Восстановление файлов с фотоаппарата

Яр · 03.05.2023, 10:31

Доброго времени суток!
Подруга подрабатывает фотографом, попросила помочь. Всегда снимала в формате CR2, но в какой-то момент поняла, что ей не хватает места на SD и решила доснимать мероприятие в JPEG. Тут то и возникли беды, как оказалось по приезду домой, файлов на флешке нет. Какой-то левой бесплатной прогой она смогла файлы откопать, однако теперь они не открываются с ошибкой в духе "не правильный формат файла", хотя ПК определяет их как JPEG. Дальше за дело взялся я, через программу JPGfix выяснилось, что многие файлы целы на 100%, хотя и есть некоторые битые, таких все же не много. Сама программа фотки не открывает. На сколько удалось выяснить, беда может заключаться в неправильном заголовке изображения. Это совершенно не точно, кроме того, пытался подменять заголовок на взятый из файла сделанного с того же фотика позже, ничего так же не вышло, возможно тут уже мой косяк. К слову, в формате JPEG сейчас фотографии делаются нормально, никаких проблем с ними не возникает

В общем, не могу понять, что не так и как бороться с этим, выручайте, великие интернет-умы!

VitohA · 03.05.2023, 10:54

Можете поделиться файлом-примером, на котором не должно быть компрометирующей информации?

Яр · 03.05.2023, 11:02

При попытке отправить файл как фотку, пишет, что это не фотография)

VitohA · 03.05.2023, 11:12

Цитата (Яр) »

При попытке отправить файл как фотку, пишет, что это не фотография)

Ожидаемо =)

Но можно заархивировать и приложить как вложение.

Яр · 03.05.2023, 11:17

А теперь он жалуется на размер, мол более 341кб нельзя. Каждая фотка по 5 Мб весит(

VitohA · 03.05.2023, 11:20

Цитата (Яр) »

А теперь он жалуется на размер, мол более 341кб нельзя. Каждая фотка по 5 Мб весит(

Постараемся поправить это как можно скорее, лимиты явно устарели. Пока только могу предложить обходное решение со сторонними файлообменниками.

Яр · 03.05.2023, 11:22

Могу залить на гугл диск:
https://drive. google.com/drive/folders/1-p8fX-wQ-xwYU7dt4TSUt1fobZy9qoPR?usp=sharing

Добавлено через 9 минут

Есть контакт? Фотки удалось скачать?

VitohA · 03.05.2023, 11:42

Цитата (Яр) »

Есть контакт? Фотки удалось скачать?

Да, есть. Теперь надо смотреть, что там и как.

Яр · 03.05.2023, 14:10

Есть какие-нибудь зацепки? Помочь, может, чем-нибудь надо?

**garniv** · 03.05.2023, 14:28

Цитата (Яр) »

Дальше за дело взялся я, через программу JPGfix выяснилось, что многие файлы целы на 100%, хотя и есть некоторые битые, таких все же не много.

https://docs.google.com/document/u/0...h.n8dq6288fklc

Цитата (Яр) »

Сама программа фотки не открывает.

Какая программа? Если это о JPGfix, то почему вы тогда пишете что "файлы целы на 100%"? Ведь она и битые открывает. Нипанятна...

Еще можно попробовать https://www.disktuna.com/jpegdigger-...hoto-recovery/

Яр · 03.05.2023, 15:11

Вот скриншот, анализировал один из файлов залитых на гугл диск.

VitohA · 03.05.2023, 15:11

Файлы явно битые, но данные вроде на месте, надо просто каким-нибудь hex редактором вырезать данные между FF D8 FF и FF D9 байтами.
Пруф-превью из первого файла в аттаче.
Вот так этот файл можно максимально восстановить (тут не смотрел на реальное окончание файла, так что есть, куда работать):

Код:

dd skip=$((0x1f8264)) if=IMG_4844.JPG of=output.jpg bs=1

Яр · 03.05.2023, 17:55

А можете, пожалуйста, объяснить ход действий подробнее? В форме какого-нибудь плана или просто разжевать написанное вами ранее? Раньше не было опыта работы с подобными вещами, полный 0 в данном аспекте.

VitohA · 03.05.2023, 18:08

Яр, да я сам не занимаюсь подобным =)
Но тут должно хватить любого hex-редактора (тот же winhex), которым нужно найти смещения для начала и конца файла. Для простоты хватит и начала, а это простой поиск по FF D8 FF байтам, они показывают на начало jpg файла. Редактор покажет адрес смещения для оных (для IMG_4844.JPG это 0x1f8264), а далее отбрасываем начало файла до данного места через dd, как в примере выше:

Код:

dd skip=$((смещение)) if=Оригинальный_файл.JPG of=результат.jpg bs=1

9285 · 04.05.2023, 02:27

Фото "фотографов" по определению не могут весить 6 мегов.
Да и о другим моментам догадываюсь о каком фотографе идёт речь.
Нет места - должна быть другая карта и не одна.
А тут, насколько понял, даже проблемную уже пустили в действие.
1. Есть подозрение что пользовались не левой программой, а пиратской. Той же DMDE.
А в некоторых ломанных как раз и есть такой эффект - восстанавливаются кривые файлы. При том что фришка восстанавливает нормально.
2. Идёт попытка пролечить какой то "фарш" вместо того чтобы работать если не с оригиналом, то с посекторкой. Уверен, что результат был бы намного лучше, тем более что при желании можно было бы разобраться с причиной. Может кривые записи FAT, может и какой то сдвиг в данных, а может и банальная логческая ошибка.

Лишь в одной из "фоток" есть начальные и конечные сигнатуры джипегов, но и они относятся к превьюшке. Хотя (структуру джипегов знаю поверхностно) видны характерные для основного блока данных последовательности.

Так что, если я ошибся, и карту ещё не пустили на новые "заработки" - делать посекторку и анализировать структуру данных или просто восстанавливать нормальным софтом. ну а если не ошибся, то и поделом - таких "фотографов" надо "уничтожать", чтобы не портили людям радости свадьбы или другого мероприятия.
Достаточно давно сам столкнулся с таким. Знакомый попросил помочь "коллеге". В то время знания были не те что сейчас и проанализировать нормально не мог. но данные восстановил. Когда речь зашла об оплате, и была оглашена сумма (несоимеримо низкая), то реакция была неадекватная. Вернул карточку назад и предложил "поторговаться на рынке". При этом я то прекрасно знал расценки таких "фотографов" (жлобов).

VitohA · 04.05.2023, 10:31

Цитата (9285) »

Лишь в одной из "фоток" есть начальные и конечные сигнатуры джипегов, но и они относятся к превьюшке. Хотя (структуру джипегов знаю поверхностно) видны характерные для основного блока данных последовательности.

В первой точно не только превьюха, вытащил фотку 5472*3648. Остальные не смотрел.

9285 · 04.05.2023, 12:00

VitohA
Первая - это какая?

VitohA · 04.05.2023, 12:02

Цитата (9285) »

Первая - это какая?

IMG_4844.JPG

9285 · 04.05.2023, 12:08

VitohA
Ну да, в ней есть "фотка", но она без конечной сигнатуры. Да и без Exif, что не характерно для именно фоток.
И как писал выше, в остальных тоже просматриваются элементы (хексы), характерные для фоток - типа всадников без головы, вопрос в том как им голову "пришить" и какую.

Добавлено через 6 минут

Кстати, хотел на канале написать один интересный случай, но всё никак руки не доходят.
Если кратко - у одного человека посыпался диск, плюс буквально перед этим он очистил флэшку фотика и начал записывать данные. Ну и стал вопрос о восстановлении данных. Файловая система частично была повреждена, в том числе и MFT и восстановить все фото было невозможно по данным ФС. Запустил черновой поиск и по его окончанию заметил что восстановленные по нему фотки (по сравнению с тем же файлом восстановленным по ФС) имеют меньший размер файла. Влез в файл и заметил в файле дополнительный блок, вычленив который можно было получить фото, но чуть меньшего качества (кстати, без Exif)ю Что собственно и сделал. И да, там начал было не в начале сектора.

VitohA · 04.05.2023, 12:44

Цитата (9285) »

VitohA
Ну да, в ней есть "фотка", но она без конечной сигнатуры. Да и без Exif, что не характерно для именно фоток.
И как писал выше, в остальных тоже просматриваются элементы (хексы), характерные для фоток - типа всадников без головы, вопрос в том как им голову "пришить" и какую.

Согласен, там "месиво". По-хорошему бы попробовать восстановить файлы с флешки на бис, если там не было больше записей.

03.05.2023, 10:31	Вверх #1
Яр Новенький Автор темы Регистрация: 03.05.2023	Восстановление файлов с фотоаппарата Доброго времени суток! Подруга подрабатывает фотографом, попросила помочь. Всегда снимала в формате CR2, но в какой-то момент поняла, что ей не хватает места на SD и решила доснимать мероприятие в JPEG. Тут то и возникли беды, как оказалось по приезду домой, файлов на флешке нет. Какой-то левой бесплатной прогой она смогла файлы откопать, однако теперь они не открываются с ошибкой в духе "не правильный формат файла", хотя ПК определяет их как JPEG. Дальше за дело взялся я, через программу JPGfix выяснилось, что многие файлы целы на 100%, хотя и есть некоторые битые, таких все же не много. Сама программа фотки не открывает. На сколько удалось выяснить, беда может заключаться в неправильном заголовке изображения. Это совершенно не точно, кроме того, пытался подменять заголовок на взятый из файла сделанного с того же фотика позже, ничего так же не вышло, возможно тут уже мой косяк. К слову, в формате JPEG сейчас фотографии делаются нормально, никаких проблем с ними не возникает В общем, не могу понять, что не так и как бороться с этим, выручайте, великие интернет-умы!

03.05.2023, 14:28	Вверх #10
garniv Модератор Регистрация: 29.06.2004	Цитата (Яр) » Дальше за дело взялся я, через программу JPGfix выяснилось, что многие файлы целы на 100%, хотя и есть некоторые битые, таких все же не много. https://docs.google.com/document/u/0...h.n8dq6288fklc Цитата (Яр) » Сама программа фотки не открывает. Какая программа? Если это о JPGfix, то почему вы тогда пишете что "файлы целы на 100%"? Ведь она и битые открывает. Нипанятна... Еще можно попробовать https://www.disktuna.com/jpegdigger-...hoto-recovery/ __________________ Хочешь помочь новичку — делай вместе с ним. Хочешь помочь старику — делай вместо него. Хочешь помочь мастеру — отойди и не мешай. А хочешь помочь Таргитаю — сам Таргитай. Последний раз редактировалось garniv; 03.05.2023 в 14:32.

03.05.2023, 15:11	Вверх #11
Яр Новенький Автор темы Регистрация: 03.05.2023	Вот скриншот, анализировал один из файлов залитых на гугл диск. Миниатюры

03.05.2023, 15:11	Вверх #12
VitohA 3Dnews fan Регистрация: 13.09.2016 Адрес: Citizen of the World	Файлы явно битые, но данные вроде на месте, надо просто каким-нибудь hex редактором вырезать данные между FF D8 FF и FF D9 байтами. Пруф-превью из первого файла в аттаче. Вот так этот файл можно максимально восстановить (тут не смотрел на реальное окончание файла, так что есть, куда работать): Код: dd skip=$((0x1f8264)) if=IMG_4844.JPG of=output.jpg bs=1 Миниатюры

03.05.2023, 18:08	Вверх #14
VitohA 3Dnews fan Регистрация: 13.09.2016 Адрес: Citizen of the World	Яр, да я сам не занимаюсь подобным =) Но тут должно хватить любого hex-редактора (тот же winhex), которым нужно найти смещения для начала и конца файла. Для простоты хватит и начала, а это простой поиск по FF D8 FF байтам, они показывают на начало jpg файла. Редактор покажет адрес смещения для оных (для IMG_4844.JPG это 0x1f8264), а далее отбрасываем начало файла до данного места через dd, как в примере выше: Код: dd skip=$((смещение)) if=Оригинальный_файл.JPG of=результат.jpg bs=1

03.05.2023, 10:54	Вверх #2
VitohA 3Dnews fan Регистрация: 13.09.2016 Адрес: Citizen of the World	Можете поделиться файлом-примером, на котором не должно быть компрометирующей информации?

03.05.2023, 11:02	Вверх #3
Яр Новенький Автор темы Регистрация: 03.05.2023	При попытке отправить файл как фотку, пишет, что это не фотография)

03.05.2023, 11:12	Вверх #4
VitohA 3Dnews fan Регистрация: 13.09.2016 Адрес: Citizen of the World	Цитата (Яр) » При попытке отправить файл как фотку, пишет, что это не фотография) Ожидаемо =) Но можно заархивировать и приложить как вложение.

03.05.2023, 11:17	Вверх #5
Яр Новенький Автор темы Регистрация: 03.05.2023	А теперь он жалуется на размер, мол более 341кб нельзя. Каждая фотка по 5 Мб весит(

03.05.2023, 11:20	Вверх #6
VitohA 3Dnews fan Регистрация: 13.09.2016 Адрес: Citizen of the World	Цитата (Яр) » А теперь он жалуется на размер, мол более 341кб нельзя. Каждая фотка по 5 Мб весит( Постараемся поправить это как можно скорее, лимиты явно устарели. Пока только могу предложить обходное решение со сторонними файлообменниками.

03.05.2023, 11:22	Вверх #7
Яр Новенький Автор темы Регистрация: 03.05.2023	Могу залить на гугл диск: https://drive. google.com/drive/folders/1-p8fX-wQ-xwYU7dt4TSUt1fobZy9qoPR?usp=sharing Добавлено через 9 минут Есть контакт? Фотки удалось скачать?

03.05.2023, 11:42	Вверх #8
VitohA 3Dnews fan Регистрация: 13.09.2016 Адрес: Citizen of the World	Цитата (Яр) » Есть контакт? Фотки удалось скачать? Да, есть. Теперь надо смотреть, что там и как.

03.05.2023, 14:10	Вверх #9
Яр Новенький Автор темы Регистрация: 03.05.2023	Есть какие-нибудь зацепки? Помочь, может, чем-нибудь надо?

03.05.2023, 17:55	Вверх #13
Яр Новенький Автор темы Регистрация: 03.05.2023	А можете, пожалуйста, объяснить ход действий подробнее? В форме какого-нибудь плана или просто разжевать написанное вами ранее? Раньше не было опыта работы с подобными вещами, полный 0 в данном аспекте.

04.05.2023, 02:27	Вверх #15
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	Фото "фотографов" по определению не могут весить 6 мегов. Да и о другим моментам догадываюсь о каком фотографе идёт речь. Нет места - должна быть другая карта и не одна. А тут, насколько понял, даже проблемную уже пустили в действие. 1. Есть подозрение что пользовались не левой программой, а пиратской. Той же DMDE. А в некоторых ломанных как раз и есть такой эффект - восстанавливаются кривые файлы. При том что фришка восстанавливает нормально. 2. Идёт попытка пролечить какой то "фарш" вместо того чтобы работать если не с оригиналом, то с посекторкой. Уверен, что результат был бы намного лучше, тем более что при желании можно было бы разобраться с причиной. Может кривые записи FAT, может и какой то сдвиг в данных, а может и банальная логческая ошибка. Лишь в одной из "фоток" есть начальные и конечные сигнатуры джипегов, но и они относятся к превьюшке. Хотя (структуру джипегов знаю поверхностно) видны характерные для основного блока данных последовательности. Так что, если я ошибся, и карту ещё не пустили на новые "заработки" - делать посекторку и анализировать структуру данных или просто восстанавливать нормальным софтом. ну а если не ошибся, то и поделом - таких "фотографов" надо "уничтожать", чтобы не портили людям радости свадьбы или другого мероприятия. Достаточно давно сам столкнулся с таким. Знакомый попросил помочь "коллеге". В то время знания были не те что сейчас и проанализировать нормально не мог. но данные восстановил. Когда речь зашла об оплате, и была оглашена сумма (несоимеримо низкая), то реакция была неадекватная. Вернул карточку назад и предложил "поторговаться на рынке". При этом я то прекрасно знал расценки таких "фотографов" (жлобов).

04.05.2023, 10:31	Вверх #16
VitohA 3Dnews fan Регистрация: 13.09.2016 Адрес: Citizen of the World	Цитата (9285) » Лишь в одной из "фоток" есть начальные и конечные сигнатуры джипегов, но и они относятся к превьюшке. Хотя (структуру джипегов знаю поверхностно) видны характерные для основного блока данных последовательности. В первой точно не только превьюха, вытащил фотку 5472*3648. Остальные не смотрел.

04.05.2023, 12:00	Вверх #17
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	VitohA Первая - это какая?

04.05.2023, 12:02	Вверх #18
VitohA 3Dnews fan Регистрация: 13.09.2016 Адрес: Citizen of the World	Цитата (9285) » Первая - это какая? IMG_4844.JPG

04.05.2023, 12:08	Вверх #19
9285 Умудрённый Регистрация: 08.02.2019 Адрес: https://t.me/help9285	VitohA Ну да, в ней есть "фотка", но она без конечной сигнатуры. Да и без Exif, что не характерно для именно фоток. И как писал выше, в остальных тоже просматриваются элементы (хексы), характерные для фоток - типа всадников без головы, вопрос в том как им голову "пришить" и какую. Добавлено через 6 минут Кстати, хотел на канале написать один интересный случай, но всё никак руки не доходят. Если кратко - у одного человека посыпался диск, плюс буквально перед этим он очистил флэшку фотика и начал записывать данные. Ну и стал вопрос о восстановлении данных. Файловая система частично была повреждена, в том числе и MFT и восстановить все фото было невозможно по данным ФС. Запустил черновой поиск и по его окончанию заметил что восстановленные по нему фотки (по сравнению с тем же файлом восстановленным по ФС) имеют меньший размер файла. Влез в файл и заметил в файле дополнительный блок, вычленив который можно было получить фото, но чуть меньшего качества (кстати, без Exif)ю Что собственно и сделал. И да, там начал было не в начале сектора.

04.05.2023, 12:44	Вверх #20
VitohA 3Dnews fan Регистрация: 13.09.2016 Адрес: Citizen of the World	Цитата (9285) » VitohA Ну да, в ней есть "фотка", но она без конечной сигнатуры. Да и без Exif, что не характерно для именно фоток. И как писал выше, в остальных тоже просматриваются элементы (хексы), характерные для фоток - типа всадников без головы, вопрос в том как им голову "пришить" и какую. Согласен, там "месиво". По-хорошему бы попробовать восстановить файлы с флешки на бис, если там не было больше записей.