如何在 Photorec 等数据恢复实用程序上选择文件大小范围

Question

我最近格式化了我的硬盘以便安装 Ubuntu/Windows 双启动系统。

当然，我使用 rsync 将我的 Ubuntu 主文件夹备份到外部硬盘上（过去几年一直在使用 Ubuntu），但昨天我发现 VeraCrypt 卷（无扩展名）在我的外部硬盘上显示文件大小为 0 kb（我猜 rsync 出了问题而我没发现），因此我使用没有文件类型选项的 Photorec 尝试恢复该文件，但没有成功。

所以我的问题是，如何定义恢复程序（Photorec、Foremost 或 Scalpel）的文件大小范围以及“无扩展”选项？我记得 VeraCrypt 卷在 30-50 GB 之间。

Answer 1

像 Photorec 这样的程序会逐块、逐扇区地读取媒体。它们会查找特定于文件类型的签名，并尝试收集与猜测文件相关的所有块。

VeraCrypt 卷由硬盘上的许多扇区组成，而不是强制连续的扇区。容器的所有数据（包括标头/签名）都经过加密，由于加密工作良好，数据完全是随机的。因此 Photorec 无法查找或识别任何 VeraCrypt 容器的一部分。

要以与 Photorec 相同的方式挽救丢失的 VeraCrypt 容器，您需要一个程序，该程序以 Photorec 的方式执行此操作，但在此过程中需要您的加密密钥。因此，该程序可以解密每个数据扇区，并查看解密结果是否有意义，以及解密结果是否可能是 VeraCrypt 容器的标题或其他部分。

这将是一个非常耗时的过程，而且据我所知，目前还没有任何公开的救援计划可以做到这一点。