Как корректно искать .deb в DMDE?

[ase66]

У меня погиб диск с ext4. Он не перезаписывался, просто слетела вся разметка.
Gparted - gpart после 14 часов работы заявил, что диск пуст.
TestDisk нашел разделы, но не файлы на них.
R-studio нашел разделы и файлы на них, но насмерть завис на просмотре раздела. Похоже, что не хватило памяти. Диск большой файлов очень много.
DMDE нашел разделы и файлы на них. Пробное восстановление пары файлов прошло успешно. Сейчас ищет .png.

Но мне нужно найти .deb. В списке поиска по сигнатурам я их не нашёл (в отличии от R-studio где они есть).


Однако в DMDE можно указать собственные сигнатуры для поиска.
Строго первые 4 байта.

В hexe вижу в .deb это:

Код: [Выделить]

!<arch>
debian-binary
получается что нужно вписать

Код: [Выделить]

\21\3C\61\72 16-ричного кода

или из область адресов

Код: [Выделить]

!<ar
Так ли это?

Не лучше ли указать debi или типа того?

В DMDE можно указать максимальное смещение от начала файла для сигнатур. Но она должна целиком умещаться в 4096 байта.

[Skif_off]

"!<arch>\n", в hex: \x21\x3C\x61\x72\x63\x68\x3E\x0A
Смещение 0.

[ase66]

или \x21\x3C\x61\x72

в мануале не более 4 знаков

и как читать "!<arch>\n"

в мануале, как пример указаны опять же 4 буквы %PDF

может всё же !<ar

[Skif_off]

в мануале не более 4 знаков

Где там это написано?

в мануале, как пример указаны опять же 4 буквы %PDF

Не очень убедительно, сигнатура PDF - это обычно 4 байта ("%PDF") или 5 байт ("%PDF-").
Жаль, нельзя посмотреть сигнатуры из коробки, у некоторых типов файлов в списке сигнатура больше 4 байт.

Кстати, сигнатура "\x21\x3C\x61\x72\x63\x68\x3E\x0A" сохранилась как "\x21\x3Carch\x3E\x0A", кажется, но я бы всё равно записывал в hex.

P.S. Как вариант - искать сигнатуры упакованных TAR'ов, т.к. формат DEB простой - там в начале сигнатура, смещения и размеры control.tar.* и data.tar.*, явно меньше ограничения в 4096 байт.
P.P.S. Можно с автором связаться.

[ase66]

После 40 часов работы по сигнатуре \x21\x3C\x61\x72
получено 50000 разных архивов. Как я и опасался с !<arch> начинаются многие архивы вообще.
Не найдены архивы и .deb размером более 4 MB. В роде я ничего не ограничивал, всё в дифаультных настройках.


Нужно получить характерную именно для .deb сигнатуру.  И попытаться ешё раз.


man

Сигнатуры файлов

Сигнатура файла - фиксированная последовательность байтов в начале файла
определённого типа. Например, при открытии любого PDF-файла в
шестнадцатеричном редакторе можно увидеть одну и ту же
последовательность первых 4 байт:

Код: [Выделить]

0000:
25 50 44 46 2D 31 2E 33
0A ...
%PDF-1.3...
В этом случае в DMDE можно задать сигнатуру строкой %PDF (или
\x25\x50\x44\x46 с использованием шестнадцатеричных кодов). Для указания
произвольного байта используется знак вопроса (?). Код \mXY обозначает
фиксированную битовую маску предыдущего байта сигнатуры, где XY -
шестнадцатеричное значение маски (например, код \x05\m07 указывает, что
маской 7 = 00000111 (bin) фиксированы только три младших бита значения
5 = 00000101 (bin)).
Если позиция сигнатуры в файле не фиксирована, необходимо указать
минимальное и максимально возможное смещение от начала файла.
Сигнатура должна целиком умещаться в первые 4096 байта.

Если кто знает, то пишите.  Я попробую ещё.

И ещё странность. Ghex из Ubuntu 24.04 показывает начало одного и того же .deb с большим пропуском после !<arch>
А Ghex из Ubuntu 14.04  без пустого места, плотно. Как это понимать?

[Skif_off]

Странно, сигнатура достаточно специфическая и другая вряд ли возможна, структуру тут можно посмотреть.
Проверил \x21\x3C\x61\x72\x63\x68\x3E\x0A - работает: DMDE нашла 4400 с копейками, ФМ - 3700 с копейками, восстановил с десяток файлов - норм. Правда, всё это на томе NTFS (дефрагментированном).
Большей проблемой будет найти конец файла, бо в DEB нет маркера конца файла, размер высчитывается из заголовка.

[ase66]

Программа сама находит .deb, они будут в папке NonameFiles. Но нужно дополнительно провести поиск в найденом по маске DEB. Будет выведен список всех .deb без имён, но зато с датой изменения.