PhotoRec
PhotoRec est un logiciel libre de récupération de données conçu pour récupérer les fichiers perdus des mémoires des appareils photos numériques (CompactFlash, Memory Stick, Secure Digital, SmartMedia, Microdrive, MMC), disque durs, clé USB et CD-ROM.

Il récupère les formats de photos les plus courants, notamment JPEG, mais aussi des formats audios (MP3, Ogg…), des formats de documents comme OpenDocument, Microsoft Office, PDF et HTML et des archives (ZIP, RAR…).

PhotoRec n'essaie pas de réparer le support endommagé de l'utilisateur, mais il tente d'en extraire les données et va écrire les fichiers récupérés vers un répertoire du choix de l'utilisateur.
PhotoRec peut être utilisé pour de la récupération de données mais également pour la recherche de preuves numériques.

PhotoRec est distribué avec TestDisk.

PhotoRec est disponible pour plusieurs systèmes d'exploitation :
 DOS (en mode réel ou bien dans une fenêtre DOS de Windows 9x) ;
 Microsoft Windows (NT4, 2000, XP, Vista,  7, 8, 8.1, 10, 11) ;
 Microsoft Windows Server (2003,  2008) ;
 Linux ;
 FreeBSD, NetBSD, OpenBSD ;
 SunOS ;
 Mac OS X.

Principe de fonctionnement de PhotoRec 
Les systèmes de fichiers FAT, NTFS, ext2/ext3/ext4 enregistrent les fichiers dans des blocs de données (ou sous Windows en anglais ). La taille d'un bloc de données est un nombre constant de secteurs défini lors du formatage du système de fichiers. En général, la plupart des systèmes d'exploitation essaient de stocker les données de manière contiguë de façon à minimiser la fragmentation. Le temps de recherche (en anglais ) des disques mécaniques est significatif lors des opérations de lecture depuis ou d'écriture vers un disque dur, c'est pourquoi il est important de maintenir la fragmentation à un niveau minimum.

Quand un fichier est supprimé, les méta-informations (nom de fichier, date/heure, taille, emplacement du premier bloc de données…) sur ce fichier sont perdus. Par exemple, sur un système de fichiers ext3 ou ext4, le nom des fichiers effacés reste présent, mais l'emplacement du premier bloc de données est perdu. Cela signifie que les données sont toujours présentes sur le système de fichiers, mais seulement jusqu'au moment où tout ou partie de ces données seront écrasés par les données d'un nouveau fichier.

Pour récupérer ces fichiers perdus, PhotoRec commence par déterminer la taille des blocs de données. Si le système de fichiers n'est pas corrompu, cette information peut être lue depuis le superblock (ext2/ext3/ext4) ou du secteur de boot (FAT, NTFS). Sinon, PhotoRec lit le support, secteur par secteur, à la recherche des dix premiers fichiers à partir des emplacements desquels il calcule la taille des blocs. Une fois la taille des blocs connue, PhotoRec lit le support bloc par bloc (ou cluster par cluster). Les données de chaque bloc sont comparées par rapport à une base de signatures. Cette base de signatures native au produit n'a cessé de s'étoffer avec chaque nouvelle version depuis la création du logiciel. Cette technique de récupération de données est appelée en anglais .

Par exemple, PhotoRec identifie un fichier JPEG lorsqu'un bloc de données commence par :
 SOI (Start Of Image) + APP0: 0xff, 0xd8,0xff, 0xe0
 SOI (Start Of Image) + APP1: 0xff, 0xd8,0xff, 0xe1
 ou SOI (Start Of Image) + Comment: 0xff, 0xd8, 0xff, 0xfe

Si PhotoRec est déjà en train de récupérer un fichier, il arrête sa récupération, vérifie si possible sa cohérence et commence à sauvegarder ce nouveau fichier qu'il a déterminé à partir de la signature qu'il a trouvée. Il arrive cependant qu'un nouveau fichier soit détecté de façon erronée du fait de la présence dans le flux de données d'une fausse signature correspondant à un fichier d'un autre type : dans ce cas le fichier précédent est tronqué ou corrompu au-delà de ce point, alors même qu'il était enregistré de façon séquentielle et donc récupérable en totalité (dans un tel cas, on peut tenter d'extraire manuellement le fichier au moyen d'un éditeur hexadécimal en utilisant le nom du fichier, comportant toujours une lettre suivie du numéro du premier secteur).

Si les données ne sont pas fragmentées, le fichier récupéré doit être identique à l'original ou avoir une taille potentiellement plus grande que le fichier original. Dans certains cas, PhotoRec peut apprendre la taille du fichier original à partir de l'en-tête du fichier, le fichier récupéré est alors tronqué à la bonne taille. Si le fichier sur le point d'être récupéré s'avère plus petit que la taille déterminée à partir de l'en-tête, ce fichier est ignoré car invalide (sauf si l'on a sélectionné l'option « Keep broken files » avant de lancer l'analyse, auquel cas même les fichiers partiels sont extraits, certains peuvent être quand même lisibles jusqu'au point de rupture, d'autres non, lorsque des informations essentielles se trouvent en fin de fichier, ce qui peut être le cas par exemple des fichiers vidéo en conteneur MP4). Certains fichiers comme les MP3 sont constitués de flux de données, dans ce cas, PhotoRec analyse les données récupérées et arrête la récupération avec l'arrêt du flux.

Quand un fichier est récupéré avec succès, PhotoRec vérifie à nouveau les blocs de données précédents pour le cas où la signature d'un fichier aurait été trouvée sans que le fichier puisse être récupéré avec succès (par exemple, si le fichier était trop petit par rapport à la taille spécifiée dans son en-tête), et essaie à nouveau de le compléter. De cette façon, certains fichiers fragmentés sont récupérés avec succès.

Popularité 
TestDisk et PhotoRec ont été téléchargés plus de  fois en juillet 2008 depuis le site internet principal. En fait, ces utilitaires sont mêmes plus populaires car ils se retrouvent dans divers Live CD Linux :
 Recovery Is Possible, un dérivé Slackware
 Knoppix STD
 GParted Live CD
 Iloog
 Parted Magic
 PLD Live CD et PLD RescueCD, basé sur la distribution Linux PLD
 Slax-LFI, une distribution dérivée de Slax
 SystemRescueCd
 Trinity Rescue Kit
 Ubuntu Rescue Remix, un dérivé de Ubuntu

Ils sont aussi disponibles pour de nombreuses distributions Linux :
 ALT Linux
 ArchLinux Extra Repository
 Debian contrib
 Fedora Extras
 Red Hat Entreprise Linux/CentOS via EPEL
 FreeBSD ports
 Gentoo et Gentoo Portage
 Mandriva contrib
 PLD Linux Distribution
 Source Mage GNU/Linux
 Ubuntu

Liens externes 
 Page française de PhotoRec
  Adrian Crenshaw, Data Carving with PhotoRec to retrieve deleted files from formatted drives for forensics and disaster recovery. Cette vidéo introduit le concept de recherche directe de données/fichiers pour récupérer des fichiers effacés à l'aide de PhotoRec, même si le disque a été reformaté.
  Seth Fogie - InformIT, Stealing Your Family Vacation: Memories of a Media Card Les risques liées à la revente ou au recyclage de cartes mémoires et autres supports informatiques usagés, il reste souvent des données que PhotoRec peut récupérer.
  Kaspersky Lab, Recovering files encrypted by Virus.Win32.Gpcode.ak using PhotoRec Après avoir chiffré les fichiers, le virus efface l'original mais PhotoRec peut les récupérer.

Références 

Mémoire informatique
Logiciel de sécurité informatique
Informatique légale
Logiciel libre de sécurité informatique
Logiciel de récupération de données