File Carving — Récupération de fichiers par signature

Principe

Le file carving reconstruit des fichiers à partir de leurs signatures (magic bytes) et structures, sans dépendre du système de fichiers — essentiel pour récupérer des données supprimées ou sur un FS corrompu/formaté.

Outils

# foremost : carving par signatures
foremost -t jpg,pdf,zip -i disk.dd -o output/

# scalpel : config fine des headers/footers
scalpel -c scalpel.conf disk.dd -o out/

# binwalk : extraction de fichiers imbriqués
binwalk -e firmware.bin

# photorec : récupération interactive multi-format
photorec disk.dd

Magic bytes courants

JPEG : FF D8 FF        ... FF D9
PNG  : 89 50 4E 47     ... 49 45 4E 44
PDF  : 25 50 44 46     (%PDF)
ZIP  : 50 4B 03 04     (PK..)
ELF  : 7F 45 4C 46