Phenquestions
Az élő CD-k vagy DVD-k lehetővé teszik a rendszer meghajtó, valamint a cserélhető vagy rögzített adathordozó indítását, lehetővé téve a fájlkezelő vagy szoftver használatával a fájl betöltését. A lemezkiszolgáló megrongálhatja ezeket az eseteket, és értékes vagy saját adatfájlokat tárolhat az OS fájlok külön rekeszeiben.
Fájlfaragás olyan eljárás, amelyet a PC-s bűncselekmények helyszínelésénél használnak információk merítéséhez merevlemezről vagy más tárolóeszközökről az eredeti fájlt elsődlegesen létrehozó fájlrendszertábla segítsége nélkül. A File Carving egy olyan stratégia, amely átveszi az irányítást a dokumentumok felett, fel nem osztott térben, adatok nélkül, és az információk visszaszerzésére használják számítógépes klinikai vizsgálat lejátszására. Ezt a folyamatot kezdetben „tervezésnek” nevezték, amely egy általános kifejezés a szervezett információk eltávolítására a nyers információkból, tekintettel a tárolt információk szervezési mintájának sajátos jellemzőire.
A dokumentumokat megtérítő törvényszéki módszer a fájlok felépítésétől és tartalmától függ, a megfelelő fájlrendszeri metaadatok nélkül. A fájlfaragás lehetővé teszi a fájlok helyreállítását a meghajtó fel nem osztott területeiről. A meghajtó fájlrendszer-felépítéssel (fájltáblával) jelölt területét, amely nem tartalmaz fájlrendszeri információkat, lefoglalatlan területnek nevezünk.
Hiányzó vagy sérült fájlrendszer-struktúrák hatással lehetnek az egész meghajtóra. Egyszerűen fogalmazva, sok fájlrendszer nem törli az adatokat, amikor azokat törli. Ehelyett egyszerűen megszünteti annak ismeretét, hogy honnan származik. A nyers bájtok beolvasása és rendbetétele a File Carving alapfolyamata. Ezt a folyamatot az egy fájl fejlécének (első bájtjainak) és láblécének (utolsó bájtjainak) vizsgálata.
A fájlfaragás kiváló módszer fájlok és töredékek helyreállítására, ha a szöveg sérült vagy hiányzik. Szakemberek gyakran használják a hibaelhárítás során, hogy újra megvizsgálják a bizonyítékokat. Példa a tilalomra és a média kiürítésének képességére akkor történt, amikor az információkat az amerikai pecsétek haditengerészetének támadása során eltávolították Oszama bin Laden táboraiból. A törvényszéki nyomozók fájl-helyreállítási módszereket használtak az adatok helyreállítására a táborokban használt meghajtókról és rendszerekről.
Fájlrendszerek áttekintése
A fájlrendszer is egy típusú adatbázis, amelyet fájlok vagy több fájl tárolására, frissítésére és visszakeresésére használnak. Ez egy olyan módszer, amellyel a fájlokat logikusan archiválják, és elnevezik archiválás és helyreállítás céljából. Az alábbiakban különféle típusú fájlrendszereket említünk:
Windows fájlrendszer: A Microsoft Windows csak kétféle FAT-t és NTFS-t használ.
- ZSÍR, ami „fájlelosztási táblát” jelent, a legegyszerűbb típusú fájlrendszer, amely egy rendszerindító szektort, egy fájlkiosztási táblázatot és egy egyszerű tárhelyet tartalmaz a fájlok és mappák tárolására. Nemrégiben a FAT a FAT16, FAT12 és FAT32 verziókkal érkezett. A FAT32 kompatibilis a Windows-alapú tárolóeszközökkel. A Windows nem hozhat létre FAT32 fájlrendszert 32 GB-nál nagyobb fájlokkal.
- NTFS, Az „New Technology File System” rövidítése ma már alapértelmezett fájlrendszer a 32 GB-nál nagyobb fájlokhoz. A titkosítás és a hozzáférés-vezérlés a fájlrendszer néhány fő tulajdonsága.
Linux fájlrendszer: A Linux egy széles körben használt, nyílt forráskódú operációs rendszer, amelyet tesztelésre és fejlesztésre fejlesztettek ki. Ennek az operációs rendszernek a célja a különböző fájlrendszer-koncepciók használata volt. A Linux rendszerben többféle fájlrendszer létezik.
- Ext2, Ext3, Ext4 - Ez a helyi vagy alapértelmezett Linux fájlrendszer. A gyökér fájlrendszert általában a teljes Linux disztribúcióhoz hozzárendelik. Az Ext3 fájlrendszer kiválóan frissíti a korábban használt Ext2 fájlrendszert; a tranzakciós fájlírási műveletet használja. Az Ext4 egy kiterjesztési fájl, amely támogatja az Ext3 információkat és a fájlok hozzárendelését.
- ReiserFS - A fájlrendszer problémája sok kicsi fájl egyszerre történő mentésével oldódik meg. A fájlkezelő jót nevet, és a kompatibilis fájl engedélye, a fájlkód, a fájl metaadatokat tartalmaz abban az üzemmódban, hogy mérete miatt nem használja a nagy fájlrendszert.
- XFS - Az XFS fájlrendszer jól működik, és széles körben használják a fájlok archiválására. Ez a fájlrendszertípus népszerű az IRIX szervereken.
- JFS - Az IBM fejlesztette ki ezt a fájlrendszert, és fájlrendszerré vált, amelyet szinte az összes Linux disztribúcióban használnak
macOS fájlrendszer: Az Apple Macintosh operációs rendszer csak a HFS + fájlrendszer a HFS fájlrendszer kiterjesztése nélkül. A MacOS, az iPhone, az iPad és az összes többi Apple termék a HFS + fájlrendszer. Egyes Apple Server termékek valóban a Hscan fájlrendszert használják. Ez a neves fájlrendszer nyomon követi a könyvtárak nézetével, a Windows helyével stb. Kapcsolatos információkat.
Fájlfaragási technikák
A digitális vizsgálat során elemezni kell a különböző típusú adathordozókat. Az alkalmazható információk több tárolóeszközön és a PC memóriájában találhatók. Különböző típusú információk bonthatók, például e-mail, elektronikus jelentések, keretrendszer-naplók és médiarekordok. A fájlfaragás olyan helyreállítási technika, amelyben csak a fájl tartalmát és felépítését veszik figyelembe, nem pedig a tároló adathordozón lévő adatok szervezésében használt fájl metaadatokat.
Az alábbiakban néhány fájlfaragó terminológiát kell megjegyezni:
- Blokk - A tárolóba írható adategységek legkisebb mérete
- Fejléc - A fájl kezdőpontja.
- Lábléc - A fájl utolsó bájtjai.
- Töredék - Egy vagy több blokk egyetlen fájlhoz tartozik.
- Alap-töredék - A fájltároló első töredéke, a fájl fejléce.
- Töredezettségi pont - A töredezettség előtti utolsó blokk. Bármely fájl több töredéke több töredezettségi pontot eredményez.
A legfőbb vállalati univerzális fájlfaragási technikák a következők:
- Fejléc-lábléc technika (vagy fejléc- „maximális fájlméret”) - Az alapstratégia itt a fájlok faragása cím, kézírás vagy teljes fájl alapján.
- JPG vagy JPEG kiterjesztésű fájlok - „\ XFF \ xD8” és „\ xFF \ xD9.”
- GIF - „\ x47 \ x49 \ x46 \ x38 \ x37 \ x61” és „\ x00 \ x3B” lábléc.
- PST: „! BDN ”címsor lábléc nélkül.
- Ha a fájlrendszernek nincs bázisa, akkor a faragási programban használt fájlok maximális száma.
- Fájlszerkezet-alapú faragás
- A fájl belső elrendezését alapvető technikaként használják.
- A fejléc, lábléc, azonosító karakterláncok és méretinformációk alapvető elemek.
- Tartalom-alapú faragás
A tartalom felépítése ingyenes (MBOX, HTML, XML)
- Az anyag jellemzői
- Számolja a karaktereket
- Szöveg / nyelv felismerés
- Fekete-fehér adatlista
- Információs entrópia
- Statisztikai jellemzők (Chi2)
Fájl faragása (semmilyen eszköz használata nélkül)
Ezután meglátjuk, hogyan kell faragni a .jpeg fájl eszköz használata nélkül. Először meg kell ismernünk a .jpeg fájl (fejléc és lábléc stb.). Ehhez megnyitjuk a .jpeg kép a Hex szerkesztő megvizsgálja, hogy mi a fejléc és a lábléc .jpeg fájl kinézete.
Itt találtuk a fájl fejlécét ( FFD8FFE0). Most, hogy megtaláljuk a láblécet, megvizsgáljuk a fájl utolsó bájtjait.
Itt van a fájl lábléc vagy trailer (FFD9).
Ha van olyan dokumentum, amelyben van kép, akkor a fejlécet és a láblécet ismerve faraghatja a képet.
Van egy szófájl, amelyben egy kép található. Ezt a technikát használva faragjuk ki a képet.
Az első dolog, amit meg kell tennünk, hogy megnyitjuk ezt a word dokumentumot a Hex szerkesztőre kattintva Fájl >> Megnyitás.
Itt láthatunk egy ábrát, amely a szófájl adatait hexadecimális formában mutatja. Mint már tudjuk, a .A jpeg fájl fejlécének értéke: FFD8FFE0, így a fájl fejlécét a megnyomásával keressük meg Ctrl + F vagy Keresés >> Fájl és az ismert fejlécérték beírása (ebben a lépésben nagyon fontos a hexa érték adattípus kiválasztása).
Az Offsetnél találunk egy aláírás értéket 14FD.
Ezután meg kell keresnünk egy láblécet vagy pótkocsit. Tudjuk, hogy a .A jpeg fájl lábléc értéke: FFD9, így a fájl láblécét a megnyomásával keressük meg Ctrl + F vagy Keresés >> Fájl és az ismert lábléc értékének megadása (a hexa érték adattípusának kiválasztása nagyon fontos.
Találunk lábléc értéket az Offsetnél 2ADB.
Jelenleg van egy jpeg dokumentum fejléce és lábléce, és amint nemrégiben megállapítottuk, a fejléc és a lábléc között egy jpeg rekord információ található. Itt az egész négyzetet fejléccel és lábléccel másoljuk, és egy másik fájlként tároljuk.
Menj SZERKESZTÉS >> Válassza a Blokk lehetőséget és írja be az alábbi két kifejezést:
Fájl fejléc eltolás: 14FD
Fájl lábléc eltolás: 2ADB
Ezen értékek megadása után az egész .A jpeg fájl kék színnel lesz jelölve. Dfile fájlként történő mentéshez kattintson a jobb gombbal és válassza ki a másoláshoz Másolat, vagy megnyomásával Ctrl + C. Ezután beillesztjük az információkat egy új fájlba. Megjelenik egy párbeszédpanel, és kattintsunk rendben. Most készen állunk a fájl kattintásra történő mentésére Fájl >> Mentés másként vagy megnyomva Ctrl + S. Ha megnyitja ezt a másolt fájlt, ugyanazt a képet fogja látni, mint az eredeti dokumentumban. Ez a médiafájlok faragásának alapvető technikája.
Adatfaragó eszközök
Az adatmentő eszközök fontos szerepet játszanak a legtöbb igazságügyi nyomozásban, mivel az okos támadók mindig megpróbálják kitörölni bűncselekményeik bizonyítékait. Az alábbiakban felsorolunk néhány fontos adat-helyreállítási eszközt itt: Linux és ablakok.
- A legfontosabb (fájlfaragó eszköz)
A belső adatszerkezet, fejléc és lábléc miatt elveszett fájlok helyreállítása, legelső, használható. A legfontosabb általában különféle képformátumokban, például AFF vagy nyers formátumban veszi a bevitelt, amelyeket különféle eszközökkel, például FTK Imager, DD, encase stb. A legelső súgóoldalra navigálva megismerheti és felfedezheti annak hatékony parancsait a következő paranccsal:
[email protected]: ~ $ foremost -h Fájlok helyreállítása lemezképről afelhasználó a -t kapcsolóval.
jpg A JFIF és az Exif formátum támogatása, ideértve a megvalósításokat is
modern digitális fényképezőgépekben használják.
gif
png
bmp A Windows bmp formátum támogatása.
avi
Az exe Windows PE bináris fájlok támogatása kibontja a DLL és az EXE fájlokat
összeállítási idejükkel együtt.
mpg támogatás a legtöbb MPEG fájlhoz (0x000001BA betűvel kell kezdődnie)
wav
riff Ez kibontja az AVI-t és a RIFF-et, mivel ugyanazt a fájlt használják
szőnyeg (RIFF). gyorsabban jegyzetelni, mint külön-külön futtatni.
A wmv Note a wma fájlokat is kibonthatja, mivel hasonló formátumúak.
ole Ez megragad minden fájlt az OLE fájlszerkezettel. Ez
tartalmazza a PowerPoint, a Word, az Excel, az Access és a StarWriter programokat
doc Ne feledje, hogy hatékonyabb az OLE futtatása, mivel több bummot kap
a bakod. Ha figyelmen kívül akarja hagyni az összes többi ole fájlt, akkor használja
ez.
zip Megjegyzés: kibontja .jar fájlokat is, mert hasonlót használnak
formátum. Az Open Office dokumentumok csak tömörített XML fájlok, tehát azok
kivonják is. Ide tartoznak az SXW, SXC, SXI és SX? mert
meghatározatlan OpenOffice fájlok. Az Office 2007 fájlok szintén XML fájlok
alapú (PPTX, DOCX, XLSX)
rar
htm
cpp C forráskód-észlelés, vegye figyelembe, hogy ez primitív és generálhat
a C-kódtól eltérő dokumentumok.
mp4 MP4 fájlok támogatása.
all Futtassa az összes előre meghatározott extrakciós módszert. [Alapértelmezés, ha nincs -t
meghatározott]
- BinWalk
BinWalk bináris könyvtárak kezelésére és a fontos adatok firmware képekből történő kinyerésére szolgál. Ez az eszköz nagyszerű azok számára, akik tudják használni. A BinWalkot az egyik legjobb eszköznek tekintik a fordított tervezéshez és a firmware képek kinyeréséhez. A BinWalk könnyen használható, és hatalmas képességekkel rendelkezik. A következő paranccsal többet megtudhat a binwalk súgóoldaláról:
[e-mail védett]: ~ $ binwalk --help Aláírás-beolvasási lehetőségek:-B, - aláírás Cél fájl (ok) beolvasása a közös fájl aláírásokhoz
-R, --raw = Célfájl (ok) beolvasása a megadott bájtsorozathoz
-A, --opcodes Célfájl (ok) vizsgálata általános futtatható opcode aláírásokhoz
-m, --magic = Adjon meg egy egyedi mágikus fájlt, amelyet használni szeretne
-b, --dumb Az intelligens aláírás kulcsszavak letiltása
-I, - érvénytelen Érvénytelenként megjelölt eredmények megjelenítése
-x, --exclude = Egyező eredmények kizárása
-y, --include = Csak az egyező eredményeket jelenítse meg
Kihúzási lehetőségek:
-e, --extract Az ismert fájltípusok automatikus kibontása
-D, --dd = Aláírások kibontása, a fájlok kiterjesztésének megadása és végrehajtása
-M, --matryoshka Rekurzívan szkenneli a kibontott fájlokat
-d, --depth = A matrjoska rekurziós mélységének korlátozása (alapértelmezett: 8 szint mély)
-C, --directory = Fájlok / mappák kibontása egyéni könyvtárba (alapértelmezett: aktuális munkakönyvtár)
-j, --size = Minden kibontott fájl méretének korlátozása
-n, --count = Korlátozza a kibontott fájlok számát
-r, --rm Faragott fájlok törlése kibontás után
-z, - carve Adatok faragása fájlokból, de ne hajtsa végre a kibontó segédprogramokat
Entrópia elemzési lehetőségek:
-E, --entropy Számítsa ki a fájl entrópiáját
-F, --fast Használja gyorsabb, de kevésbé részletes entrópiaelemzést
-J, --save mentse el a parcellát PNG-ként
-Q, --leglegend Hagyja el a jelmondatot az entrópia diagram grafikonjáról
-N, --nplot Ne hozzon létre entrópia diagram grafikont
-H, --high = Az emelkedő él entrópia kiváltási küszöbének beállítása (alapértelmezett: 0.95)
-L, --low = A csökkenő él entrópia kiváltási küszöbének beállítása (alapértelmezett: 0.85)
Bináris differenciálási lehetőségek:
-W, --hexdump Végezzen el egy fájl vagy fájlok hexdump / diff-jét
-G, --green Csak az összes fájlban azonos bájtokat tartalmazó sorokat jeleníti meg
-i, --red Csak azokat a sorokat jeleníti meg, amelyek az összes fájlban eltérő bájtokat tartalmaznak
-U, --blue Csak azokat a bájtokat jeleníti meg, amelyek bájtokat tartalmaznak, egyes fájlok között
-w, --terse Az összes fájl megkülönböztetése, de csak az első fájl hexadecimálását jeleníti meg
Nyers tömörítési lehetőségek:
-X, --deflate Nyers deflate tömörítési folyamok keresése
-Z, --lzma Nyers LZMA tömörítési folyamok keresése
-P, --partial Végezzen felületes, de gyorsabb szkennelést
-S, --stop Az első eredmény után állj meg
Általános opciók:
-l, --length = A beolvasandó bájtok száma
-o, --offset = Keresés indítása ezen a fájleltoláson
-O, --base = Adjon hozzá egy alapcímet az összes kinyomtatott eltoláshoz
-K, --block = A fájlblokk méretének beállítása
-g, --swap = Minden n bájt megfordítása szkennelés előtt
-f, --log = Az eredmények naplózása fájlba
-c, --csv Az eredményeket naplózza CSV formátumban
-t, --term Formázza a kimenetet a terminálablakhoz
-q, --quiet A kimenet elnyomása az stdout-ra
-v, --verbose A bő kimenet engedélyezése
-h, --help A súgó kimenetének megjelenítése
-a, --finclude = Csak azokat a fájlokat szkennelje, amelyek neve megfelel ennek a regexnek
-p, --fexclude = Ne vizsgáljon olyan fájlokat, amelyek neve megegyezik ezzel a regexszel
-s, --status = Engedélyezi az állapotkiszolgálót a megadott porton
Adatok helyreállítása formázott lemezekről
Az adat-helyreállítási eszközöket gondosan kell megválasztani, hogy a formázott lemezekről, USB flash meghajtókról és memóriakártyákról visszaszerezzék az információkat. A különféle tevékenységek elvégzésére tervezett eszközök váratlan eredményeket hozhatnak. Az alábbiakban megnézzük a különbségeket a különböző adat-helyreállítási eszközök között a formázott meghajtók adatkorrekciójához.
Formázatlan
Az első végzetes hiba, amelyet sok számítógép-felhasználó elkövet, amikor véletlenül formázza meghajtóját, az az, hogy "nem formázott" eszközöket keres, telepít és használ. Sok ilyen eszköz van a piacon; egyesek kereskedelmi, mások pedig ingyenes áruk. Ezen eszközök célja az előformázott lemez újjáépítése vagy újrateremtése a fájlrendszer helyreállításával.
Bár ez életképes megközelítésnek tűnhet a tapasztalatlanok számára, nagyobb hiba lehet, mint a fájlok elvesztése. A lemez formázása öblíti az eredeti fájlrendszert, legalább részben helyettesítve, általában az elején. Amikor megpróbálja visszaállítani a régi fájlrendszert, akkor a legjobb, ha beszerezhet egy lemezt, amely egyes fájljaival olvasható. Mindent nem lehet pontosan helyreállítani, ahogy ez volt, és a legértékesebb fájlok is sérülhetnek, csak a lemezen található eredeti fájlok véletlenszerű mintái. Ha belegondol egy rendszermeghajtó „formázásába”, felejtse el; legalább néhány rendszerfájl eltűnik. Még akkor is, ha indíthatja az operációs rendszert, soha nem fog stabil rendszert kapni.
Visszavonás
A második hiba, amelyet sok számítógép-felhasználó elkövet, az a helyreállítási eszközök használata. Bár ezek az eszközök léteznek, és általában jóhiszeműen végzik munkájukat, nem célja a kizárt fájlrendszerrel rendelkező lemezek kezelése. Még a legjobb helyreállítási eszközök, például az RS File Recovery, használatával is törölhet több fájlt, de ennyi.
Partíció visszaállítás
A fájlok helyreállításához keressen egy partíció-helyreállító eszközt, például az RS Partíció-helyreállítást. Az elosztott, formázott és sérült lemezek kezelésére készült eszköz képes a lemez vagy a partíció teljes felületének beolvasására, hogy helyreállítson mindent, amit csak talál. Még akkor is, ha a fájlrendszer üres vagy törölt, az eszköz sokféle fájlt képes visszaállítani, például dokumentumokat, képeket és videókat az aláírási funkcióval. Bár a szegmentált helyreállítási eszközök kiváló minőségűek az adatok helyreállításában, általában meglehetősen drágák. Ha csak egy formázott lemezt szeretne helyreállítani, akkor hasznos lehet keresés és mentés helyett.
FAT és NTFS helyreállítás
Akár 40% -ot takaríthat meg a Partíció RS helyreállításának költségén, ha olyan eszközt választ, amely csak FAT- vagy NTFS-formátumú lemezeket állít helyre. Ne feledje, hogy olyan eszközt kell vásárolnia, amely megfelel az eredeti fájlrendszernek, és nem a fentieknek. Ha az eredeti meghajtó NTFS, szerezze be az NTFS helyreállítási RS-t. Ha FAT vagy FAT32, akkor szerezze be a FAT Recovery RS-t. Így ugyanolyan minőségű eszközöket kap, de csak a FAT vagy az NTFS formázásra korlátozódik. Ez a tökéletes választás egy egyedi munkához.
Fájlok faragása (eszköz segítségével)
PhotoRec egy fantasztikus szoftver fájlok és különösen jpeg vagy képfájlok faragására (ezért nevezik Photo Recovery-nek). A PhotoRec figyelmen kívül hagyja a dokumentum keretrendszerét, és betartja az alapinformációkat, így attól függetlenül működik, függetlenül attól, hogy a média rekordkeretét súlyosan károsították-e vagy átformázták-e. Photorec könnyen elérhető Windows operációs rendszereken.
Például a képfájlokat egy 8 GB-os flash meghajtóról állíthatjuk helyre ezzel az eszközzel.
Először futtassa a PhotoRec.alkalmazás fájlt, és indítsa el az alkalmazást. Látni fogunk egy ilyen képernyőt:
Itt az összes partíció látható. Kiválasztjuk / K mint a kívánt célunk, ahonnan az adatokat visszanyerhetjük.
Itt láthatjuk, hogy melyik fájlrendszert használja ez a partíció, és alul négy lehetőség van.
Keresés - Ez megkeresi a fájlokat tároló partíciót helyreállítás céljából.
Opciók - Az opciók kisebb módosításaihoz használják.
File Opt - A helyreállítandó fájltípusok módosítására szolgál.
Kilépés - Kilép a folyamatból.
Kiválasztjuk File Opt (Fájlbeállítások):
Ez lehetőséget ad nekünk a kívánt partícióról helyreállítani kívánt fájlok kiválasztására. Megnyomás S törli az összes opciót. Kiválasztjuk JPG képek, mivel csak a képfájlokat szeretnénk helyreállítani a meghajtóról. Ezután megnyomjuk B.
A Fájlrendszer, térjen vissza a fő lehetőségekhez, és válassza a lehetőséget Egyéb. Ami a helyreállítási lehetőségeket illeti, két lehetőségünk van:
- gyógyuljon meg a egész partíció
- felépülés csak fel nem osztott hely (FAT12, FAT16, FAT32, EXT1, EXT2, EXT3 stb.). Ezzel az opcióval csak a törölt fájlok kerülnek helyreállításra.
Most csak annyit kell tennünk, hogy meghatározzuk a törölt fájlok helyreállításának helyét. Ezt követően a helyreállítási folyamat bizonyos idő elteltével megkezdődik és befejeződik. Ezután megkeressük a helyreállított fájlokat a beállított helyen. A helyreállított képfájlok ott lesznek.
Következtetés
Fájlfaragás egy jól ismert törvényszéki számítógépes kifejezés, amely leírja a fájltípusokat és eltávolítja azokat az alárendelt fürtökből fájlaláírások használatával. A fájl aláírás, más néven mágikus szám, egy numerikus vagy állandó szöveges érték, amelyet a fájl formátumának azonosítására használnak. Kivonás a fájlok vagy adatok kifejezés az igazságügyi informatika területén használt kifejezés. Számítógépesített törvényszéki vizsgálat egy számítógépes rendszerben, számítógép-hálózatban vagy más digitális média formában található bizonyítékok megszerzése, ellenőrzése, elemzése és dokumentálása. Jelentős adatok kinyerését nyers adatokból hívjuk faragás.
Iratszobrászat a fájlok formátumelemzésen alapuló azonosítása és helyreállítása. Az igazságügyi számítástechnikában a szobrászat hasznos módja a rejtett vagy törölt fájlok megtalálásának a digitális adathordozókon. Az F-fájlok elrejthetők olyan területeken, mint az elveszett klaszterek, a fel nem osztott fürtök, valamint a lemezek vagy a digitális média lejátszása. A kibontási módszer használatához a fájloknak szabványos aláírással kell rendelkezniük, az úgynevezett a fájl fejlécét, a fájl elején. A fájl fejlécének megszerzéséhez a helyreállító eszköz addig folytatja a lekérdezést, amíg el nem éri a fájl láblécét a fájl végén. A fejléc és a lábléc közötti adatokat kinyerjük és elemezzük az integritás biztosítása érdekében. Számos formázási módszert alkalmaznak algoritmusaiban, a fájltípustól függően.
A modern operációs rendszerek nem törlik teljesen a törölt fájlokat felhasználói engedély nélkül. A törölt fájlokat különféle törvényszéki eszközök és taktikák segítségével lehet helyreállítani, ha a törölt fájlokat nem adják hozzá egy másik fájlhoz. A sérült fájlok helyreállíthatók, ha az adatok a felismerhetetlenségig nem sérülnek meg.
Nagyon sok különbség van a fájl-helyreállítás és a fájl-faragás között. A fájlok helyreállítása a fájlrendszerből származó információkat használja; ezen információk felhasználásával több fájl helyreállítható. Ha az információ helytelen, akkor nem fog működni. Az iratfaragás megjelenésével a bűnüldözés, a technológiai szakemberek és az igazságügyi szakértők találtak egy másik eszközt, amely felhasználható a törölt adatok helyreállítására. Bár ez nem mindig tökéletes és kifinomult, az eszközök, mint például Legelőször a Szike, és Photorec minden eddiginél könnyebbé tették a fájlok újrakészítését.
