題 Gimp文件恢復


我需要恢復一些 花邊 來自損壞分區的文件(* .xcf)。我試過testdisk無濟於事。一世  能夠恢復文件 解剖刀。執行此操作的過程是取消註釋手術刀配置文件中的右側行, /etc/scalpel/scalpel.conf 

以下是該文件的摘錄。我把它設置為只查找下面的JPEG文件,

#AOL ART文件
#art y 150000 \ x4a \ x47 \ x04 \ x0e \ xcf \ xc7 \ xcb
#art y 150000 \ x4a \ x47 \ x03 \ x0e \ xd0 \ xcb \ x00 \ x00
#
#GIF和JPG文件(很常見)
#gif y 5000000 \ x47 \ x49 \ x46 \ x38 \ x37 \ x61 \ x00 \ x3b
#gif y 5000000 \ x47 \ x49 \ x46 \ x38 \ x39 \ x61 \ x00 \ x3b
   jpg y 200000000 \ xff \ xd8 \ xff \ xe0 \ x00 \ x10 \ xff \ xd9

為了恢復gimp文件(* .xcf),我需要知道gimp文件的頁眉和頁腳是什麼。使用ghex2查看二進制信息,我能夠查看jpeg文件並確認“ff d8 ff e0 00 10”出現在開頭附近,並且“ff d9”出現在每個JPEG文件的末尾附近。嘗試這種方法,我無法找到gimp文件的頁眉或頁腳。它們似乎沒有文件到文件的任何一致性。

我需要知道gimp文件是否可以通過文件雕刻來恢復。謝謝。


3
2017-07-25 04:19


起源




答案:


TestDisk很棒,但我認為它使用了一種不同的方法,從文件雕刻到取消刪除文件。他們 提到 關於它掃描MFT以恢復文件的事情。你有沒有嘗試過 PhotoRec?它由同一個人製作,它列出了.xcf文件列表 支持的文件。 Photorec似乎使用基於文件雕刻技術的文件雕刻技術 描述

規格 對於.xcf文件類型,顯示xcf文件始終以“gimp xcf”開頭

268     The image structure always starts at offset 0 in the XCF file.
269     
270     byte[9] "gimp xcf " File type magic

enter image description here

我沒有看到它是否有一個頁腳或什麼來指定文件的結尾。它可能只是在整個文件中有一堆值,表明下一個數據塊有多大。這似乎在文檔中表明:

“以下有效載荷的總長度”


1
2017-07-29 19:40





對於期貨參考,這裡是一個帶有文件簽名的列表: http://www.garykessler.net/library/file_sigs.html 例如,對於GIMP,我們添加以下行:

#PAT GIMP文件

   pat      y      20000000      \x47\x50\x41\x54

20000000是一個潛在文件的最大可能大小,我真的不知道寫什麼尺寸所以我只是從png文件'〜'複製一個?


1
2017-07-19 16:06