Escultura de arquivos e recuperação de dados

O processo de recuperação de dados inacessíveis, formatados ou danificados ou corrompidos de um meio de armazenamento quando não é acessível através de métodos normais é chamado Recuperação de dados. As informações geralmente são recuperadas a partir de mídia de armazenamento; Por exemplo, discos rígidos internos e externos (HDDs); unidades de estado sólido (SSDs); Pen drives; armazenamento magnético, como CDs e DVDs; Subsistemas de ataque; e outros gadgets eletrônicos. A recuperação pode ser necessária devido a danos físicos a dispositivos de armazenamento ou danos legítimos ao sistema de arquivos, impedindo que o sistema seja montado pelo Sistema Operacional de Trabalho (OS) do Host (OS). Um objetivo definitivo é duplicar todos os registros fundamentais da mídia prejudicada para uma nova unidade. É possível fazer backup de informações utilizando rapidamente um CD ou DVD ao vivo, inicializando legitimamente a partir da ROM, em vez de usar a unidade ou dispositivo corrompido para obter informações do sistema.

CDs ou DVDs ao vivo oferecem uma maneira de inicializar a unidade do sistema, bem como a unidade de mídia removível ou fixa, permitindo que você use o gerenciador de arquivos ou o software para carregar o arquivo. Um servidor de disco pode corromper esses casos e armazenar arquivos de dados valiosos ou proprietários em compartimentos separados nos arquivos do sistema operacional.

Escultura de arquivos é um procedimento usado na investigação da cena do crime de PC para extrair informações de um disco rígido ou de outros dispositivos de armazenamento sem a ajuda da tabela do sistema de arquivos que criou o arquivo original em primeiro lugar. A escultura de arquivos é uma estratégia que assume controle sobre documentos em espaço não alocado sem dados e é usado para recuperar informações para reproduzir um exame clínico computadorizado. Esse processo foi inicialmente chamado de "design", que é um termo geral para remover informações organizadas de informações petrolas, à luz dos atributos específicos do padrão de organização das informações armazenadas.

Um método forense que recupera documentos depende da estrutura e do conteúdo dos arquivos sem os metadados do sistema de arquivos apropriados. A escultura de arquivos permite que você recupere arquivos de espaço não alocado em qualquer unidade. A área da unidade indicada pela estrutura do sistema de arquivos (tabela de arquivos) que não possui nenhuma informação do sistema de arquivos é chamada de espaço não alocado.

As estruturas de sistema de arquivos ausentes ou danificadas podem afetar toda a unidade. Simplificando, muitos sistemas de arquivos não excluem dados quando são excluídos. Em vez disso, simplesmente elimina o conhecimento de onde é. Examinar bytes crus e colocá -los em ordem é o processo básico de escultura de arquivos. Este processo é realizado por Examinando o cabeçalho (primeiro bytes) e rodapé (último bytes) de um arquivo.

A escultura de arquivos é uma excelente maneira de recuperar arquivos e arquivar fragmentos quando o texto é danificado ou ausente. É frequentemente usado por profissionais na solução de problemas para reexaminar a evidência. Um exemplo da proibição e a capacidade de evacuar a mídia ocorreu quando as informações foram removidas dos campos de Osama bin Laden durante o ataque da Marinha dos EUA. Os investigadores forenses usaram métodos de recuperação de arquivos para recuperar dados das unidades e sistemas usados ​​nos campos.

Visão geral dos sistemas de arquivos

A sistema de arquivos iS um tipo de banco de dados usado para armazenar, atualizar e recuperar arquivos ou vários números de arquivos. É uma maneira pela qual os arquivos são arquivados logicamente e nomeados para arquivar e recuperar. Existem diferentes tipos de sistemas de arquivos mencionados abaixo:

Sistema de arquivos do Windows: Microsoft Windows usa apenas dois tipos de gordura e NTFS.

• GORDO, O que significa 'Tabela de alocação de arquivos', é o tipo mais simples de sistema de arquivos que contém um setor de inicialização, uma tabela de alocação de arquivos e um espaço de armazenamento simples para armazenar arquivos e pastas. Recentemente, a gordura veio em FAT16, FAT12 e FAT32. O FAT32 é compatível com dispositivos de armazenamento baseados em Windows. O Windows não pode criar um sistema de arquivos FAT32 com um arquivo maior que 32 GB.
• NTFS, A abreviação de "New Technology File System" agora é um sistema de arquivos padrão para arquivos superiores a 32 GB. Criptografia e controle de acesso são algumas propriedades principais deste sistema de arquivos.

Sistema de arquivos Linux: Linux é um sistema operacional de código aberto amplamente utilizado e foi desenvolvido para testes e desenvolvimento. Este sistema operacional pretendia usar diferentes conceitos do sistema de arquivos. No Linux, existem vários tipos de sistemas de arquivos.

• Ext2, ext3, ext4 - Este é o sistema de arquivos Linux local ou padrão. O sistema de arquivos raiz geralmente é mcaper para toda a distribuição do Linux. O sistema de arquivos EXT3 é uma excelente atualização do sistema de arquivos ext2 usado anteriormente; Ele usa a operação de escrita de arquivo transacional. Ext4 é um arquivo de extensão que suporta informações ext3 e atribuição de arquivo.
• Reiserfs - O problema do sistema de arquivos é resolvido salvando muitos arquivos pequenos de uma só vez. Há uma boa risada pelo gerente de arquivos e a permissão do arquivo compatível, o armazenamento do código do arquivo, o arquivo contém metadados no modo de não usar o sistema de arquivos grande devido ao seu tamanho.
• XFS - O sistema de arquivos XFS funciona bem e é amplamente usado para arquivamento de arquivos. Este tipo de sistema de arquivos é popular em servidores IRIX.
• Jfs - A IBM desenvolveu este sistema de arquivos e se tornou um sistema de arquivos usado em quase todas as distribuições Linux

Sistema de arquivos MacOS: O sistema operacional Apple Macintosh usa apenas o Hfs + sistema de arquivos sem a extensão do sistema de arquivos HFS. MacOS, iPhones, iPads e todos os outros produtos da Apple usam o Hfs + sistema de arquivo. Alguns produtos do servidor Apple usam o sistema de arquivos hscan. Este renomado sistema de arquivos acompanha as informações relacionadas à visualização de diretórios, localização do Windows, etc.

Técnicas de escultura em arquivos

Durante a investigação digital, é necessário analisar os diferentes tipos de mídia. Informações aplicáveis ​​podem ser encontradas em vários dispositivos de armazenamento e na memória do PC. Vários tipos de informações podem ser divididos, por exemplo, email, relatórios eletrônicos, registros de estruturas e registros de mídia. A escultura de arquivos é uma técnica de recuperação em que apenas o conteúdo e a estrutura do arquivo são considerados, em vez de metadados de arquivo usados ​​na organização de dados no meio de armazenamento.

Abaixo estão algumas terminologias de escultura de arquivos a serem lembradas:

• Bloquear - O menor tamanho das unidades de dados que podem ser gravadas para armazenamento
• Cabeçalho - O ponto de partida do arquivo.
• Rodapé - Os últimos bytes do arquivo.
• Fragmento - Um ou vários blocos pertencem a um único arquivo.
• Fragmentação base - Primeiro fragmento de contêiner de arquivo, o cabeçalho do arquivo.
• Ponto de fragmentação - O último bloco pouco antes da fragmentação ocorre. Vários fragmentos em qualquer arquivo resulta em vários pontos de fragmentação.

As técnicas supremas de escultura universal corporativa corporativa são as seguintes:

• Técnica de cabeçalho-pé (ou cabeçalho- “tamanho máximo do arquivo”) - A estratégia básica aqui é esculpir arquivos com base no título e manuscrito ou em arquivos totais.

1. Arquivos de extensão JPG ou JPEG - “\ Xff \ xd8” e “\ xff \ xd9.”
2. Gif - Intitulado “\ x47 \ x49 \ x46 \ x38 \ x37 \ x61” e “\ x00 \ x3b” rodapé.
3. PST: “! Bdn ”indo sem rodapés.
4. Se o sistema de arquivos não tiver uma base, o número máximo de arquivos usados ​​no programa de escultura.

• Escultura baseada em estrutura de arquivos

1. O layout interno do arquivo é usado como uma técnica básica.
2. Cabeçalho, rodapé, cordas de identificação e informações de tamanho são elementos básicos.

• Escultura baseada em conteúdo

A estrutura de conteúdo é gratuita (mbox, html, xml)

• Características do material

1. Contam caracteres
2. Reconhecimento de texto / idioma
3. Lista de dados em preto e branco
4. Entropia de informação
5. Características estatísticas (Chi²)

Escultura de um arquivo (sem usar nenhuma ferramenta)

Em seguida, veremos como esculpir um .arquivo jpeg sem usar uma ferramenta. Primeiro, precisamos conhecer a estrutura do .arquivo jpeg (cabeçalho e rodapé, etc.). Para fazer isso, vamos abrir um .imagem JPEG no Hexadecimal editor para examinar o que o cabeçalho e o rodapé .o arquivo jpeg parece.

Aqui, encontramos o cabeçalho do arquivo ( Ffd8ffe0). Agora, para encontrar o rodapé, examinaremos os últimos bytes no arquivo.

Aqui, temos o rodapé ou trailer do arquivo (Ffd9).

Se você tem um documento com uma imagem, pode esculpir a imagem conhecendo seu cabeçalho e rodapé.

Agora, temos um arquivo do Word com uma imagem nele. Vamos esculpir a imagem usando esta técnica.

A primeira coisa que precisamos fazer é abrir este documento do Word com o Hexadecimal Editor clicando Arquivo >> aberto.

Aqui, podemos ver uma figura mostrando os dados do arquivo do Word em forma hexadecimal. Como já sabemos, o .O arquivo jpeg tem um valor de cabeçalho de Ffd8ffe0, Então, procuraremos o cabeçalho do arquivo pressionando Ctrl + f ou Pesquise >> Arquivo e inserir o valor do cabeçalho conhecido (selecionar o tipo de dados de valor hexadeconista é muito importante nesta etapa).

Vamos encontrar um valor de assinatura no deslocamento 14FD.

Em seguida, devemos procurar um rodapé ou trailer. Nós sabemos que o .o arquivo jpeg tem um valor de rodapé Ffd9, Então, vamos procurar o rodapé do arquivo pressionando Ctrl + f ou Pesquise >> Arquivo e inserir o valor do rodapé conhecido (selecionar o tipo de dados de valor hexadeconista é muito importante.

Encontraremos um valor de rodapé no deslocamento 2Adb.

Atualmente, temos o cabeçalho e o rodapé de um documento JPEG e, como afirmamos recentemente, entre o cabeçalho e o rodapé é a informação de um recorde de JPEG. Aqui duplicamos todo o quadrado de informações com cabeçalho e rodapé e o armazenamos como outro arquivo.

Vá para Editar >> Selecionar bloco e insira os dois termos a seguir:

Offset do cabeçalho do arquivo: 14FD

Rodapé de arquivo Offset: 2Adb

Depois de inserir esses valores, todo .O arquivo jpeg será marcado em azul. Para salvá-lo como um dfile, copie-o clicando com o botão direito do mouse cópia de, ou pressionando Ctrl + c. Em seguida, coletaremos as informações em um novo arquivo. Uma caixa de diálogo aparecerá e clicaremos OK. Agora, estamos prontos para salvar o arquivo clicando Arquivo >> Salvar como ou pressionando Ctrl + s. Se você abrir este arquivo copiado, verá a mesma imagem que estava no documento original. Esta é a técnica básica para esculpir arquivos de mídia.

Ferramentas de escultura de dados

As ferramentas de recuperação de dados desempenham um papel importante na maioria das investigações forenses, pois os atacantes inteligentes sempre tentam apagar evidências de seus crimes. Listados abaixo estão algumas ferramentas importantes de recuperação de dados em Linux e janelas.

• Principal (ferramenta de escultura de arquivos)

Para recuperar arquivos perdidos devido às suas estruturas de dados internas, cabeçalhos e rodapés, principal, pode ser usado. Os principais geralmente recebem informações em vários formatos de imagem, como AFF ou formatos brutos, que podem ser gerados usando uma variedade de ferramentas, como FTK Imager, DD, Encase, etc. Você pode navegar para a página de ajuda de Morcos a aprender e explorar seus comandos poderosos usando o seguinte comando:

ubuntu@ubuntu: ~ $ mais importante -h

Recuperar arquivos de uma imagem de disco com base nos tipos de arquivo especificados pelo
Usuário usando o switch -t.
Suporte JPG para os formatos JFIF e EXIF, incluindo implementações
usado em câmeras digitais modernas.
gif
png
Suporte BMP para formato BMP do Windows.
Avi
O suporte exe para os binários do Windows PE extrairá arquivos DLL e EXE
junto com seus tempos de compilação.
Suporte a MPG para a maioria dos arquivos MPEG (deve começar com 0x000001ba)
WAV
riff Isso irá extrair avi e riff, pois eles usam o mesmo arquivo para
Mat (riff). Observe mais rápido do que executar cada um separadamente.
A nota WMV também pode extrair arquivos WMA, pois eles têm um formato semelhante.
ole isso pegará qualquer arquivo usando a estrutura de arquivo OLE. Esse
Inclui PowerPoint, Word, Excel, Access e Starwriter
Doc note que é mais eficiente correr à medida
seu dinheiro. Se você deseja ignorar todos os outros arquivos OLE, use
esse.
NOTA DE ZIP que vai extrair .arquivos jar também porque eles usam um semelhante
formatar. Os documentos de escritório aberto são apenas arquivos XML com zíper, então eles
são extraídos também. Estes incluem SXW, SXC, SXI e SX? para
Arquivos de OpenOffice indeterminados. Os arquivos do Office 2007 também são XML
baseado (pptx, docx, xlsx)
rar
htm
Detecção do código -fonte do CPP C, observe que isso é primitivo e pode gerar
Documentos diferentes do código C.
Suporte MP4 para arquivos MP4.
todos executam todos os métodos de extração predefinidos. [Padrão se não -t for
Especificadas]

• Binwalk

Binwalk é usado para gerenciar bibliotecas binárias e extrair dados importantes de imagens de firmware. Esta ferramenta é ótima para quem sabe como usá -la. Binwalk é considerado uma das melhores ferramentas disponíveis para engenharia reversa e extração de imagens de firmware. Binwalk é fácil de usar e vem com enormes capacidades. Você pode navegar até a página de ajuda de Binwalk para saber mais usando o seguinte comando:

ubuntu@ubuntu: ~ $ binwalk -Opções de varredura de assinatura de help:
-B, -Signatura Arquivo (s) de destino (s) para assinaturas de arquivos comuns
-R, - -raw = varredura de varredura (s) para a sequência especificada de bytes
-A, -OPCODES Digitam arquivos de destino (s) para assinaturas de código OPCODEM comuns
-M, --Magic = Especifique um arquivo mágico personalizado para usar
-B, -Disable Palavras -chave de assinatura inteligente
-Eu, - -invalida, mostra resultados marcados como inválidos
-x, --exclude = exclua resultados que correspondem
-y, --include = apenas mostra resultados que correspondem
Opções de extração:
-e, -Extrair extrair automaticamente os tipos de arquivo conhecidos
-D, - -dd = Extrair assinaturas, dê aos arquivos uma extensão e execute
-M, - -Matryoshka varrendo arquivos extraídos recursivamente
-d, - -profundidade = Limit matryoshka profundidade de recursão (padrão: 8 níveis de profundidade)
-C, --Directory = Extrair arquivos/pastas para um diretório personalizado (padrão: diretório de trabalho atual)
-j, - -size = limite o tamanho de cada arquivo extraído
-n, --CONT = limite o número de arquivos extraídos
-R, -RM Excluir arquivos esculpidos após extração
-z, -escultura dados de arquivos, mas não execute utilitários de extração
Opções de análise de entropia:
-E, --Entropy Calcule a entropia do arquivo
-F, -Fast Use mais rápido, mas menos detalhado, análise de entropia
-J, -Save salva de economia como um png
-Q, -Nlegend omita a lenda do gráfico da plotagem de entropia
-N, - -no -not não gera um gráfico de plotagem de entropia
-H, - -High = Defina o limiar de gatilho de entropia de borda ascendente (padrão: 0.95)
-L, - -Low = Defina o limiar de gatilho da borda que cair (Padrão: 0.85)
Opções de diffração binária:
-W, - -hexdump execute um hexdump / diff de um arquivo ou arquivos
-G, -Green apenas mostra linhas contendo bytes que são iguais entre todos os arquivos
-Eu, -Rred apenas mostra linhas contendo bytes que são diferentes entre todos os arquivos
-U, -azul mostra apenas linhas contendo bytes que são diferentes entre alguns arquivos
-W, --Terse Diff todos os arquivos, mas exibe apenas um despejo hexadecimal do primeiro arquivo
Opções de compactação bruta:
-X, -Declare a varredura para fluxos de compactação de deflate bruto
-Z, -LZMA Scan para fluxos de compressão Raw LZMA
-P, -Parcial Faça um desempenho superficial, mas mais rápido,
-S, -parada após o primeiro resultado
Opções gerais:
-l, -comprimento = número de bytes para digitalizar
-o, -deslocamento = Start Scan neste deslocamento de arquivo
-O, - -Base = Adicione um endereço base a todas as compensações impressas
-K, --block = Definir tamanho do bloco de arquivo
-g, - -swap = reverter todos os n bytes antes de digitalizar
-f, ---log = Resultados do log para arquivar
-C, - -CSV Resultados para arquivar no formato CSV
-T, -Term Format Said para ajustar a janela do terminal
-Q, -Quase suprimir a saída para o stdout
-V, --verbose Ativar saída detalhada
-H, -Help Mostrar saída de ajuda
-a, - -finclude = apenas arquivos de digitalização cujos nomes correspondem a este regex
-P, - -fExclude = não digitalize arquivos cujos nomes correspondem a este regex
-s, - -status = Ativar o servidor de status na porta especificada

Recuperando dados de discos formatados

As ferramentas de recuperação de dados devem ser selecionadas cuidadosamente para recuperar informações de discos formatados, unidades flash USB e cartões de memória. Ferramentas projetadas para concluir várias atividades podem produzir resultados inesperados. Abaixo, examinaremos algumas das diferenças entre várias ferramentas de recuperação de dados para correção de dados em unidades formatadas.

Não formato

O primeiro erro fatal que muitos usuários de computador cometem ao formatar acidentalmente suas unidades é encontrar, instalar e usar ferramentas "não formatadas". Existem muitas dessas ferramentas no mercado; Alguns são comerciais e outros são bens gratuitos. O objetivo dessas ferramentas é reconstruir ou recriar o disco pré -formado, restaurando o sistema de arquivos.

Embora isso possa parecer uma abordagem viável para os inexperientes, pode acabar sendo um erro maior do que perder os arquivos em primeiro lugar. A formatação do disco libera o sistema de arquivos original, substituindo -o pelo menos em parte, geralmente no início. Quando você tenta restaurar seu sistema de arquivos antigo, o melhor que você pode obter é um disco legível com alguns de seus arquivos. Tudo não pode ser recuperado exatamente como era assim, e os arquivos mais preciosos podem ser comprometidos, com apenas amostras aleatórias dos arquivos originais no disco. Quando você pensa em "formatar" uma condução do sistema, esqueça -o; Pelo menos alguns arquivos do sistema desaparecerão. Mesmo se você puder inicializar o sistema operacional, você nunca obterá um sistema estável.

UMELETE

O segundo erro que muitos usuários de computador cometerão é usar ferramentas de recuperação. Embora essas ferramentas existam e tendam a fazer seu trabalho de boa fé, elas não foram projetadas para lidar com discos com um sistema de arquivos excluído. Mesmo com algumas das melhores ferramentas de recuperação, como a recuperação de arquivos RS, você pode excluir vários arquivos, mas é isso.

Recuperação de partição

Para recuperar arquivos, você deve procurar uma ferramenta de recuperação de partição como RS Partition Recovery. Projetado para lidar com discos distribuídos, formatados e danificados, essa ferramenta pode digitalizar toda. Mesmo que o sistema de arquivos esteja vazio ou excluído, essa ferramenta pode recuperar muitos tipos de arquivos, como documentos, imagens e vídeos, através de sua função de assinatura. No entanto, embora as ferramentas de recuperação segmentadas sejam de primeira para recuperação de dados, elas geralmente são muito caras. Se você deseja apenas recuperar um disco formatado, pode ser útil pesquisar e salvar.

Recuperação de gordura e NTFS

Você pode economizar até 40% no custo da recuperação da partição, escolhendo uma ferramenta que apenas recupere discos formatados por gordura ou ntfs. Lembre -se de que você precisará comprar uma ferramenta adequada para o sistema de arquivos original e não o escrito acima. Se a unidade original for NTFS, obtenha a recuperação NTFS Rs. Se for gordo ou gordo32, obtenha a recuperação de gordura Rs. Dessa forma, você obterá as mesmas ferramentas de qualidade, mas estará limitado à formatação de gordura ou NTFS. Esta é a escolha perfeita para um trabalho único.

Arquivos de escultura (usando uma ferramenta)

Photorec é um software incrível usado para esculpir arquivos e especialmente arquivos de jpeg ou imagem (é por isso que se chama a recuperação de fotos). A Photorec ignora a estrutura do documento e busca as informações básicas, para que funcione, independentemente de a estrutura de registro da sua mídia ter sido seriamente prejudicada ou reformatada. Photorec é facilmente acessível em sistemas operacionais do Windows.

Como exemplo, recuperaremos arquivos de imagem de uma unidade flash de 8 GB usando esta ferramenta.

Primeiro, execute o Photorec.exe Arquive e inicie o aplicativo. Veremos uma tela como esta:

Aqui, temos todas as partições mostrando. Vamos selecionar /K como alvo desejado para recuperar dados.

Podemos ver qual sistema de arquivos essa partição está usando aqui, e há quatro opções na parte inferior.

Procurar - Isso pesquisará a partição que mantém arquivos para recuperação.
Opções - Usado para pequenas mudanças nas opções.
Arquivo Opt - Usado para modificar os tipos de arquivos a serem recuperados.
Desistir - Sai do processo.

Vamos selecionar Arquivo Opt (Opções de arquivo):

Isso nos dará opções para selecionar os arquivos que queremos recuperar da partição desejada. Pressionando S vai desmarcar todas as opções. Vamos selecionar Imagens jpg, Como queremos apenas recuperar arquivos de imagem da unidade. Em seguida, vamos pressionar B.

Para selecionar o Sistema de arquivo, Volte às opções principais e selecione Outro. Quanto às opções de recuperação, temos duas opções:

• recuperar do Partição inteira
• recuperação de apenas espaço não alocado (FAT12, FAT16, FAT32, EXT1, EXT2, EXT3, ETC.). Usando esta opção, apenas os arquivos que foram excluídos serão recuperados.

Agora, tudo o que precisamos fazer é definir o local onde os arquivos excluídos serão recuperados. Depois disso, o processo de recuperação começará e terminará depois de levar algum tempo. Em seguida, procuraremos os arquivos recuperados no local do conjunto. Os arquivos de imagem recuperados estarão lá.

Conclusão

Escultura de arquivos é um termo de computador forense bem conhecido para descrever a identificação de tipos de arquivos e removendo-os de clusters não subordinados usando assinaturas de arquivo. Uma assinatura de arquivo, também conhecida como número mágico, é um valor de texto numérico ou permanente usado para identificar o formato do arquivo. Extração de arquivos ou dados é um termo usado no campo da informática forense. Um computadorizado investigação forense é uma aquisição, verificação, análise e documentação de evidências contidas em um sistema de computador, uma rede de computadores ou outras formas de mídia digital. Extrair dados significativos de dados brutos é chamado escultura.

Escultura de arquivos é a identificação e recuperação de arquivos com base na análise de formato. Na computação forense, a escultura é uma maneira útil de encontrar arquivos ocultos ou excluídos na mídia digital. Os ffiles podem ser ocultos em áreas como aglomerados perdidos, aglomerados não alocados e tocando discos ou mídia digital. Para usar este método de extração, um arquivo deve ter uma assinatura padrão, chamada de cabeçalho de arquivo, No início do arquivo. Para obter o cabeçalho do arquivo, a ferramenta de recuperação continuará a consultar até chegar ao rodapé do arquivo no final do arquivo. Os dados entre o cabeçalho e o rodapé são extraídos e analisados ​​para garantir a integridade. Vários métodos de escultura são usados ​​em seus algoritmos, dependendo do tipo de arquivo.

Os sistemas operacionais modernos não excluem totalmente arquivos excluídos sem permissão do usuário. Os arquivos excluídos podem ser recuperados através de várias ferramentas e táticas forenses se os arquivos excluídos não forem adicionados a outro arquivo. Arquivos danificados podem ser recuperados se os dados não forem danificados além do reconhecimento.

Há muita diferença entre recuperação e escultura de arquivos. A recuperação do arquivo usa as informações do sistema de arquivos; Ao utilizar essas informações, vários arquivos podem ser recuperados. Se a informação estiver incorreta, não funcionará. Com o advento da escultura em arquivos, aplicação da lei, profissionais de tecnologia e profissionais forenses, encontraram outra ferramenta que pode ser usada para recuperar dados excluídos. Embora nem sempre seja perfeito e refinado, ferramentas como Acima de tudo, bisturi, e Photorec facilitaram a recreação de arquivos do que nunca.