Hallo
Het voordeel van foremost en andere datacarving tools is dat ze dus naar de headers en footers
van de verdwenen data kijken. Zoals je hier;
https://help.ubuntu.com/community/DataRecovery kunt zien. (klik op foremost);
"can recover files from a number of filesystems, including fat, ext3 and NTFS"
ook van ntfs dus.
Ikzelf gebruik vaker
photorec hiervoor en uit gemakzucht specificeer ik geen output directory
ook niet bij de enkele keer dat ik foremost inzet, omdat ik al in die directory ga staan.
Ik meen, dat je niet alleen de dir.
recovery aan moet maken, maar ook de subdir
foremost; daarin pas schrijft foremost dan een eigen output dir.
Beter/saver vanuit een forensic oogpunt; maak eerst een imagefile (mits voldoende schijfruimte voorradig)
van de schijf en ga (zoals ook in de manual van foremost staat) daar op aan het werk.
En ntfsundelete werkt wel, maar bijv. niet meer op een corrupt filesysteem, datacarvers wel.
Lees ook de rest van de eerste draad inzake de andere leuke tools, op de site van foremost vind je
bijv. ook oefenmateriaal; images.
Groeten Gerrit
