Lab 1: ️ File Carving - Memulihkan File yang Terhapus

Target Skill: Mahasiswa mampu memulihkan file JPG, PDF, dan DOC dari disk image mentah menggunakan teknik file carving
Tools: dd, foremost, hexdump / xxd
Durasi: 30 menit
Level: Beginner

Mengapa File Carving Penting?

Ketika file dihapus, data-nya tidak langsung hilang. Sistem operasi cuma menandai ruang disk sebagai "kosong" - isi file asli masih ada sampai ditimpa data baru. Inilah kenapa format ulang tidak cukup aman untuk menghapus data rahasia.

File carving adalah teknik mengambil kembali file-file ini dengan mencari file signature (header/footer unik) di raw disk image, tanpa bantuan file system.

Learning Objectives

1. Memahami cara kerja file signature (magic bytes)
2. Membuat disk image simulasi dengan dd
3. Menggunakan foremost untuk file carving otomatis
4. Menganalisis hasil carving dengan file dan xxd

️ Tools & Setup

# Install tools (kalau belum)
sudo apt update && sudo apt install -y foremost xxd file

Langkah Praktikum

Step 1: Buat File Sample

Buat beberapa file dummy untuk di-"hapus":

cd ~
mkdir forensics-lab1 && cd forensics-lab1

# Buat file teks
echo "DATA PENTING: Password admin = SuperSecret123" > dokumen-rahasia.txt
echo "Transfer Bank: Rp 500.000.000 ke rek 1234567890" > transfer-log.txt

# Buat gambar dummy (1MB file random)
dd if=/dev/urandom of=foto-bukti.jpg bs=1M count=1 2>/dev/null

# Buat file PDF dummy (isi random)
dd if=/dev/urandom of=laporan-keuangan.pdf bs=1M count=1 2>/dev/null

Step 2: Cek File Signature

Setiap file punya magic bytes - byte pertama yang mengidentifikasi tipe file:

# Lihat header hex file
xxd -l 16 foto-bukti.jpg
xxd -l 16 laporan-keuangan.pdf

Info: JPG mulai dengan FF D8 FF, PDF mulai dengan %PDF (25 50 44 46)

Step 3: Buat Disk Image

Simulasikan sebuah partisi dengan menggabungkan file-file:

# Gabung semua file jadi satu disk image
cat dokumen-rahasia.txt transfer-log.txt foto-bukti.jpg laporan-keuangan.pdf > disk-forensik.dd

# Lihat ukuran
ls -lh disk-forensik.dd

Step 4: "Hapus" File - Simulasi Forensik

Sekarang kita simulasi file sudah dihapus:

# Buat image baru dengan menimpa awal disk (simulasi format cepat)
cp disk-forensik.dd disk-terhapus.dd

# Hapus "referensi file system" - timpa 1MB pertama dengan nol
dd if=/dev/zero of=disk-terhapus.dd bs=1M count=1 conv=notrunc 2>/dev/null

# Cek - file seharusnya tidak bisa dibaca normal
file disk-terhapus.dd

Step 5: File Carving dengan Foremost

# Buat direktori output
mkdir output-carving

# Jalankan foremost
foremost -i disk-terhapus.dd -o output-carving

# Lihat hasil
ls -la output-carving/
ls -la output-carving/jpg/
ls -la output-carving/pdf/
ls -la output-carving/txt/

Step 6: Verifikasi Hasil

# Cek file yang berhasil direcover
file output-carving/jpg/*
file output-carving/pdf/*

# Baca file teks yang direcover
cat output-carving/txt/*

️ Analisis & Pertanyaan

1. File Signature - Magic Bytes

2. Kenapa File Bisa Direcover?

Ketika file dihapus:

• File system cuma menghapus pointer (inode / MFT entry)
• Data aktual tetap di disk sampai ditimpa
• File carving membaca semua byte dan mencari signature
• foremost memotong data dari header sampai footer (atau ukuran maksimum)

3. Batasan File Carving

Carving TIDAK bisa recover jika:

• Data sudah ditimpa (overwritten)
• File terfragmentasi parah
• Tidak ada signature yang dikenal

Laporan Temuan

Finding 1: File Recovery Rate

Analisis: foremost berhasil memulihkan 100% file karena data belum ditimpa.

Finding 2: Data Sensitivity

• Isi file teks mengandung password dan data transfer bank
• Dampak: Jika disk ini adalah milik perusahaan, kebocoran data bisa menyebabkan kerugian finansial dan reputasi
• Remediasi: Gunakan wipe/shred untuk menghapus data, bukan delete biasa

Korelasi OWASP / CWE / CAPEC

️ Remediasi

Untuk mencegah file carving:

# Cara aman hapus file
shred -vfz -n 3 dokumen-rahasia.txt  # Timpa 3x + zero

Kesimpulan & Refleksi

Apa yang dipelajari:

• File yang "dihapus" sebenarnya masih ada di disk
• File carving bekerja dengan mencari magic bytes header/footer
• foremost bisa memulihkan berbagai tipe file otomatis
• Data sensitif harus di-shred, bukan di-delete

Refleksi untuk mahasiswa:

"Sebagai calon ahli IT, kamu harus paham bahwa delete != aman. Nasib data perusahaan bisa tergantung pada keputusanmu dalam menghapus file. Selalu gunakan shred untuk data rahasia."

Referensi

• Foremost Documentation
• File Signatures Table - Gary Kessler
• Sleuth Kit Documentation

🔬 Lab 1 Selesai! Lanjut ke Lab 2: Timeline Analysis

Generated by @farishhz Agent Pentest Pipeline - TDCTF Security Academy