Recuperar Información

Mi novia revisando unas fotos en la cámara de un amigo de ella sin intención "elimino" todas las fotos que habían en la memoria y claro como su novio es un "duro" es eso de los sistemas entonces que si lo podía recuperar, yo tenia mi Laptop con Backtrack4 y me servía de practica entonces de una dije que si que yo revisaba.

Lo primero que se tiene que hacer es sacar una imagen de la memoria flash de la cámara, lo que se hace con el siguiente comando:

root@bt:~# dd if=/dev/sda3 of=/root/fotos

Esto crea una imagen bit a bit del contenido de la memoria en una archivo denominado fotos. Al ver el tipo de archivo que se genera nos indica que es un x86 boot, lo que se puede ver así

root@bt:~#file fotos

fotos: x86 boot sector

Ya con esto podemos montarlo para así analizarlo y poder rescatar la información, como es un archivo debemos montarlo como loop, de la siguiente forma

root@bt:~# mount -o loop /root/fotos /root/recuperar

Ya con esto podemos ver que se tiene en la memoria donde se ve las carpetas típicas que generan las cámaras pero ninguna foto.

El backtrack tiene una serie de herramientas forenses que se encuentran en Backtrack - Digital Forensis, en este vamos a usar foremost, por que este extrae muy bien los archivos tipo jpg y demás de fotos.

Al dar click se abre una consola donde se explican las opciones de este comando, pero pues yo lo había manejado pero no soy experto es su uso, así que use la forma más simple del comando que es así

root@bt:~# foremost -i /dev/loop0 -o /root/recuperado

El dispositivo es loop0 por que al montarlo con el comando que le dimos queda en esta ubicación  y el directorio recuperado es donde va a quedar todo lo que se pudo recuperar de la memoria.

El proceso se demora un poco pero bueno creo que en un momento de angustia no importa mucho si se demora. Una vez termino en el directorio quedo uno llamado jpg donde se puede ver lo siguiente

root@bt:~# ll recuperado/jpg/

total 300324
-rw-r--r-- 1 samuel samuel 4429971 2011-04-06 21:09 00002176.jpg
-rw-r--r-- 1 samuel samuel 4478183 2011-04-06 21:09 00010880.jpg
-rw-r--r-- 1 samuel samuel   53044 2011-04-06 21:09 00019648.jpg
-rw-r--r-- 1 samuel samuel   47997 2011-04-06 21:09 00019776.jpg
-rw-r--r-- 1 samuel samuel   38385 2011-04-06 21:09 00019869.jpg
-rw-r--r-- 1 samuel samuel   37131 2011-04-06 21:09 00019944.jpg
-rw-r--r-- 1 samuel samuel   39911 2011-04-06 21:09 00020017.jpg
-rw-r--r-- 1 samuel samuel   38413 2011-04-06 21:09 00020095.jpg
-rw-r--r-- 1 samuel samuel   38102 2011-04-06 21:09 00020170.jpg
-rw-r--r-- 1 samuel samuel   38608 2011-04-06 21:09 00020244.jpg
-rw-r--r-- 1 samuel samuel   38415 2011-04-06 21:09 00020330.jpg
-rw-r--r-- 1 samuel samuel   38304 2011-04-06 21:09 00020405.jpg
-rw-r--r-- 1 samuel samuel   38686 2011-04-06 21:09 00020480.jpg

Como ven se recupero la mayoría de las fotos y él dueño quedo feliz, espero que les sirva