GUIDE Récupération d'une base de données de mots de passe via photorec

[alexandre01]

Récupération d'une base de données de mots de passe via photorec


Introduction

Photorec, malgré son nom, permet de retrouver des fichiers autres que des images. Ce logiciel est aussi lié à Testdisk, du même auteur.
Ces deux logiciels sont des logiciels libres, et utilisé beaucoup lors de la récolte de preuves lors d'enquêtes.

Sachant que TestDisk permet de récupérer des partitions supprimées par inadvertance, mais aussi de réparer des secteurs de boot, et bien d'autres choses encore, Photorec est l'outil idéal pour récupérer des fichiers.

Une explication sur le forum avait été donnée ici , toutefois, la version de photorec est ancienne.
De plus, on utilisait un liveCD pour récupérer des données.
L'explication dans ce guide l'utilisation dans une distribution GNU\Linux Fedora 29, une distribution GNU\Linux très efficace et très ergonomique, sachant que le gestionnaire de fichiers Gnome 3 est installé.


Contexte


Il n'y a pas si longtemps, un fichier contenant une base de données de mots de passes (plus d'une centaine de mots de passe) a été supprimée par erreur, fichier lié à Keepass2.
Comment retrouver le fichier ? En utilisant Photorec.


Installation de photorec

• Sous fedora, via un terminal:
  
  

   sudo dnf install testdisk

  
  
• Sous Debian:
  
  

   sudo apt install testdisk

RÉSOLUTION

• On lance photorec en tant que root, que ce soit sous Fedora ou Debian et les distributions dérivées de Debian :
  

   sudo photorec

• On sélectionne le disque dans lequel le fichier supprimé était présent, et on valide en sélectionnant sur "Proceed".
  
  
  
  
  
  
• Ensuite, le nouvel affichage représenté par l'image ci-dessous apparaît, on choisit la première ligne dont le terme contient [Whole disk], qui signifie en français [Disque entier].
  
  En effet, l'adressage des secteurs de disques est obscur, il est très difficile de sélectionner la partition qui contenait le fichier supprimé.

  
  
  
• On sélectionne ensuite "File Opt" pour choisir le type de fichier à récupérer.
  
  
  
  
  
  
• On arrive à l'affichage suivant, comme le montre l'image ci-dessous:
  
  
  
  
  
  
• On appuie sur la touche "s" pour désélectionner les fichiers cochés par défaut.
• Ensuite, comme la base de données de mots de passe provient du logiciel Keepass2, ayant pour extension kdbx, on sélectionne kbdx KeePassX, sans oublier de sélectionner kbd KeepassX (pour plus de sécurité).
• On valide les choix en appuyant sur la touche "b" pour sauvegarder les réglages que l'on vient d'effectuer.
• On sélectionne "Quit" pour revenir au menu principal.
  
  
  
  
  
  
• Une fois revenu au menu principal, on sélectionne "Options". L'affichage suivant, représenté par l'image ci-dessous, apparaît et on sélectionne les options suivantes:
  
  
  
  
  
  
• On sélectionne donc:
  • Paranoid : Yes (Brute force Disabled)
  • Keep corrupted files :Yes
  • Expert mode : No
  • Low memory: No
• Une fois nos choix fait, on sélectionne "Quit".

La sélection de ces choix est expliqué ci-dessous, et selon la documentation de photorec:

• On choisit Paranoid: Yes (Brute force Disabled) parce que d'une part, l'option Paranoid permet de trier les fichiers valides et ceux qui sont invalides. D'autre part, on choisit "Brute force disabled", parce que cela ne s'applique que pour récupération plus poussées des images au format JPEG, ce qui n'est pas le cas. Notez que l'option "No" est toujours utile, comme dans le cas de systèmes de fichiers "personnalisés" par des attaquants comme Regin\GrayFish qui semblent utiliser des partitions avec des systèmes de fichiers bizarres à l'intérieur de système de fichiers bizarres.
• On choisit Keep corrumpted files: Yes , cette option permet de récupérer des fichiers invalides, dans l'espoir d'être récupérés un jour par d'autres outils. De toute manière, il vaut mieux avoir plus de fichiers que pas assez dans certains cas.
• On choisit "Expert mode", parce que cette option est seulement utile lorsque le média a été formatée, sans oublier que testdisk sera plus approprié.
• On choisit "Low memory: No", puisque cette option est utile seulement quand la mémoire vive n'est pas satisfaisante, impliquant des crashs de Photorec. Elle est aussi à utiliser quand la récupération de fichiers volumineux et fragmentés est nécessaire, toutefois cette option est à utiliser en dernier recours, sachant de plus que le système de fichier Ext4 se fragmente peu, contrairement au système de fichiers NTFS qui est obsolète aujourd'hui dû sa fragmentation, sans oublier que le système de fichiers NTFS n'est pas trop documenté et est privateur, avec les failles de sécurité qui ont été découvertes et corrigées, celles qui ne sont pas découvertes, et celles qui ne découvertes mais qui sont utilisées.

[*] De retour au menu principal:

• On sélectionne, comme il a été prévu au début de ce post, le disque en sont intégralité [Whole Disk]
• Ensuite, on sélectionne "Search"
• Comme le montre l'écran ci-dessous, on sélectionne le système de fichiers dont le fichier à récupérer était stocké.
• Comme le système de fichier est ext4, on sélectionne donc l'option encadré en rouge, comme visualisé par l'image ci-dessous:
  
  
  
  
  
  
• Ensuite, il faut indiquer à Photorec l'endroit où il faut stocker les fichiers récupérer. Idéalement, la sauvegarde devrait se faire via un média externe, mais dans ce cas, on le sauvegarde dans une autre partition dont le point de montage s'appelle home, stocké dans un SSD qui est distincte de la partition ou était stockée le fichier supprimé, et dont le point de montage s'appelle data, et stocké sur un disque dur mécanique.
  
  
  
  
  
  
• Concernant la navigation en mode texte, le "." indique le chemin actuel, les ".."permettent de remonter au dossier parent.
• Une fois le dossier sélectionné (ici dossier alexandre), on valide en appuyant sur la touche "Q"
• La recherche s'opère, Photorec affiche les résultats:
  
  
  
  
  
  
• En regardant les fichiers récupérés, on constate que les fichiers fonctionnent, mais la taille est hallucinante pour l'un des fichiers (encadré en rouge via l'image ci-dessous, et quelque peu daté). Ce fichier se lance, toutefois, il semble corrompu (un message d'erreur s'affichait, bien que les données comme les identifiants et mots de passes soient intègres, la sauvegarde de nouveaux éléments affiche un message d'avertissement).
• Le fichier encadré en vert via l'image ci-dessous) à une taille infiniment plus réduite, mais trop gros par rapport à une sauvegarde récente, et la sauvegarde de nouveaux éléments affiche un message d'avertissement, bien que les données soient intègres).
  
  
  
  
  
  
• En comparant les fichiers récupérés avec une sauvegarde, le fichier récupéré, encadré en vert est véritablement le fichier supprimé, car il contient les dernières informations ajoutées par rapport à la sauvegarde, le fichier encadré en rouge est un fichier plus ancien.

Toutefois, objectif réussi!

Conclusion

Photorec est un outil puissant, dans ce cas, j'ai pu récupérer ce que je voulais obtenir. Le système de fichiers EXT4 étant peu fragmenté, et de surcroît le fichier supprimé par inadvertance avait été supprimé la veille, la chance était au rendez-vous.

De plus, le fichier était supprimé de manière permanente par une option de Gnome 3, la récupération de fichiers est toujours possible. (Cette option supprime le fichier simplement sans plus, et ne le stocke pas dans la corbeille).

Ne pas oublier que la suppression de données de SSD est délicate par rapport aux anciens outils qui étaient adaptés pour les disques durs mécaniques, puisqu'il existe toujours des traces. Les logiciels tels que shred ou secure-delete ne sont pas adapté pour les SSD, seulement pur les disques durs mécaniques. L'utilisation de ce type de logiciel use prématurément le SSD qu'autre chose.

Auquel cas, si vous ne voulez pas que l'on puisse récupérer vos données, lors d'un vol de disques dur, lors de la première utilisation du SSD ou du disque dur, chiffrez votre système d'exploitation et les disques annexes avec des outils adéquats (n'utilisez jamais bitlocker sous Windows, préférez Veracrypt).
Sous les distributions GNU\Linux, il y a Cryptsetup.

Enfin, paraîtrait-il qu'il existe, pour certaines marques, la possibilité d'effacer les données des SSD via leurs outils, sans oublier hdparm, qui, dans certains cas, peut être utile pour effacer définitivement les données des SSD, et qui sera traité dans un sujet à part.