File carving: gendannelse af filer uden filsystem

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

File carving er gendannelse af filer ud fra deres indhold alene, uden hjælp fra filsystemets oplysninger om navn, placering og størrelse. Metoden søger gennem rå data efter kendte mønstre, typisk den signatur, en filtype begynder med, og skærer data ud derfra. Den kan finde filer i ledig plads, på formaterede medier og i beskadigede filsystemer. Prisen er, at filnavn, mappe og filsystemets tidsstempler normalt er tabt, og at fragmenterede filer ofte kun gendannes delvist eller forkert.

Om slettede filer generelt kan gendannes, er forklaret for alle på Kan slettede filer gendannes?. Her går vi i dybden med metoden.

Gendannelse via filsystemet eller via carving

Når en fil slettes på NTFS, markeres MFT-posten som fri, og klyngerne markeres som ledige i bitmappen. Så længe posten ikke er genbrugt, kan filen gendannes via filsystemet med navn, sti, tidsstempler og placering af alle fragmenter. Det er den bedste form for gendannelse. Se NTFS i dybden.

Når posten er genbrugt, eller filsystemet er formateret eller beskadiget, er forbindelsen mellem metadata og indhold væk. Indholdet kan dog stadig ligge i de ledige klynger. Her overtager carving.

Sådan virker carving

Header og footer

Den enkleste metode søger efter en filtypes startsignatur (header) og slutsignatur (footer) og skærer alt imellem ud. JPEG starter med bytes FF D8 FF og slutter med FF D9, PDF starter med %PDF og har en %%EOF-markering. Mange filtyper har ingen fast footer, og så bruges en maksimal størrelse i stedet. Filsignaturer er beskrevet i Filsignaturer og forkerte filendelser.

Strukturbaseret carving

Mere avancerede metoder læser filformatets interne struktur: længdefelter, sektionsoverskrifter og indekstabeller. Et zip-baseret Office-dokument har en central oversigt over sine dele med størrelser og placeringer, og en JPEG har segmenter med længder. Ved at følge strukturen kan værktøjet bestemme filens reelle længde og opdage, hvor data holder op med at give mening.

Fragmenterede filer

En fil, der ligger i flere ikke-sammenhængende stykker, er den store udfordring. Simpel carving antager, at filen ligger i ét stykke, og giver derfor en fil, hvor første fragment er korrekt, og resten er data fra andre filer. Der findes metoder, der forsøger at finde det næste fragment ved at afprøve kandidatblokke og validere resultatet mod formatet, men de virker kun for visse filtyper og kun ved begrænset fragmentering. Konsekvenserne er behandlet i Delvist overskrevne og fragmenterede filer.

Hvor der carves

Ledig plads på volumenet.
Slack: resten af den sidste klynge efter en fils afslutning, hvor rester af tidligere filer kan ligge.
Hele mediet, herunder områder uden for partitioner, når partitionstabellen er slettet eller ændret.
Sidefil, dvalefil og hukommelseskopier, hvor fragmenter af åbne dokumenter og billeder kan ligge. Dvalefilen er komprimeret og skal udpakkes, før der carves.
Volume Shadow Copies og snapshots, hvor tidligere tilstande af filsystemet kan give bedre gendannelse end carving.
Databaser og containerfiler, hvor indlejrede billeder eller slettede poster kan findes. SQLite har sin egen metode. Se SQLite: WAL-filer og slettede rækker.

Krypterede volumener skal låses op med en lovlig nøgle, før der kan carves. På krypterede data uden nøgle finder carving intet meningsfuldt. Komprimerede filer og NTFS-komprimering skal ligeledes udpakkes først.

SSD’er og flash

På SSD’er sletter TRIM og controllerens oprydning ofte ledige blokke kort efter sletning, så de læses som nuller. Carving i ledig plads på en SSD giver derfor ofte langt mindre end på en harddisk. Det siger ikke noget om, hvad der er slettet, kun at det ikke kan læses. Se SSD, TRIM og gendannelse. På USB-nøgler og SD-kort afhænger resultatet af controlleren og filsystemet.

Fremgangsmåde

Arbejd på en hashkontrolleret kopi, aldrig på originalen.
Gendan først via filsystemet, herunder MFT-poster, papirkurv og snapshots. Carving er det sidste skridt.
Afgræns filtyper efter, hvad sagen drejer sig om. Carving af alle typer giver store mængder støj.
Kør carving på de relevante områder og registrér for hver gendannet fil startoffset og længde.
Valider resultaterne: Kan filen åbnes? Er den hel? Er indholdet sammenhængende, eller skifter det midtvejs?
Hash hver gendannet fil og fjern dubletter, men bevar oplysning om alle fundsteder.
Sammenlign med kendte filer, fx aktive filer på samme medie, for at se, om det gendannede er en slettet kopi af noget, der stadig findes.
Krydskør afgørende fund med et andet værktøj.

Open source-værktøjer og kommercielle forensiske programmer har carving-funktioner med forskellige styrker. Værktøj, version og indstillinger skal noteres, fordi de påvirker resultatet. To værktøjer kan finde forskellige filer i samme område, fordi de kender forskellige filtyper og bruger forskellige regler for, hvor en fil slutter. Det er derfor ikke en fejl, at et andet værktøj giver et andet antal fund, men det skal kunne forklares.

Typiske fejlkilder i fortolkningen

Falske positiver: En byte-sekvens, der ligner en header, kan optræde tilfældigt. Resultatet er en “fil”, der ikke kan åbnes eller er meningsløs.
Sammenblandede filer: En fragmenteret fil, hvor anden halvdel stammer fra en anden fil. Et billede, der skifter motiv eller farver midtvejs, er et typisk tegn.
Miniaturer og indlejrede billeder: En JPEG indeholder ofte en indlejret miniature, og et Office-dokument kan indeholde billeder. De carves som selvstændige filer og kan fejlagtigt opfattes som separate fund.
Cache og systemfiler: Mange carvede billeder stammer fra browsercache, ikonsamlinger eller programmer og har intet med brugerens egne handlinger at gøre.
Antagelse om sletning: At en fil er carvet fra ledig plads viser, at den har eksisteret på mediet, men ikke at nogen har slettet den bevidst. Midlertidige filer slettes automatisk hele tiden.

Hvad carvede filer kan og ikke kan bevise

En carvet fil viser, at et bestemt indhold på et tidspunkt har været skrevet på mediet. Uden filsystemets metadata kan den normalt ikke vise, hvornår filen blev oprettet, ændret eller slettet, hvad den hed, hvor den lå, eller hvilken bruger der havde den. Filens interne metadata, fx EXIF eller Office-egenskaber, kan give noget af det tilbage, men skal fortolkes med de samme forbehold som altid. Placeringen på mediet kan undertiden sige noget om rækkefølge i forhold til andre data, men kun med stor forsigtighed.

At carving ikke finder en bestemt fil, viser ikke, at den aldrig har været der. Se Fravær af spor.

Dokumentation

Angiv i rapporten for hver relevant gendannet fil: kilde (kopi og område), startoffset og længde, metode og værktøj med version, hashværdi, om filen er hel eller delvis, og hvilke metadata der findes og ikke findes. Skriv tydeligt, at filnavne på carvede filer er tildelt af værktøjet.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: BitLocker og FileVault i bevissikring: nøgler og lovlig adgang · Delvist overskrevne og fragmenterede filer: hvad kan konkluderes?

→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik