Récupération de fichiers depuis une image disque
Une image disque est une copie octet par octet d’une carte ou d’une clé, et les fichiers supprimés y sont toujours : une suppression en FAT écrase un caractère du nom et libère la chaîne, en laissant en place le cluster de départ et la taille. Cet outil les relit, et là où il ne reste plus de système de fichiers, il découpe les fichiers d’après leurs signatures — en vérifiant chaque résultat avant de le remettre.
Une copie octet par octet : dd sous Linux et macOS, Win32 Disk Imager ou USB Image Tool sous Windows. Travaillez sur la copie, pas sur l’original.
L’outil détermine ce qu’elle contient : le système de fichiers, les fichiers vivants, les entrées supprimées et lesquelles restent récupérables.
Par le répertoire, et les noms et dossiers reviennent. Par signatures, et les fichiers se trouvent même là où il n’y a plus de répertoire.
Les navigateurs Chromium enregistrent directement dans le dossier choisi, les autres reçoivent une archive. Ce qui n’a pas passé la vérification est rangé à part.
Sortez les fichiers supprimés du dump d’une carte ou d’une clé
À savoir avant de commencer
- On travaille sur l’IMAGE, pas sur le support lui-même. Faites d’abord l’image — dd sous Linux et macOS, Win32 Disk Imager ou USB Image Tool sous Windows — puis travaillez sur la copie. Relire encore et encore un support défaillant, c’est précisément ce qui l’achève.
- Un fichier supprimé est récupéré en supposant que ses morceaux se suivaient. C’est vrai de presque tout ce qu’écrit un appareil photo, et souvent faux sur un support rempli et vidé pendant des années. D’où la vérification de chaque résultat, et la mise à part de ce qui ne la passe pas.
- Si les clusters d’un fichier supprimé appartiennent désormais à un fichier existant, les données ont disparu. Ces entrées vont dans la liste des écrasées plutôt que d’être remises comme un fichier qui ne s’ouvrira pas.
- Les images exFAT et NTFS sont reconnues, mais leurs répertoires ne sont pas encore lus. Le découpage sort quand même les fichiers : ce qui se perd, ce sont les noms et les dossiers d’origine.
