Khắc tệp là gì?

Khắc Tệp là một kỹ thuật được sử dụng trong pháp y máy tính để trích xuất tệp hoặc dữ liệu được định dạng từ ổ đĩa hoặc thiết bị lưu trữ khác mà không cần sự hỗ trợ của hệ thống tập tin ban đầu tạo tệp.Có một số phương pháp và thuật toán khác nhau có thể được sử dụng, nhưng quy trình về cơ bản liên quan đến việc quét qua dữ liệu có sẵn trên thiết bị lưu trữ và sau đó, bằng cách này hay cách khác, kiểm tra xem thông tin đó có phải là tệp hay chứaMột số thông tin được xác định trước về tầm quan trọng.Một hệ thống tập tin không có mặt trong quá trình khắc tệp, vì vậy tất cả thông tin về đĩa cần được đánh giá cho bối cảnh của nó, có nghĩa là quá trình có thể mất nhiều thời gian và tùy thuộc vào trạng thái của thiết bị lưu trữ, có thể cóTỷ lệ thành công thấp.Thật khó khăn, nhưng có thể, để khắc các tệp từ các ổ đĩa có số lượng phân mảnh tệp cao.Kết quả cuối cùng của việc chạm khắc tệp thành công là việc tái cấu trúc một tệp theo cách mà nội dung của nó được trình bày đầy đủ, mặc dù kết quả có thể chấp nhận được trong một số tình huống có thể là một tệp được xây dựng lại một phần nếu đủ thông tin thích hợp được phục hồi. Trong một số trường hợp, trong một số trường hợp,Cho dù thông qua lỗi phần cứng, lỗi của con người hoặc tấn công độc hại, hệ thống tệp của thiết bị lưu trữ và tất cả thông tin về nó có thể bị xóa.Tùy thuộc vào cách loại bỏ thông tin, bản thân đĩa vẫn có thể chứa tất cả các thông tin trước đây có mặt, nhưng trong một luồng byte không có tổ chức, vô tổ chức.Một cơ chế làm cho việc khắc tệp có thể là, khi nhiều hệ thống tập tin xóa một tệp khỏi ổ đĩa, chúng không xóa dữ liệu mà thay vào đó đánh dấu khu vực đó của đĩa là có sẵn cho các tệp mới.Dữ liệu cũ vẫn còn cho đến khi chúng được ghi đè và, ngay cả trong trường hợp đó, vẫn có khả năng nó có thể được phục hồi.Đây là những phần dữ liệu có cấu trúc cho thấy sự khởi đầu của một tệp thuộc loại cụ thể.Một ví dụ là sự khởi đầu của một tệp hình ảnh có thể chứa chiều rộng và chiều cao của hình ảnh và một số dữ liệu bảng màu.Nếu một khối dữ liệu phù hợp với tiêu đề của loại tệp được tìm thấy, thì một nỗ lực để giải thích dữ liệu theo tiêu đề được thực hiện để xem liệu đó có thực sự là dữ liệu tệp không.Nếu thành công, điều này có thể dẫn đến việc tái cấu trúc tệp gốc.Một số kỹ thuật không cố gắng xây dựng lại các loại tệp này.Các phương pháp khác sử dụng kiến thức hiện có về các hệ thống tập tin để cố gắng gần đúng nơi các phần khác của tệp có thể được đặt, mặc dù quá trình này rất khó khăn.