Tcnicasforenses

paraarecuperao
dearquivos

JooEribertoMotaFilho
Curitiba,PR,17set.15

Eribertoset.2015

Sumrio
Discosememria
Formataoedeleo
Maissobrearquivos...
Demonstraoderecuperaodearquivos
Deleoseguradearquivosediscos
Concluso

Eribertoset.2015

Sumrio
Discosememria
Formataoedeleo
Maissobrearquivos...
Demonstraoderecuperaodearquivos
Deleoseguradearquivosediscos
Concluso

Eribertoset.2015

Discosememria
Discossofisicamenteorganizados,basicamente,portrilhas
divididasemsetores,quepodemserfsicosoulgicos.
Cadasetorlgicopossui512bytes.Humprojetode
migraopara4096,conhecidocomoadvancedformat.
Setor

Eribertoset.2015

Discosememria
Asprojeesverticaisdastrilhasnosdiversospratosformam
oscilindros.
Amenorquantidadededadosqueumacontroladorapode
acessaremumdiscoumsetorfsico.
Partiesdediscoprecisamserformatadaslogicamentepara
receberemdados.
Formatarlogicamenteestabelecerumfilesystem.
Filesystemssocompostosporblocos(agrupamentode
setores)esodivididosemreadecontroleereadedados.

Eribertoset.2015

Discosememria
Osblocosdeumfilesystempodemtertamanhoprdefinido.
Geralmente,osblocospossuemumtamanhodefaultde4KB.
Osblocoscompemtantoareadecontrolequantoareade
dados.
Osblocosdareadecontrolesodenominadosinodes.

Eribertoset.2015

Discosememria
ModelovonNeumman:tudopassapelamemria!

CPU

Memria

Eribertoset.2015

Discosememria
AmemriaRAMcompostaporpginas,quesosimilares
aosblocosemfilesystems.Hreadecontroleereade
dados.
Otamanhodapginaditadopelaarquiteturadehardware.
Exemplo:4KBparax86ex8664.
Comotudopassapelamemria,possvelarecuperaode
vriostiposdedados,comotextos,senhas,processosem
execuoetc.
Avolatilidadedamemria...
AquisioeanlisedememriaemdiversosSO:lime
forensics,dumpit,volatilityetc.

Eribertoset.2015

Sumrio
Discosememria
Formataoedeleo
Maissobrearquivos...
Demonstraoderecuperaodearquivos
Deleoseguradearquivosediscos
Concluso

Eribertoset.2015

Formataoedeleo
Escritaemdiscoxdeleodedados.

Eribertoset.2015

Formataoedeleo
Escritaemdiscoxdeleodedados.
Deletarnoapagaareadedados!
Apagardeverdadesignificaescreverporcima(wipee
zerofill).Issonocomum,poisrepresentariaumesforo
computacionalimenso.
Formatar,geralmente,noalteraareadedados.Apenas
refeitaareadecontrole.
Namemriatambmnocomumocorrerumarealdeleo
dealgo.Asreassodeclaradaslivresparapoderemser
superpostas.

Eribertoset.2015

Sumrio
Discosememria
Formataoedeleo
Maissobrearquivos...
Demonstraoderecuperaodearquivos
Deleoseguradearquivosediscos
Concluso

Eribertoset.2015

Maissobrearquivos...
Arquivosocupamblocose,aoseremapagados,naverdade,
apenasestaropassveisdesuperposio.
Escreverparcialmenteemumblocosignificapreservarpartes
anterioresdeumarquivo.Issogeraosslackspaces.
Amaioriadosarquivospossuipatterns,quesopadresque
osidentificam.
Exemplodepattern:todoJPGiniciacom0xFFD8FF.

Eribertoset.2015

Sumrio
Discosememria
Formataoedeleo
Maissobrearquivos...
Demonstraoderecuperaodearquivos
Deleoseguradearquivosediscos
Concluso

Eribertoset.2015

Demonstraoderecuperaodearquivos
Demonstraodeumadeleo.
Demonstraodeumaformatao.
Recuperaoviainode.
Recuperaoviapattern.
Recuperaocomddoudcfldd.
Recuperaodefragmentoscomstrings.
Obs.:hguiasdecomandoseexerccios(casos)disponveis
emhttp://eriberto.pro.br/forense.

Eribertoset.2015

Sumrio
Discosememria
Formataoedeleo
Maissobrearquivos...
Demonstraoderecuperaodearquivos
Deleoseguradearquivosediscos
Concluso

Eribertoset.2015

Deleoseguradearquivosediscos
Wipeederivados(erasernoWindows)apagamsomenteos
dados,quandoaplicadosemarquivos.Osinodes
permanecem!!!reasprviastambmpermanecero.
Wipeedd(dcfldd)podemseraplicadosemdispositivos
inteiros.Ex:#dcflddif=/dev/zeroof=/dev/sda.Estaltima
aochamasezerofill.
Comddoudcfldd,podesecriarumarquivocomcontedo
nosignificativoquepreenchatodaarealivredeum
filesystem.Ex:#dcflddif=/dev/zeroof=/teste.txt
Comoprocedimentoanterior,osslackspacesdeblocos
ocupadospermanecem!!!
Opacotesecuredelete(#aptgetinstallsecuredelete)possui
executveisparalimpar(wipe)memria,swapetc.
Eribertoset.2015

Sumrio
Discosememria
Formataoedeleo
Maissobrearquivos...
Demonstraoderecuperaodearquivos
Deleoseguradearquivosediscos
Concluso

Eribertoset.2015

Concluso
Apagardados,naamplaconcepodaideia,noumaao
natural.
Formatarumdisco,naverdade,reestabelecerareade
controle.
Hboaspossibilidadesdearquivosapagadosoudiscos
formatadosacidentalmenteseremrecuperados.Isso
dependerdetcnicaedepacincia.
Fragmentosouarquivoscompletosapagadospoderoser
preservadosporanos,principalmenteemHDsgrandes.
Estapalestraestdisponvelem:

http://eriberto.pro.br
SigamenoTwitter@eribertomota

Eribertoset.2015