Unix 工具 |
| exiftool | 从恢复的图像和文档文件中提取元数据 |

## 常见场景

**场景 1：从嫌疑人 USB 驱动器恢复已删除证据**
使用 dcfldd 对 USB 驱动器进行镜像，运行 PhotoRec 针对文档和图像格式进行恢复，按文件类型整理，对所有恢复文件计算哈希值，与已知恶意哈希集比对，从图像中提取 GPS 和时间戳元数据信息。

**场景 2：格式化硬盘恢复**
在整个已格式化分区上以"Whole"模式运行 PhotoRec，恢复所有文件类型，预期因文件碎片化导致较高误报率，使用签名检查验证恢复文件，为证据链建立编目和哈希记录。

**场景 3：监控摄像头存储卡**
从存储卡镜像恢复已删除视频文件（AVI、MP4、MOV），使用定向文件类型选择加快恢复速度，验证视频文件可播放，提取帧时间戳，在案件笔记中记录恢复情况。

**场景 4：证据驱动器上的文件系统损坏**
当文件系统元数据被破坏时，PhotoRec 完全绕过文件系统直接从原始扇区雕刻，尽可能多地恢复数据，接受文件名和目录结构将丢失的现实，在审查过程中根据内容重命名文件。

## 输出格式

```
PhotoRec 恢复摘要：
  源镜像：      evidence.dd（500 GB）
  分区：        NTFS（分区 2）
  扫描模式：    仅空闲空间

  已恢复文件：  4,523 个
    文档：      234 个（doc：45，docx：89，pdf：67，xlsx：33）
    图像：      2,145 个（jpg：1,890，png：198，gif：57）
    视频：      34 个（mp4：22，avi：12）
    压缩包：    67 个（zip：45，rar：22）
    数据库：    12 个（sqlite：8，dbf：4）
    其他：      2,031 个

  已恢复数据：  12.4 GB
  损坏文件：    312 个（已标记待审查）
  输出目录：    /cases/case-2024-001/recovered/all/
  哈希清单：    /cases/case-2024-001/recovered/recovered_hashes.txt
```