Data forensik mudah dalam ubuntu menggunakan Photorec

[BSB-Buat Sendiri Beb] Bro Adi dari Hardyw3b memperkenalkan saya kepada satu aplikasi yang cukup mengujakan iaitu Photorec. Oleh kerana setiap "bit" data yang ditulis dalam satu-satu memori elektronik tidak terbuang walaupun anda delete menggunakan mana-mana sistem operasi, bermakna ia boleh didapatkan kembali secara forensik data. Huh? Bunyi macam gempak tetapi entry BSB kali ini akan menunjukkan langkah demi langkah bagaimana anda boleh melakukannya sendiri dirumah sambil mengorek id*ng.

Pertamanya entry ini hanya lulus untuk diikuti dalam ubuntu. Keduanya Photorec ialah perisian yang selamat dan tidak delete partition atau memori anda secara suka suki. Ketiga tutorial ini akan menggunakan terminal dan saya harap anda tidak fobia dengannya.

Install

Photorec sebenarnya datang bersekali dengan testdisk dalam ubuntu. Klik untuk install : testdisk

Langkah-Langkah recovery data

Anda mungkin ingin recover (mendapatkan kembali) data dalam pendrive, harddisk, MiniSD dan sebagainya (yang boleh dimount oleh ubuntu). Data itu mungkin masih wujud atau mungkin juga sudah tidak wujud. Jika data tersebut tempatnya telah diambil alih oleh data lain, maka ia dianggap tidak wujud. Jika pendrive atau harddisk atau MiniSD anda sudah penuh dengan data lain, maka peluang untuk data yang 'hilang' masih wujud adalah tipis.

1. Cucuk atau sambungkan memori anda ke pc dan pastikan ubuntu mount memori tersebut terlebih dahulu.

2.Buka terminal dan taipkan;

sudo photorec

3.Maximize tetingkap terminal (jika diminta) dan anda akan mendapati sesuatu seperti imej berikut (bergantung kepada memori apa yang disambungkan ke ubuntu)

Dalam imej, saya cuba untuk mendapatkan kembali data hilang dalam BUFFALO USB Flash Disk.

Tekan ENTER untuk memilih disk masa yang ingin digunakan.

4.

Pilih partition table type. Kebanyakkannya ialah Intel/PC partition.

tekan ENTER.

5.

Pilih partition. Biasanya pendrive takda banyak partition.

tekan ENTER.

6.

Pilih file system. Biasanya pilih others jer..

7.

pilih unalocated space only kerana data yang hilang adalah dalam kategori ini.

8.

pilih folder yang ingin digunakan untuk menempatkan data yang bakal didapatkan kembali kemudian tekan pada keyboard Y [Yes]

9.

proses recovery sedang berlaku..

Fail yang telah didapatkan kembali akan disimpan dalam folder recup_dir.* dalam folder yang anda pilih dalam langkah [8].

Jika anda baru membeli kad memori atau pendrive dari mana-mana kedai handphone atau kedai elektronik, anda boleh menggunakan cara diatas untuk mendapat tahu samada kad memori tersebut masih baru atau tidak. Secara tidak sengaja juga, anda mungkin akan bertemu dengan data-data 'asing' yang kadang kala kontroversi dan kadang kala menyeronokkan!

Berkenaan fungsi testdisk, nantikan tutorial akan datang. Semoga ilmu ini bermanfaat.