Silinen Dosyaları Geri Getirmek - Computer Forensics

Silinen Fotoğrafları Geri Getirmek – Computer Forensics | Scalpel

Computer Forensics, Genel Siber Güvenlik

Silinen fotoğraflarınızı geri getirmek mi istiyorsunuz? Aslında bakarsanız silinen dosyaları geri getirmek birçok kişi için çok zor gibi gözüküyor. Birazdan anlatacağım yöntem sayesinde ayrıca silinen videolarınızı da geri getirebilirsiniz. Bu işlem için İngilizcesi “data carving” olan ve Türkçeye “veri oymacılığı” olarak çevirebileceğimiz yöntemi kullanacağız. Bir Computer Forensics vakalarında kullanılan bir program olan “scalpel” aracından faydalanacağız. Hadi, silinen fotoğrafları geri getirmek nasıl olucak başlayalım…

Sıfırdan Detaylı Anlatım

Silinen dosyaları geri getirmek için, yapmamız gereken şey kullanmakta olduğumuz işletim sistemine scalpel aracını yüklemek olacaktır. Ben anlatımı Kali linux işletim sistemi üzerinde yapacağım. Siz de dilerseniz sanal makinenize kurabilirsiniz. Bu tool zaten Kali içerisinde geliyor. Eğer başka bir linux dağıtımı kullanıyorsanız “apt-get install scalpel ” komutu ile bilgisayarınıza scalpeli yükleyebilirsiniz.

Gördüğünüz üzere flash diskimin içerisi bu şekilde:

Silinen dosyaları geri getirme - Silinen resimleri geri getirme Programsız

Şimdi de bu resimi siliyorum:

Silinen fotoğrafları geri getirmek -  Silinen dosyaları geri getirme programsız

Gördüğünüz üzere artık USB cihazımın içerisinde resim yok. Hadi onu geri getirelim.

Silinen dosyaları geri getirmek için aşağıdaki ilk olarak USB cihazımızın konumunu tespit etmeliyiz. Bunun için terminalde ” lsblk ” komutunu çalıştırıyoruz. Bu komut bize bilgisayarımızdaki diskleri gösteriyor.

Silinen verileri geri getirmek - Data carving
Bilgisayarımdaki Diskler

Yukarıdkai resimde de göreceğiniz üzere sdb1 benim taşınabilir flash diskim. Yani onun konumu /dev/sdb1

şimdi gelelim scalpel kullanarak silinen dosyaları geri getirme işlemine. Fakat bunu yapmadan önce getirmek istediğimiz dosyanın formatını scalpel.conf dosyasında belirtmemiz gerekiyor. Bunun için komut satırında sudo gedit /etc/scalpel/scalpel.conf komutunu çalıştırıyoruz.

Scalpel.conf Dosyası - Silinen dosyaları geri getirmek

Ben jpg uzantılı dosyaları getirmek istediğim için CTRL+F ile jpg uzantısını aratıp buldum ve başındaki komut satırı işaretini (#) kaldırdım. Bu kadar, daha sonra dosyayı kaydedip kapatabilirisiniz. Eğer siz farklı bir dosya formatını geri getirmek yani carve etmek istiyorsanız onları da yorum satırı olmaktan çıkartmalısınız.

Scalpel çalıştırma komutu nasıl olmalı?
sudo scalpel disk_konumu -o output_konumu

Computer Forensics - Veri Oymacılığı

Yukaridaki komutu kendime göre uyarlayıp ben scalpeli çalıştırdım.
Flash diskinizin boyutuna göre bu arama zaman alabilir.

Silinen resimleri geri getirme - Silinen fotoğrafları tekrar yükleme

Benim için işlem sona erdi. Gördüğünüz üzere files carved = 2 (yani 2 tane dosya kurtarabildi) ben bir resim silmeme rağmen daha önce silmiş olduğum bir başka resimi daha bulmuş.

Silinen Dosyaları Tekrar Getirme - Silinen Fotoğrafları Geri Getirmek

Özet

  1. lslbk komutu ile veri kurtarmak istediğimiz diskin adı not edilir.
  2. sudo gedit /etc/scalpel/scalpel.conf komutu çalıştırılır ve geri getirilmek dosyaların uzantısı yorum satırı olmaktan çıkartılır. Dosya kaydedilir ve kapatılır.
  3. sudo scalpel disk_konumu -o output_konumu formatına sahip komut, komut satırında çalıştırılır. (Bu benim için sudo scalpel /dev/sdb1 -o /root/Desktop/kurtarilanDosyalar ‘dı)
  4. İşlem bitmiştir. Kurtardığınız dosyalara output_konumu klasöründen ulaşablirsiniz.

3 comments

  • Macbook için de geçerli mi acaba bu yöntem? Sadece Terminal’e hangi komutu gireceğimi öğrenmek istiyorum. Önemli bir .docx belgemi yok ettim. 🙁

    • Kusura bakmayın, final sürecim yüzünden ilgilenemedim web siteis ile. Evet bu yöntem macbook içinde geçerli aşağıdaki linkten nasıl yapılacağına dair detaylı bilgi edinebilirsiniz.
      http://www.noktec.be/pentesting-with-os-x/scalpel-on-osx

      Kısaca:
      Sırasıyla aşağıdaki komutları uygulayarak TRE kütüphanesini kurun:
      $ tar -xzvf tre-0.8.0.tar.gz
      $ cd tre-0.8.0/
      $ sudo ./configure
      $ sudo ./make
      $ sudo ./make install
      $ cd ..

      Daha sonra scalpel kurulumu yapmalısnız:
      $ tar -xzvf scalpel-2.0.tar.gz
      $ cd scalpel-2.0/
      $ sudo ./configure
      $ sudo make
      $ sudo make install

      Artık scalpel kurulmuş olacak, konfigürasyon dosyasını kopyalayın:
      $ mv /usr/local/bin scalpel ~/Downloads/Scalpel/
      bir editör ile /Downloads/Scalpel/ altında yer alan konfigürasyon dosyasını düzenleyin.
      Açıkçası yukarıdaki adımlardan pek emin değilim, konfigürasyon dosyası farklı bir konumda olabilir. Bilmiyorum hala dosyaya ihtiyacınız var mı ama, eğer ihtiyacınız devam ediyorsa ve yukarıdaki çözüm işinize yaramadıysa aşağıdaki kaynağı da inceleyebilirsiniz:
      http://acidx.net/wordpress/2013/09/data-recovery-with-foremost-scalpel/
      Sorununuz devam ederse, yorum yapın. Yardımcı olmaya çalışırım…

Bir cevap yazın