recovering-deleted-files-with-photorec

使用 PhotoRec 恢复已删除文件

适用场景

• 从取证磁盘镜像或存储设备恢复已删除文件时
• 文件系统损坏、已格式化或被覆写时
• 调查中需要恢复文档、图像、视频或数据库时
• 文件系统元数据不可用但原始数据扇区仍完整时
• 从存储卡、USB 驱动器和硬盘恢复文件时

前置条件

• 已安装 PhotoRec（TestDisk 套件的一部分）
• 取证磁盘镜像或直接设备访问（只读）
• 充足的输出存储空间（可能大于源数据）
• 使用原始介质时需使用写保护器
• 设备访问所需的 root/sudo 权限
• 了解目标文件类型以进行有针对性的恢复

工作流程

步骤 1：安装 PhotoRec 并准备环境

# 在 Debian/Ubuntu 上安装 TestDisk（包含 PhotoRec）
sudo apt-get install testdisk

# 在 RHEL/CentOS 上安装
sudo yum install testdisk

# 在 macOS 上安装
brew install testdisk

# 验证安装
photorec --version

# 创建输出目录结构
mkdir -p /cases/case-2024-001/recovered/{all,documents,images,databases}

# 验证取证镜像
file /cases/case-2024-001/images/evidence.dd
ls -lh /cases/case-2024-001/images/evidence.dd

步骤 2：以交互模式运行 PhotoRec

# 对取证镜像启动 PhotoRec
photorec /cases/case-2024-001/images/evidence.dd

# 交互菜单操作步骤：
# 1. 选择磁盘镜像：evidence.dd
# 2. 选择分区表类型：[Intel] 表示 MBR，[EFI GPT] 表示 GPT
# 3. 选择要扫描的分区（或选"No partition"扫描整个磁盘）
# 4. 选择文件系统类型：[ext2/ext3/ext4] 或 [Other] 表示 NTFS/FAT
# 5. 选择扫描范围：[Free]（仅未分配空间）或 [Whole]（整个分区）
# 6. 选择输出目录：/cases/case-2024-001/recovered/all/
# 7. 按 C 确认并开始恢复

# 直接扫描设备（使用写保护器时）
sudo photorec /dev/sdb

步骤 3：使用命令行选项运行 PhotoRec 进行定向恢复

# 非交互模式，指定特定文件类型
photorec /d /cases/case-2024-001/recovered/documents/ \
   /cmd /cases/case-2024-001/images/evidence.dd \
   partition_table,options,mode,fileopt,search

# 仅恢复特定文件类型
photorec /d /cases/case-2024-001/recovered/documents/ \
   /cmd /cases/case-2024-001/images/evidence.dd \
   options,keep_corrupted_file,enable \
   fileopt,everything,disable \
   fileopt,doc,enable \
   fileopt,docx,enable \
   fileopt,pdf,enable \
   fileopt,xlsx,enable \
   search

# 仅恢复图像文件
photorec /d /cases/case-2024-001/recovered/images/ \
   /cmd /cases/case-2024-001/images/evidence.dd \
   fileopt,everything,disable \
   fileopt,jpg,enable \
   fileopt,png,enable \
   fileopt,gif,enable \
   fileopt,bmp,enable \
   fileopt,tif,enable \
   search

# 恢复数据库文件
photorec /d /cases/case-2024-001/recovered/databases/ \
   /cmd /cases/case-2024-001/images/evidence.dd \
   fileopt,everything,disable \
   fileopt,sqlite,enable \
   fileopt,dbf,enable \
   search

步骤 4：整理和编目恢复的文件

# PhotoRec 将文件输出到 recup_dir.1、recup_dir.2 等目录
ls /cases/case-2024-001/recovered/all/

# 按类型统计恢复文件数量
find /cases/case-2024-001/recovered/all/ -type f | \
   sed 's/.*\.//' | sort | uniq -c | sort -rn > /cases/case-2024-001/recovered/file_type_summary.txt

# 按扩展名将恢复文件整理到各目录
cd /cases/case-2024-001/recovered/all/
for ext in jpg png pdf docx xlsx pptx zip sqlite; do
   mkdir -p /cases/case-2024-001/recovered/sorted/$ext
   find . -name "*.$ext" -exec cp {} /cases/case-2024-001/recovered/sorted/$ext/ \;
done

# 为所有恢复文件生成 SHA-256 哈希值
find /cases/case-2024-001/recovered/all/ -type f -exec sha256sum {} \; \
   > /cases/case-2024-001/recovered/recovered_hashes.txt

# 生成带元数据的文件列表
find /cases/case-2024-001/recovered/all/ -type f \
   -printf "%f\t%s\t%T+\t%p\n" | sort > /cases/case-2024-001/recovered/file_listing.txt

步骤 5：验证和过滤恢复的文件

# 使用文件签名验证文件完整性
find /cases/case-2024-001/recovered/all/ -type f -exec file {} \; \
   > /cases/case-2024-001/recovered/file_signatures.txt

# 查找扩展名与签名不匹配的文件
while IFS= read -r line; do
   filepath=$(echo "$line" | cut -d: -f1)
   filetype=$(echo "$line" | cut -d: -f2-)
   ext="${filepath##*.}"
   if [[ "$ext" == "jpg" ]] && ! echo "$filetype" | grep -qi "JPEG"; then
      echo "MISMATCH: $filepath -> $filetype"
   fi
done < /cases/case-2024-001/recovered/file_signatures.txt > /cases/case-2024-001/recovered/mismatches.txt

# 使用 NSRL 哈希集比对过滤已知良性文件
hashdeep -r -c sha256 /cases/case-2024-001/recovered/all/ | \
   grep -vFf /opt/nsrl/nsrl_sha256.txt > /cases/case-2024-001/recovered/unknown_files.txt

# 删除零字节和损坏的文件
find /cases/case-2024-001/recovered/all/ -type f -empty -delete
find /cases/case-2024-001/recovered/all/ -name "*.jpg" -exec jpeginfo -c {} \; 2>&1 | \
   grep "ERROR" > /cases/case-2024-001/recovered/corrupted_images.txt

关键概念

概念	描述
文件雕刻（File carving）	使用文件头/尾签名从原始数据中恢复文件
文件签名	文件开头的魔术字节，用于标识文件类型（例如 JPEG 为 FF D8 FF）
未分配空间（Unallocated space）	未分配给任何活动文件的磁盘扇区；可能包含已删除数据
碎片文件（Fragmented files）	存储在非连续扇区的文件；更难完整雕刻
簇/块大小（Cluster/Block size）	文件系统上的最小分配单元；影响雕刻粒度
文件尾（File footer）	标记文件结束的字节序列（并非所有格式都有文件尾）
数据残留（Data remanence）	删除后残留的数据，直到扇区被覆写才消失
误报（False positives）	匹配签名但包含损坏或不完整数据的雕刻制品

工具与系统

工具	用途
PhotoRec	支持 300+ 种文件格式的开源文件雕刻工具
TestDisk	用于分区恢复和修复的配套工具
Foremost	最初由美国空军 OSI 开发的替代文件雕刻工具
Scalpel	基于 Foremost 的高性能文件雕刻工具
hashdeep	递归哈希计算和审计工具
jpeginfo	JPEG 文件完整性验证
file	通过魔术字节识别文件类型的 Unix 工具
exiftool	从恢复的图像和文档文件中提取元数据

常见场景

场景 1：从嫌疑人 USB 驱动器恢复已删除证据 使用 dcfldd 对 USB 驱动器进行镜像，运行 PhotoRec 针对文档和图像格式进行恢复，按文件类型整理，对所有恢复文件计算哈希值，与已知恶意哈希集比对，从图像中提取 GPS 和时间戳元数据信息。

场景 2：格式化硬盘恢复 在整个已格式化分区上以"Whole"模式运行 PhotoRec，恢复所有文件类型，预期因文件碎片化导致较高误报率，使用签名检查验证恢复文件，为证据链建立编目和哈希记录。

场景 3：监控摄像头存储卡 从存储卡镜像恢复已删除视频文件（AVI、MP4、MOV），使用定向文件类型选择加快恢复速度，验证视频文件可播放，提取帧时间戳，在案件笔记中记录恢复情况。

场景 4：证据驱动器上的文件系统损坏 当文件系统元数据被破坏时，PhotoRec 完全绕过文件系统直接从原始扇区雕刻，尽可能多地恢复数据，接受文件名和目录结构将丢失的现实，在审查过程中根据内容重命名文件。

输出格式

PhotoRec 恢复摘要：
  源镜像：      evidence.dd（500 GB）
  分区：        NTFS（分区 2）
  扫描模式：    仅空闲空间

  已恢复文件：  4,523 个
    文档：      234 个（doc：45，docx：89，pdf：67，xlsx：33）
    图像：      2,145 个（jpg：1,890，png：198，gif：57）
    视频：      34 个（mp4：22，avi：12）
    压缩包：    67 个（zip：45，rar：22）
    数据库：    12 个（sqlite：8，dbf：4）
    其他：      2,031 个

  已恢复数据：  12.4 GB
  损坏文件：    312 个（已标记待审查）
  输出目录：    /cases/case-2024-001/recovered/all/
  哈希清单：    /cases/case-2024-001/recovered/recovered_hashes.txt