Datarecovery ext3 partitie

[jinxedworld]

Ik ben op het moment bezig met een stukje datarecovery. Op een xen omgeving is spontaan een volledige diskimage pleite geraakt. We maken gebruik van ge-DD'de images met een partitiestructuur daarin. Na een analyse met The Sleuth Kit, Autopsy en ext3grep heb ik het volgende gevonden (zie afbeelding).



Het bestand "disk.img" is gemarkeerd als deleted, echter is er geen enkele modificatietijd of metadata restant te vinden. Bij andere verwijderde bestanden op dezelfde parititie is dit altijd wel het geval, zonder uitzondering.

Uit de superblock backup heb ik de inode gevonden welke aan de file was gekoppeld en hieruit de blocks gevonden (direct blocks, indirect blocks, double indirect blocks en triple indirect blocks). Deze blocks zijn naar mijn bevindingen nog niet opnieuw gebruikt. Ik heb dus de handel aan elkaar ge DD'd, en een partitietabel van de diskimage kunnen recoveren. Echter, de overige blocks heb ik niet leesbaar kunnen krijgen.

Heeft iemand enig idee hoe ik hiermee verder moet, of er nog tools zijn welke ik verder kan gebruiken? Een extern datarecovery bedrijf inschakelen is een optie, maar gezien de zeer hoge kosten niet direct de eerste keuze.

Alvast bedankt!

[SebastiaanStok]

Ik ben bang dat je image niet meer te redden valt, losse bestanden zijn al erg moeilijk om te herstellen laat staan een compleet disk image!
Stond de ext3 ingesteld met journaling aan of uit? in dat laatste geval is het einde oefening.

[jinxedworld]

Hmm, kleine losse bestanden heb ik niet veel moeite mee om te achterhalen, mits de blocks maar niet overschreven zijn en er een realloc metadata target te vinden is.

Journaling stond aan, anders was het niet mogelijk geweest om in de superblock backups de blocks te achterhalen.

[Bart L]

Uhm.. http://www.cgsecurity.org/wiki/TestDisk ?

[The-BosS]

Je zou eens kunnen proberen met scalpel (http://www.digitalforensicssolutions.com/Scalpel/)

[jinxedworld]

Scalpel ben ik mee bezig geweest, het nadeel daarvan is dat er een header/footer database moet zijn, en dat is eentje die zeer lastig aan te maken is zonder meta informatie helaas. Testdisk heeft zo te zien hetzelfde probleem. Ik lees op veel plekken dat er ook backups zijn van de metainformatie (hence, journaling) alleen is het me compleet onduidelijk hoe je die metadata dan kan benaderen.

[The-BosS]

Scalpel ben ik mee bezig geweest, het nadeel daarvan is dat er een header/footer database moet zijn, en dat is eentje die zeer lastig aan te maken is zonder meta informatie helaas. Testdisk heeft zo te zien hetzelfde probleem. Ik lees op veel plekken dat er ook backups zijn van de metainformatie (hence, journaling) alleen is het me compleet onduidelijk hoe je die metadata dan kan benaderen.

Klopt je moet inderdaad een config hebben met de header/footer informatie, ik heb een redelijk uitgebreide config, indien je die wenst neem dan even contact met me op via PM.

In ieder geval is het de info voor img files:

IMG                                 y    2500000    \x50\x49\x43\x54\x00\x08
IMG                                 y    2500000    \x53\x43\x4d\x49
IMG                                 y    2500000    \xeb\x3c\x90\x2a