Funciones de PhotoRec

Enfoque de recuperación: data carving / por firmas

PhotoRec busca cabeceras de archivo conocidas (firmas) en el soporte. Lee el disco por bloques (o clústeres), comparando cada bloque con la base de firmas integrada. Cuando coincide — por ejemplo JPEG empieza con 0xff 0xd8 0xff — determina el tipo de archivo y extrae los datos hasta el final del archivo (o hasta que lo detengan las comprobaciones).

Como el programa no depende de los metadatos del sistema de archivos (entradas de directorio, tablas de asignación), funciona incluso con el sistema de archivos dañado o el disco reformateado. Sin fragmentación los archivos recuperados pueden coincidir con el original; si el tamaño está en la cabecera PhotoRec trunca al tamaño correcto. Se admite recuperación parcial de archivos fragmentados mediante recomprobación de bloques.

Sistemas de archivos y tipos de soporte compatibles

PhotoRec ignora el sistema de archivos al recuperar; puede recuperar archivos de soportes con (o que tuvieron) sistema de archivos: FAT, NTFS, exFAT, ext2/ext3/ext4 y HFS+. ReiserFS tiene particularidades de almacenamiento que PhotoRec maneja peor. El tamaño de bloque en soportes dañados se determina por el superbloque, el registro de arranque o por los primeros archivos encontrados.

Soportes: discos duros (HDD y SSD), CD-ROM, tarjetas de memoria (CompactFlash, Memory Stick, Secure Digital/SD, SmartMedia, Microdrive, MMC, etc.), memorias USB, imágenes DD raw e imágenes EnCase E01 (EWF). Se usa con éxito en muchas cámaras digitales y reproductores portátiles (por ejemplo iPod).

Formatos de archivo compatibles

PhotoRec reconoce y recupera cientos de formatos: fotos (JPEG, TIFF, RAW — CR2, NEF, ARW, DNG, etc.), vídeo (MP4, MOV, AVI, MKV, WebM, etc.), documentos (PDF, DOC/DOCX, XLS/XLSX, ODT, etc.), archivos comprimidos (ZIP, 7z, RAR, gzip, etc.). En CGSecurity se listan más de 480 extensiones en más de 300 familias de archivos.

Lista completa de formatos recuperados por PhotoRec (CGSecurity) →

Imágenes de disco y opciones forenses

PhotoRec puede recuperar archivos de imágenes de disco raw (por ejemplo image.dd) e imágenes EnCase E01/EWF. Esto permite trabajar de forma segura y repetible con una copia del soporte en lugar del original — útil para forense y respuesta a incidentes. Ejecución desde línea de comandos: photorec image.dd o photorec image.E01.

El parámetro /log crea el archivo photorec.log con el registro de la ubicación de los archivos recuperados para documentación y cadena de custodia.

Seguridad y proceso no destructivo

PhotoRec usa acceso solo lectura al disco o tarjeta de memoria. El soporte original no se modifica.

Importante: No guardes los archivos recuperados en la misma partición o dispositivo del que estás recuperando. La escritura puede sobrescribir los datos que intentas recuperar. Elige siempre un destino en otro disco o partición físicos.

Recomendación: En cuanto detectes archivos borrados o perdidos — deja de usar el dispositivo y no escribas en él archivos nuevos, para maximizar las posibilidades de recuperación.

Rendimiento y limitaciones

• Nombres de archivo y estructura de carpetas: A menudo PhotoRec no recupera los nombres ni la estructura de directorios originales; los archivos se nombran por sector lógico con la extensión añadida. Con el sistema de archivos intacto TestDisk puede recuperar nombres y estructura para FAT/NTFS.
• Duración del escaneo: Un escaneo profundo de soportes grandes puede llevar mucho tiempo. La velocidad depende del tipo de dispositivo, interfaz y tamaño.
• Fragmentación y sobrescritura: Los datos muy fragmentados o sobrescritos son más difíciles o imposibles de recuperar. El éxito no está garantizado.