xls visszaállítás és Excel-borítás

Fogva a kapott offseteket dd-vel kicsit kezelhetőbb darabkákat tudunk kimásolni:

foo@bar:~# dd if=/dev/sda2 of=segment.dd bs=1M count=2 skip=$(expr 4235423423 / 1024 / 1024)

(két megás darab a legközelebbi, az offset "alatt" levő megabyte határtól)

Ebben már kényelmesebben tudjuk keresgetni a bináris office fájlok magic byte-jait: d0 cf 11 e0 a1 b1 a1 e1 (most esik le, hogy docfile... :) )

foo@bar:~# hexdump -v segment.dd | grep "cfd0 e011"
0036ebf cfd0 e011 b1a1 e11a 0000 0000 0000 0000

Az offsetet decimálisba alakítva (a példában 224959) már csak egy dd van hátra:

foo@bar:~# dd if=/dev/segment.dd of=restored.xls bs=1 count=128K skip=224959

És van egy restored.xls fájlunk. A 128 kilobyte-os fájlméretet hasraütésszerűen választottam, elvileg 512 byte-onként IDŐNKÉNT van egy pár byte-os magic number az xls-ekben ill. olvastam, mintha lenne a fájl végén is jelölő, de utóbbit nem láttam egyik tesztfájlon sem, előbbivel meg nem akartam szórakozni.

És akkor a megborulás: az egyik így visszaállított fájlt (több találat is volt a lemezen) Excelben megnyitva megnyílt, egészen az utolsó munkalap kiválasztásáig, amikor is kb. ~10 perc homokórázás (ami alatt azt értem, hogy a kurzort se lehetett mozdítani) után egy kellemes kékhalál fogadott. LibreOffice-ban gond nélkül megnyílt...

------------------
Szerk.: 2016. 10. 14.

Ma docx-el futottam egy kört, photorec csak egy korábbi példányt talált meg, úgyhogy jött a dd+grep+hexdump :)

#!/bin/bash
IMAGE="Pendrive.img"
mkdir scratch
mkdir recup
rm recup/* scratch/*
for offset in $(grep -oba "word/media/image5.png" $IMAGE | cut -d":" -f1); do
	dd if=$IMAGE of=scratch/$offset.dd bs=1M count=6 skip=$(expr $offset / 1024 / 1024) > /dev/null 2>&1
	start=$(hexdump -v scratch/$offset.dd | grep "4b50 0403" | cut -d" " -f1 | head -n 1)
	skip=$(perl -le "print hex('$start')")
	dd if=scratch/$offset.dd of=scratch/$offset-corrected.dd bs=1 skip=$skip > /dev/null 2>&1
	end=$(hexdump -v scratch/$offset-corrected.dd | grep "0000 0000" | cut -d" " -f1 | tail -n 1)
	count=$(perl -le "print hex('$end') + 21")
	echo "Skipping $skip bytes and extracting $count bytes"
	dd if=scratch/$offset-corrected.dd of=recup/restored-$offset.docx bs=1 count=$count > /dev/null 2>&1
done

Mint látszik, olyan doksit kerestem, amiben az ötödik kép png formátumú (word/document.xml-el a grep-ben minden doksit keres) és pár megás (6 megás darabot vágok ki elsőre, a keresett fájl olyan 2.8-3.2 között volt)...
Kis magyarázat: a 4b50 0403 a standard ZIP fejléc (local file header), kis szerencsével két null byte-ra végződik a zip (nem találtam rá pontos utalást, de ami docx-et/zip-et kipróbáltam, az így csinálta :) ), a többi csak másolgatás össze vissza (byte-onként dd FTW, tetű lassú) meg offset keresgetés... A recup-ba dobálja be a kinyert docx fájlokat, a scratchbe dobálja az ideiglenes fájlokat.

BlackY