El documento describe una práctica de laboratorio sobre la recuperación de archivos eliminados. El estudiante debe calcular el hash SHA1 de un archivo proporcionado, usar Winhex para obtener metadatos de un archivo eliminado como el nombre, fecha y tamaño, recuperar el archivo, calcular el hash del archivo recuperado y obtener los metadatos asociados.

1. Asignatura Datos del alumno Fecha
Informática Legal
Apellidos: Pillajo Montalvo
14-12-2020
Nombre: Esteban Patricio
Práctica de Laboratorio N0 1 Msc. Diego Baroja Llanos
Actividades
Trabajo: Recuperación de ficheros eliminados
El objetivo de esta actividad es ver y entender de manera práctica lo que se ha explicado
para recuperar información eliminada. Durante el desarrollo de la misma, has de
recuperar de manera manual, tal y como se explica el archivo eliminado dentro de una
partición FAT32 y visualizar los metadatos asociados a dicho archivo.
Antes de comenzar, es recomendable leer el artículo How FAT Works. En especial el
apartado FAT Root Folder, donde se explica el esquema utilizado para almacenar las
entradas del directorio raíz de una partición FAT. El artículo está disponible en:
http://technet.microsoft.com/es-es/library/cc776720%28v=ws.10%29
Para realizar la práctica, se puede utilizar el software que crea conveniente, aunque se
recomienda utilizar: AccessData FTK Imager, Winhex y FCiv (o cualquier otro software
que permita el cálculo de hashes). Para el análisis de los metadatos puede utilizar
ExifTool, o la herramienta online Metashield Analyzer1.
Para realizar la práctica se debe hacer lo siguiente:
Calcular el SHA1 del archivo facilitado para realizar la práctica (archivo
VHD03.E01).
1
https://metashieldanalyzer.elevenpaths.com/

2. Asignatura Datos del alumno Fecha
Informática Legal
Apellidos: Pillajo Montalvo
14-12-2020
Nombre: Esteban Patricio
Práctica de Laboratorio N0 1 Msc. Diego Baroja Llanos
Resultado MD5: 96A11C5AE458E32A41A907577FF8B7FE
Resultado SHA-1: C46824C453E639F6771CF45F3008C1A98CAC5C3C
Obtener mediante Winhex y haciendo uso de las plantillas incluidas:
o Nombre y extensión del archivo eliminado.
o Fecha de creación, modificación y último acceso.
o Tamaño del archivo.
o Clúster inicial.
o El offset inicial y final del archivo.
Recuperar el archivo eliminado.
Calcular el SHA1 del archivo recuperado.
Obtener los metadatos asociados al archivo recuperado.

3. Asignatura Datos del alumno Fecha
Informática Legal
Apellidos: Pillajo Montalvo
14-12-2020
Nombre: Esteban Patricio
Práctica de Laboratorio N0 1 Msc. Diego Baroja Llanos

4. Asignatura Datos del alumno Fecha
Informática Legal
Apellidos: Pillajo Montalvo
14-12-2020
Nombre: Esteban Patricio
Práctica de Laboratorio N0 1 Msc. Diego Baroja Llanos

5. Asignatura Datos del alumno Fecha
Informática Legal
Apellidos: Pillajo Montalvo
14-12-2020
Nombre: Esteban Patricio
Práctica de Laboratorio N0 1 Msc. Diego Baroja Llanos

6. Asignatura Datos del alumno Fecha
Informática Legal
Apellidos: Pillajo Montalvo
14-12-2020
Nombre: Esteban Patricio
Práctica de Laboratorio N0 1 Msc. Diego Baroja Llanos

7. Asignatura Datos del alumno Fecha
Informática Legal
Apellidos: Pillajo Montalvo
14-12-2020
Nombre: Esteban Patricio
Práctica de Laboratorio N0 1 Msc. Diego Baroja Llanos

8. Asignatura Datos del alumno Fecha
Informática Legal
Apellidos: Pillajo Montalvo
14-12-2020
Nombre: Esteban Patricio
Práctica de Laboratorio N0 1 Msc. Diego Baroja Llanos
Resultado: ABDC38398B9C36B4E846F061CBF7044B613AB906

9. Asignatura Datos del alumno Fecha
Informática Legal
Apellidos: Pillajo Montalvo
14-12-2020
Nombre: Esteban Patricio
Práctica de Laboratorio N0 1 Msc. Diego Baroja Llanos
Los datos relativos a las fechas
• Fecha de creación: 8/22/2008 9:07:44 PM
Información EXIF
• SALIR miniatura
• Descripción imagen: Plaza Mayor de Madrid

10. Asignatura Datos del alumno Fecha
Informática Legal
Apellidos: Pillajo Montalvo
14-12-2020
Nombre: Esteban Patricio
Práctica de Laboratorio N0 1 Msc. Diego Baroja Llanos
• Marca: NIKON CORPORATION
• Modelo: NIKON D60
• Orientación: Arriba, lado izquierdo (Horizontal / normal)
• X Resolución: 300 puntos por pulgadas
• Y Resolución: 300 puntos por pulgadas
• Unidad de resolución: Pulgadas
• Software: V.1.00
• Fecha / Hora: 2008: 08: 22 21:07:44
• Artista: Lourdes Martínez
• YCbCr Posicionamiento: Punto de referencia
• Tiempo de exposición: 1/60 seg
• F-Número: F 3.5
• Clasificación de Velocidad ISO: 1600
• Exif versión: 2.21
• Fecha / Hora original: 2008: 08: 22 21:07:44
• Fecha / Hora digitalizado: 2008: 08: 22 21:07:44
• Componentes de configuración: YCbCr
• Comprimido bits por píxel: 4 bits / pixel
• Valores de exposición parcial: 0
• Max Valor de Apertura: F 3.5
• Modo medición: Multisegmentos
• Fuente de luz: 0
• Flash: Flash disparado, detectado retorno, Auto
• Distancia focal: 18.0 mm
• Usuario Comentario:
• Sub-Sec Tiempo: 30
• Sub-Sec Hora original: 30
• Sub-Sec Tiempo Digitalizado: 30
• FlashPix Version: 1.00
• Espacio de color: sRGB

11. Asignatura Datos del alumno Fecha
Informática Legal
Apellidos: Pillajo Montalvo
14-12-2020
Nombre: Esteban Patricio
Práctica de Laboratorio N0 1 Msc. Diego Baroja Llanos
• Exif de la imagen Anchura: 3872 píxeles
• Exif altura de la imagen: 2592 píxeles
• Método de detección de un chip sensor de área de color
• Archivo de origen: Cámara fotográfica digital (DSC)
• Tipo de escena: imagen directamente fotografiada
• Patrón CFA:
• Rendida por el usuario: 0
• Modo de exposición: exposición automática
• El modo de balance de blancos: el balance de blancos automático
• Relación de zoom digital: 1
• Longitud focal en película de 35 mm: 27 mm
• Escena Tipo de captura: Estándar
• Control de ganancia: Baja disminución de ganancia
• Contraste: Ninguno
• Saturación: Ninguno
• Nitidez: Ninguna
• Título (Win): Plaza Mayor de Madrid
• Autor (Win): Lourdes Martínez
• Palabra Clave (Win): Madrid, Plaza Mayor
• Compresión: JPEG (estilo antiguo)
• Miniatura Offset: 30194 bytes
• Miniatura Longitud: bytes 5546
• Miniatura de datos: [5546 bytes de datos de imágenes en miniatura]