Статья Форензика восстановления уменьшенных изображений thumbnamil из поврежденного файла с помощью WinHex

Продолжение: Форензика анализа Thumbs и Thumbcache в Windows
В ряде судебных дел и судебных расследований рассматриваются миниатюрные фотографии, содержащиеся в файлах операционной системы, такие как

Ссылка скрыта от гостей

Иногда, когда редактируется фотография, исходное изображение редактируется, но эскиз нет.
Теория: все расширения файлов имеют свои собственные

Ссылка скрыта от гостей

и

Ссылка скрыта от гостей

.
Мы рассмотрим сигнатуру *.jpg файла которая [FF D8 FF]
В примере у нас испорченный файл Viber3.jpg, запускаем WinHex и открываем в нем наш файл

Ctr+O

Далее ищем второе вхождение (но это может быть и первое вхождение, если файл в начале испорчен) [FF D8 FF]
Ctr+Alt+X ставим значение без пробелов FFD8FF

Find Hex Values

Выбираем второе вхождение

Второе вхождение

Выбираем и ставим начало блока Alt+1

Alt+1

теперь ищем [FF D9] окончание блока Ctr+Alt+X ставим значение без пробелов FFD9
получим данный результат
Выбираем и ставим конец блока Alt+2

конец блока

Мы теперь видим выбранную нами информацию (блок), далее
"Правка"->"Копировать блок"->"В новый файл"

создание нового файла

сохраняем файл с именем и нужным нам расширением

И вот что мы получаем

результат

 

[wittmann404]

Ждём продолжения про WinHex.
Где можно посмотреть информацию об окончании сигнатуры файла?

 

[Sunnych]

Ждём продолжения про winhex) где можно посмотреть информацию об окончании сигнатуры файла?

По каждому интересующему формату и раскладке данных нужно смотреть стандарты, спецификации (особенно видео файлы - таким образом и созданны программы по восстановлению)

Ссылка скрыта от гостей

и ниже на картинке пример (сигнатура окончания файла jpg)

 

[wittmann404]

А где стандарты смотреть?
Просто я думал что определённый ресурс есть где все стандарты есть

 

[Sunnych]

А где стандарты смотреть?

Вот этот момент каждый производитель/автор своего расширения описывает свои стандарты и методику своего расширения, т.е в одном месте не будет (хоть я в статье и дал две ссылки на основные, и в ответе Вам еще дал ссылку)
Вот как пример

Ссылка скрыта от гостей

, а там уже расписано
Magic numbers Hex: xx xx xx xx 6D 6F 6F 76 ASCII: ....moov Hex: xx xx xx xx 66 72 65 65 ASCII: free
Ещё раз посмотрите ссылки в статье и в ответе Вам.

 

[SearcherSlava]

Здравы Будьте, Гуру форензики и взаимодействия с программными паттернами! Ссылочки для ресёча:

File Signature's

Ссылка скрыта от гостей

Ссылка скрыта от гостей

Ссылка скрыта от гостей

Ссылка скрыта от гостей

Ссылка скрыта от гостей

Ссылка скрыта от гостей

Ссылка скрыта от гостей

Ссылка скрыта от гостей

Ссылка скрыта от гостей

Ссылка скрыта от гостей

Ссылка скрыта от гостей

Ссылка скрыта от гостей

 

[DecA]

Подскажите, а какое специализированное forensic ПО умеет самостоятельно извлекать и отображать эскизы из jpeg файлов (учитывая то, что эскизы могут храниться и не jpeg формате)?

 

[Sunnych]

Подскажите, а какое специализированное forensic ПО умеет самостоятельно извлекать и отображать эскизы из jpeg файлов (учитывая то, что эскизы могут храниться и не jpeg формате)?

вот тут посмотрите

https://codeby.net/threads/kompjuternaja-kriminalistika-forenzika-forensics-katalog-statej-list-of-articles.64218/

и вот

https://codeby.net/threads/comparison-of-file-recovery-programs-usb-mass-storage-device-windows.64198/