Carving, recuperar por firmas cuando no queda registro

El carving busca firmas: secuencias de bytes que abren un formato (la cabecera) y, en muchos formatos, lo cierran (el pie). Un JPEG empieza por FF D8 FF y acaba en FF D9; un PNG empieza por 89 50 4E 47 0D 0A 1A 0A; un ZIP empieza por 50 4B 03 04. Lo recortado entre cabecera y pie es el candidato a archivo.

Como no consulta ningún directorio, lo que sale no tiene nombre, ni carpeta, ni fechas del sistema: las herramientas inventan nombres numerados. Y supone que el archivo era contiguo: si estaba fragmentado, el recorte mezcla datos de otro archivo.

Los primeros bytes de un hallazgo dicen el formato. Se comparan con la tabla de firmas: si la secuencia inicial coincide con la cabecera de un tipo, ese es el candidato. Los bytes que siguen a la cabecera (versión, marcadores) confirman o desmienten: ayudan a descartar coincidencias casuales.

Abre la tabla de firmas y la búsqueda. Fíjate en el desplazamiento por el que se pregunta.

El tamaño de un archivo carvado sale de las posiciones: del primer byte de la cabecera al último byte del pie, ambos incluidos. Si la búsqueda da la posición del primer byte y la del último, el tamaño es la resta más uno. Es lo que se anota en el registro de recuperados y lo que luego se comprueba contra lo que salió al extraer.

Calcula el tamaño del archivo que empieza en el desplazamiento 1048576.

Una cabecera sin pie no es un archivo completo. Puede estar truncado por una sobrescritura, puede estar fragmentado (el resto está en otra parte) o puede ser una coincidencia casual. Si la herramienta recorta hasta el siguiente hallazgo, el resultado contendrá bytes que no son suyos: puede abrirse a medias o mostrar una imagen con franjas de otra.

No se oculta ni se descarta sin más: se conserva, se marca como parcial y no verificado, y no se afirma su contenido.