Skip to main content
Recuperar ficheros eliminados con Foremost

Recuperar ficheros eliminados con Foremost

Foremost es una herramienta forense muy potente para la recuperación de ficheros eliminados de un disco, o la extracción de los mismos a partir de una imagen generada previamente

Bienvenidos a un nuevo post en ByteMind. En el caso de hoy les vamos a enseñar como recuperar ficheros que han sido eliminados con la herramienta Foremost.

 

¿Qué es Foremost?

Foremost es una herramienta forense para la recuperación de ficheros basado en sus cabeceras, footer y estructuras de datos internas. Foremost puede trabajar con imágenes, como las generadas por dd, Safeback, Encase, etc, o directamente sobre un disco. Las cabeceras y footers pueden ser especificadas mediante un fichero de configuración o utilizar la línea de comandos para especificar el tipo que se desea buscar.

Estos tipos integrados observan las estructuras de datos del formato de un archivo dado permitiendo una recuperación más rápida y fiable.

Por defecto, realiza la búsqueda de los siguientes tipos de fichero:

  • jpg -> soportado para los formatos JFIF y Exif
  • gif
  • png
  • bmp
  • avi
  • exe -> soporte para binarios PE de windows, en este caso extrae DLL y ficheros EXE
  • mpg -> soporta la mayoría de ficheros MPEG (siempre que comiencen por 0x000001BA)
  • waf
  • riff -> en este caso extraerá AVI y RIFF ya que utilizan el mismo formato de fichero (RIFF)
  • wmv
  • mov
  • pdf
  • ole -> en este caso tomará cualquier archivo utilizando la estructura OLE. Lo que incluye ficheros powerpoint, word, excel, access y starwriter
  • doc
  • zip
  • rar
  • htm
  • cpp -> detección de código fuente en C

Además de todas estas, es posible añadir o editar algunas más editando el fichero de configuración situado en /etc/foremost.conf

 

Instalación

Los usuarios de Kali Linux, por defecto, ya disponen de esta herramienta instalada.

Para los usuarios de distribuciones linux basadas en debian, pueden instalarla con el siguiente comando:

Para el resto de usuarios, pueden hacerlo de dos formas.

Descargando el instalador desde sourceforge.

O desde el repositorio de kali en gitlab. En esta segunda opción se deberán seguir los siguientes pasos.

El primero clonarnos el repositorio:

Y posteriormente se deberá compilar e instalar el mismo. Dejo a continuación la descripción para cada uno de los diferentes sistemas operativos:

Linux:

BSD:

Solaris:

OSX:

 

Cómo utilizar Foremost

Al igual que la gran mayoría de herramientas dispone de una ayuda con la opción -h

O mediante el uso de man:

 

Vamos a verlo en funcionamiento con un ejemplo.

Para ello vamos a eliminar un fichero .jpg y posteriormente vamos a recuperar el mismo. El fichero será el siguiente:

Y eliminamos dicho fichero:

Lanzamos foremost para recuperar dicho fichero:

En nuestro caso se encuentra en /dev/mapper/kali–vg-root pero si no sabe en que discos están disponibles puede hacer uso del comando mount para ver las unidades montadas en el sistema, dejo un ejemplo a continuación

 

Completado el comando de foremost, se habrá creado una carpeta llamada output en la ruta donde se ha ejecutado:

Y vemos la salida del comando en el fichero audit.txt

Y tenemos nuestra imagen en la carpeta jpg:

Y vemos como hemos conseguido recuperar correctamente la imagen 18341888.jpg que corresponde con la imagen imagetest.jpg eliminada antes.

 

Otro ejemplo, si quisiéramos recuperar varios ficheros a partir de una imagen generada con dd sería el siguiente:

 

 

Y esto es todo por el momento, espero les sea de utilidad y como siempre cualquier aporte, duda o sugerencia es bienvenida en la sección de comentarios.

 

Deja una respuesta

Tu dirección de correo electrónico no será publicada.