Es común encontrar casos de recuperacion de archivos que no funcionan, ya sea por la naturaleza de la falla o por errores en el procedimiento de recuperación. A veces los clientes nos traen archivos que “recuperaron” pero que no pueden abrir o usar.
Un editor hexadecimal es una herramienta muy útil para poder determinar el grado de recuperación o reconstrucción de los tipos de archivo mas comunes. Podemos analizar los datos “recuperados” para saber si mantienen al menos una parte de sus estructuras.
Si encontramos que su inicio, fin, tamaño, etc. son correctos, puede ser posible realizar reparaciones posteriores a la recuperación, con lo que se obtiene todo o parte del contenido de dicho archivo.
Por otro lado, si los datos aparecen sin lógica o estructura, podemos saber a ciencia cierta que dichos archivos no se recuperaron correctamente y no se puede avanzar en la corrección de errores, por lo que se deberán intentar otras técnicas de recuperación aplicables al disco o medio original.
El Editor Hexadecimal
Un editor hexadecimal (también conocido como HEX editor) es un programa que nos deja ver un archivo en modo de código de máquina. Cada caracter es traducido a su código equivalente ASCII. Esto es útil cuando debemos identificar el código que pertenece a determinados tipos de archivos, como gif o jpg.
Cualquier editor HEX sirve. Recomendamos XVI32, porque es gratuito, pero hay muchos otros disponibles en la web.
En el contexto de este post, usaremos negritas para mostrar los caracteres en formato HEX. Algunas veces los verás con una “x” al principio. Los caracteres únicos estarán dentro de comillas (“).
Por ejemplo, en ASCII, la letra mayúscula “C” se muestra como 43 en hexadecimal (o x43), o como 67 en decimal.
Para convertir de hex a decimal, tomas el primer número (4) multiplicado por 16, y le agregas el segundo numero (3) para obtener 64+3=67. También puedes usar una calculadora en línea, como esta.
Cómo reconocer los tipos de archivo mas comunes
Archivos JPG
Para identificarlos, hay que abrirlos con un editor de texto (como Notepad). En este caso es muy fácil identificarlo pues a partir del 7° caracter debe aparecer el término “JFIF”.
En editor hexadecimal:
- FF D9 fin del archivo
- FF D8 inicio del archivo
- FF C0 contiene el tamaño del archivo
- Altura del archivo se define en la 4a entrada después del caracter FF C0
- Ancho del archivo se define en la 5a entrada después del caracter FF C0
Como ejemplo, “FF C0 00 11 08 00 D4 01 1B“: Tomamos el 4° y 5° bytes después de C0 (00 D4) multiplicamos el 00 por 256 y agregamos D4 (212) para obtener 212 pixels de alto. Multiplicamos el 01 por 256 y sumamos 1B (27) para obtener un ancho de 283 pixeles.
Archivos GIF
Para identificarlos, hay que abrirlos con un editor de texto (como Notepad). En este caso es muy fácil identificarlos pues comienzan con GIF87a o GIF89a, dependiendo del formato usado.
En editor hexadecimal:
Ejemplo: “47 49 46 38 39 61 96 01 57 02” El ancho está en el 7° y 8° bit, pero los números están invertidos. Para GIF, tomamos el 8° bit (01), lo multiplicamos por 256 y agregamos el 7° bit (96). El ancho es entonces de 406.
Para la altura, tomamos el 10° bit (02), lo multiplicamos por 256 y agregamos el 9° bit (57), para obtener 599.
Archivos WAV
Para identificarlos, hay que abrirlos con un editor de texto (como Notepad). En este caso es muy fácil identificarlos pues comienzan con “RIFF” o “WAVE”, dependiendo del formato usado.
Archivos MP3
Los MP3 no se pueden identificar con Notepad. Al parecer no existe una entrada única, pero el consenso es que inician con FF. El 2°, 3° y 4° caracteres tienen que ver con versiones, layers y bit rates. La regla general parece ser que el 5° caracter es 00. Pero incluso hemos encontrado archivos MP3 con un 00 extra al principio. Así que la regla general es que no hay regla.
Archivos DOC
Para identificarlos, hay que abrirlos con un editor de texto (como Notepad). En este caso es muy fácil identificarlos pues prácticamente todo es texto simple. También podemos encontrar “W o r d D o c u m e n t” cerca del principio o cerca del final del archivo.
Archivos ZIP
Para identificarlos, hay que abrirlos con un editor de texto (como Notepad). Todos los archivos contendrán al inicio “PK”.
Archivos PDF
Para identificarlos, hay que abrirlos con un editor de texto (como Notepad). Todos los pdf comienzan con %PDF-
Un punto importante es que los PDF no tienen marca de fin de archivo, por lo que en muchas ocasiones encontramos que al reconstruir archivos de este tipo, su tamaño se hace descomunalmente grande. Sin embargo, no es un problema que sea insalvable.
Espero que la información anterior te sea de utilidad.
Francisco Maya
Responsable técnico en RecuperacionDeDatos.com.mx. Soy fanático de la recuperación de datos de discos duros dañados y de arreglos RAID. También me gustan el anime, leer, escribir, dibujar; la ciencia ficción, el cine, la cocina, Internet, los videojuegos, el diseño (de interiores, gráfico, de páginas web); la historia, la astronomía, astro-física, y la mecánica cuántica; el marketing, SEO, PPC y la capacitación. Me gustan tantas cosas que no me molestaría vivir por 10,000 años, y aún eso es un límite!
Latest posts by Francisco Maya (see all)
- Recuperación de datos de servidor Dell PowerEdge - abril 10, 2019
- Recuperación de datos de servidores - abril 10, 2019
- Recuperación de datos de servidores HP Proliant - abril 10, 2019
Hola, como hago para recuperar un archivo a partir de un ithmb? aparentemente es de mi cache del ddh y no de un iphone o ipod…
gracias!
El archivo ITHMB contiene una colección de imágenes en miniatura que se almacenan en el dispositivo de medios. Se utiliza para navegar por las imágenes en los iPods o iPhones, así como para la organización de imágenes en los programas de gestión de fotos. ITHMB archivos se pueden convertir en otros formatos de imagen utilizando programas como PicsAid y File Juicer. Aunque probablemente solo se consigan miniaturas y no archivos de alta calidad. Saludos!
Gracias Francisco, puedo preguntarte, tengo el ddh de una pc, como si fuese un disco duro externo…pero estoy usando una mac, me baje el file juicer y no puedo hacerlo…me dijeron que con un hex editor podria estraerlo manualmente pero no se como hacerlo realmente, alguna idea? tendria que usar el file juicer en una pc? tiene algo que ver esto?
gracias de antemano!
Veo que el programa es para Windows, aunque también dice que está disponible para High Sierra (con costo). El programador también ofrece hacer directamente la extracción (con costo). https://echoone.com/filejuicer/forwindows Con el editor hexadecimal es posible pero muy complicado. Saludos!
para un archivo cr2 de canon ( imagen) cual seria ??? saludos
Hola. Que necesitas saber? Saludos!
yo tengo un archivo con extension .dmf y solo puedo abrirlo mediante un hex, en este caso utilizo el “winhex” pero no me sirve porque no me muestra los datos que son como 3000 datos
Si no abre con el programa original seguramente está corrupto, incompleto o dañado. Winhex sirve para abrir cualquier archivo y ver su contenido en modo texto o hexadecimal, no para ejecutarlo.
DESDE UNA COPIA del archivo original puedes intentar compararlo con algún otro archivo dmf que tengas funcional, para que veas su estructura. En ocasiones es posible hacer reemplazo de los headers o footers (entre otros), para restablecer la funcionalidad.
Pero si los dos archivos se ven totalmente diferentes (sobre todo al principio), lo más probable es que tu original esté corrupto, dañado o incompleto, en cuyo caso es prácticamente imposible repararlo. El tema es amplio y varía de caso en caso. Saludos!
cordial saludo, hace un tiempo tomaron unas fotos con una camara digital y al momento de pasarla al computador la persona que lo hizo corto las imagenes y las pego en el momento que las estaba pasando sucedio que el pc se apago, intente recuperar las fotos de la memoria de la camara con software de recuperacion en ese entonces no recuerdo bien si fue recuva o 7 datarecovery lo mas probable es que lo haya intentado con las dos, lo que sucede es que al recuperar el archivo el tamaño de las imagenes corresponde al aproximado real de una foto, pero al intentar abrirlo me dice que “no admite este formato de archivo, en fin intente e intente y por ninguna parte, como mis conocimiento son pocos por no decir que ninguno, las he guardado durante mucho tiempo a ver si algun dia logro aprender la forma de como recuperarla, pues son muy valiosas para mi son de mi matrimonio espero algun dia poder recuperarlas, entonces lei tu post y encontre informacion que es muy valiosa y descargue el edito de hexadecimal pero estoy buscando la forma de editar la cabeza o por lo menos saber si las imagenes si se podrian recuperar pero no logro entender, me gustaria que por favor me orientaras a cual es el paso a seguir que informacion debo buscar, o en lo posible alguna ayuda extra para poder lograrlo, de antemano agradezco mucho su intencion de querer orientar a las personas en un conocimiento mas profundo acerca de estos temas, muchas gracias y estare atento a su respuesta, feliz dia.
Es muy difícil saber si son reparables o no. Lo más viable sería intentar la recuperación desde la memoria original, suponiendo que no la han seguido utilizando. Si esa memoria ya no está disponible podrías enviarnos una muestra de las fotos dañadas para que te digamos que podemos hacer. Saludos!