Форум ''Интернет и Право''
28 Марта 2024, 21:28:29 *
Добро пожаловать, Гость. Пожалуйста, войдите или зарегистрируйтесь.

Войти
Новости: Форум "Интернет и Право" прекратил свою работу с 01 января 2013 г.
 
   Начало   Помощь Поиск Войти Регистрация  
В закладки:
Страниц: [1] 2 3   Вниз
  Печать  
Автор Тема: возможности экспертизы по удаленным файлам  (Прочитано 14796 раз)
Law
Посетитель
*
Офлайн Офлайн

Сообщений: 9


E-mail
« : 18 Октября 2010, 12:39:36 »

Здравствуйте! Во время спланированной провокации на компьютер через флешку поместили файлы, часть этих файлов была удалена, часть осталась. Затем компьютеры изъяли, как вещ.доки. Сейчас следствие. Помогите советом, пожалуйста!

Подскажите:
1. можно ли восстановить удаленные файлы на ОС Windows XP и Windows Vista?
2. за какой период можно восстановить? До последнего форматирования жесткого диска?
3. можно ли восстановить все форматы файлов. Интересует Word, Exell
4. восстанавливается название и содержание? Или что-то одно?

По экспертизе:
1. как называется экспертизы:
- которая может восстановить удаленные файлы
- ответит на вопрос точного времени появления файла на компе? Возможно ли это?
- определит то, что этот файл был образован на другом компьютере? По другим признакам, кроме совпадения имен.
Записан
alebardo
Участник
**
Офлайн Офлайн

Сообщений: 115


Фряхо


« Ответ #1 : 18 Октября 2010, 15:21:29 »

Восстановить можно даже после форматирования, но восстановление происходит не по имени файла, а по сигнатурам на диске (сканируется весь диск).
Вообще, способ восстановления зависит от типа файловой системы (FAT, NTFS, EXT3).

При наличии спец оборудования можно восстановить даже и после перезаписи, но это уже не тривиальная задача.
Попробуй где-нибудь удалить файлы и погонять R-STUDIO, поймёшь как она ищет.
Записан

Теперь я люблю Linux
Igor Michailov
Модератор
Internet-law team
*****
Офлайн Офлайн

Пол: Мужской
Сообщений: 7261



« Ответ #2 : 18 Октября 2010, 17:20:03 »

1. можно ли восстановить удаленные файлы на ОС Windows XP и Windows Vista?
Можно.

2. за какой период можно восстановить? До последнего форматирования жесткого диска?
На этот вопрос нельзя однозначно ответить (надо смотреть объект исследования). Как получится. У меня получалось восстанавливать файлы удаленные четыре года назад.

До последнего форматирования жесткого диска?
Можно восстановить даже то что было ранее.

3. можно ли восстановить все форматы файлов. Интересует Word, Exell
Можно

4. восстанавливается название и содержание? Или что-то одно?
Иногда, получается восстановить и то и то. Но по содержанию (без восстановления имен файлов), можно восстановить поболе.

1. как называется экспертизы:
В МВД - компьютерная экспертиза. В Минюсте, ФСКН, у независимых экспертов - компьютерно-техническая экспертиза.
« Последнее редактирование: 18 Октября 2010, 19:24:14 от Igor Michailov » Записан

Юридические консультации.

Помощь в составлении жалоб и ходатайств.

Заверение контента сайтов, Интернет-страниц, электронной почты.
Law
Посетитель
*
Офлайн Офлайн

Сообщений: 9


E-mail
« Ответ #3 : 19 Октября 2010, 15:25:43 »

to alebardo and to Igor Michailov - спасибо!
Записан
Law
Посетитель
*
Офлайн Офлайн

Сообщений: 9


E-mail
« Ответ #4 : 19 Октября 2010, 15:30:28 »

А чтобы восстановить удаленные из корзины файлы, надо знать их точное имя, формат..? Или программа восстановит все файлы, всех форматов на нужную дату?
Записан
Law
Посетитель
*
Офлайн Офлайн

Сообщений: 9


E-mail
« Ответ #5 : 19 Октября 2010, 15:43:53 »

1. можно ли восстановить удаленные файлы на ОС Windows XP и Windows Vista?
Можно.

2. за какой период можно восстановить? До последнего форматирования жесткого диска?
На этот вопрос нельзя однозначно ответить (надо смотреть объект исследования). Как получится. У меня получалось восстанавливать файлы удаленные четыре года назад.

До последнего форматирования жесткого диска?
Можно восстановить даже то что было ранее.

3. можно ли восстановить все форматы файлов. Интересует Word, Exell
Можно

4. восстанавливается название и содержание? Или что-то одно?
Иногда, получается восстановить и то и то. Но по содержанию (без восстановления имен файлов), можно восстановить поболе.

1. как называется экспертизы:
В МВД - компьютерная экспертиза. В Минюсте, ФСКН, у независимых экспертов - компьютерно-техническая экспертиза.


А экспертиза восстановит только имя и содержание удаленного файла? Или дату и точное время его образования на компе тоже?
Суть вот в чем, чтобы доказать, что файл был мне записан через флэшку, а не наоборот, нужно будет установить время его появления на компе и на флэшке с точностью до получаса.
Записан
alebardo
Участник
**
Офлайн Офлайн

Сообщений: 115


Фряхо


« Ответ #6 : 19 Октября 2010, 16:55:49 »

Проще всего выдернуть "содержание" файла, либо его атрибуты, время создания и другое. Ибо содержание происходит из "области с данными" по сигнатурам файлов (например, все ZIP архивы имеют первые две буквы PK).
Записан

Теперь я люблю Linux
Igor Michailov
Модератор
Internet-law team
*****
Офлайн Офлайн

Пол: Мужской
Сообщений: 7261



« Ответ #7 : 19 Октября 2010, 17:33:18 »

Да, но не стоит забывать, что файлы, созданные  Word и Excel, в теле файлов, содержат метаданные в которых указано время их создания, общего числа правок, общего времени редактирования и т.д.

Law, то что вы хотите узнать (вероятность успеха) сильно зависит от массы случайных факторов. Говорить что-то определенно можно только "покрутив в руках" объекты исследования.
« Последнее редактирование: 19 Октября 2010, 17:35:39 от Igor Michailov » Записан

Юридические консультации.

Помощь в составлении жалоб и ходатайств.

Заверение контента сайтов, Интернет-страниц, электронной почты.
Посетитель
Посетитель
*
Офлайн Офлайн

Сообщений: 40


С любовью к ближнему


« Ответ #8 : 19 Октября 2010, 23:36:55 »

- ответит на вопрос точного времени появления файла на компе? Возможно ли это?
- определит то, что этот файл был образован на другом компьютере? По другим признакам, кроме совпадения имен.

...

А экспертиза восстановит только имя и содержание удаленного файла? Или дату и точное время его образования на компе тоже?
Суть вот в чем, чтобы доказать, что файл был мне записан через флэшку, а не наоборот, нужно будет установить время его появления на компе и на флэшке с точностью до получаса.

Комп и жесткий в данном контексте - неразрывное целое. А комп и флешка - нет. Вот посмотрят в метафайловой таблице время создания файла, сравнят со временем, записанным в атрибутах файла. Установят, что не изменялось (если  слишком "умные" не меняли, конечно). Сделают это и для флешки, и для жесткого. Даже установят, что на флешке он появился раньше, чем на жестком, относительно времени исследуемого компьютра. А также установят, что на компьютере часы не переводились в это время. И это лишь докажет, что на флешку данные документы попали не напрямую с этого компьютера.
Они могли попасть с данного исследуемого компьютера каким-либо образом на второй компьютер с переведенной назад датой и оттуда уже скопированы на флешку. Так что нужно искать и исследовать также и второй комп, с которого документы скопированы на флешку. Иначе все может разлететься как карточный домик.

Определить, что файл был создан на другом компьютере, можно в случае с Word/Excell (вернее, под управлением другой операционной системой).
« Последнее редактирование: 19 Октября 2010, 23:41:04 от Посетитель » Записан
Igor Michailov
Модератор
Internet-law team
*****
Офлайн Офлайн

Пол: Мужской
Сообщений: 7261



« Ответ #9 : 20 Октября 2010, 00:26:36 »

Иначе все может разлететься как карточный домик.
Бремя доказывания лежит на стороне обвинения. Вам нужен это второй комп? Ищите.

"Пилите, Шура. Они - золотые." (С)
 Улыбающийся
Записан

Юридические консультации.

Помощь в составлении жалоб и ходатайств.

Заверение контента сайтов, Интернет-страниц, электронной почты.
Страниц: [1] 2 3   Вверх
  Печать  
 
Перейти в:  

Яндекс цитирования © Антон Серго, 1998-2012. Правовая информация.
Карта сайта "Интернет и Право" (internet-law.ru).

На правах рекламы:

Произвольная ссылка:







Powered by SMF 1.1.21 | SMF © 2011, Simple Machines