lazza/recuperabitUma ferramenta para reconstrução forense de sistemas de arquivos.
Um software que tenta reconstruir estruturas de sistemas de arquivos e recuperar arquivos. Atualmente suporta apenas NTFS.
RecuperaBit tenta reconstruir a estrutura de diretórios independentemente de:
Você pode obter mais informações sobre os algoritmos de reconstrução e a arquitetura usada no RecuperaBit lendo minha dissertação de mestrado ou conferindo os slides.
Você pode instalar o RecuperaBit usando Pip:
pip install recuperabit
Ou como uma ferramenta com uv:
uv tool install recuperabit
usage: recuperabit [-h] [-s SAVEFILE] [-w] [-o OUTPUTDIR] path
Reconstruct the directory structure of possibly damaged filesystems.
positional arguments:
path path to the disk image
optional arguments:
-h, --help show this help message and exit
-s SAVEFILE, --savefile SAVEFILE
path of the scan save file
-w, --overwrite force overwrite of the save file
-o OUTPUTDIR, --outputdir OUTPUTDIR
directory for restored contents and output files
O argumento principal é o path para uma imagem bitstream de um disco ou partição. RecuperaBit determina automaticamente os setores a partir dos quais as partições iniciam.
RecuperaBit não modifica a imagem do disco, no entanto, lê algumas partes dela várias vezes durante a execução. Deve funcionar também em dispositivos reais, como /dev/sda, mas isso não é aconselhável para unidades danificadas. RecuperaBit pode piorar a situação ao "estressar" uma unidade danificada ou pode falhar devido a um erro de E/S.
Opcionalmente, um arquivo de salvamento pode ser especificado com -s. Na primeira vez, após o processo de escaneamento, os resultados são salvos no arquivo. Após a primeira execução, o arquivo é lido para analisar apenas setores interessantes e acelerar a fase de carregamento.
A sobrescrita do arquivo de salvamento pode ser forçada com -w.
RecuperaBit inclui uma pequena linha de comando que permite ao usuário recuperar arquivos e exportar o conteúdo de uma partição em formato CSV ou body file. Estes são exportados no diretório especificado por -o (ou recuperabit_output).
Atualmente, o RecuperaBit não funciona com arquivos compactados em um sistema de arquivos NTFS. Se você tiver conhecimento profundo do funcionamento interno da compactação de arquivos no sistema de arquivos NTFS, sua ajuda seria muito apreciada, pois a documentação disponível é bastante escassa sobre o assunto.
RecuperaBit pode ser executado com a implementação cPython padrão, no entanto, a velocidade pode ser aumentada usando-o com o interpretador Pypy e o compilador JIT:
pypy3 main.py /path/to/disk.img
Arquivos podem ser restaurados um de cada vez ou recursivamente, a partir de um diretório. Após o processo de escaneamento ser concluído, você pode verificar a lista de partições que podem ser recuperadas executando o seguinte comando no prompt:
recoverable
Cada linha mostra informações sobre uma partição. Vamos considerar o seguinte exemplo de saída:
Partition #0 -> Partition (NTFS, 15.00 MB, 11 files, Recoverable, Offset: 2048, Offset (b): 1048576, Sec/Clus: 8, MFT offset: 2080, MFT mirror offset: 17400)
Se você deseja recuperar arquivos a partir de um diretório específico, pode imprimir a árvore na tela com o comando tree (muito verboso para unidades grandes) ou exportar uma lista CSV de arquivos (veja help para detalhes).
Se você preferir extrair todos os arquivos dos nós Root e Lost Files, precisa saber o identificador do diretório raiz, dependendo do tipo de sistema de arquivos. A seguir estão os dos sistemas de arquivos suportados pelo RecuperaBit:
| Tipo de Sistema de Arquivos | ID da Raiz |
|---|---|
| NTFS | 5 |
O id para Lost Files é -1 para todos os sistemas de arquivos.
Portanto, para restaurar Partition #0 em nosso exemplo, você precisa executar:
restore 0 5
restore 0 -1
Os arquivos serão salvos dentro do diretório de saída especificado por -o.
Este software é lançado sob a GNU GPLv3. Consulte LICENSE para mais detalhes.