download pdf file from database in asp.net c# : Clean pdf metadata Library control component .net web page asp.net mvc forensic-explorer-user-guide.en27-part1486

Ch a p t e r   2 3   -   D a t a   R e c o v e r y  
271 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
Figure 214, Recover Folders results 
Clean pdf metadata - add, remove, update PDF metadata in C#.net, ASP.NET, MVC, Ajax, WinForms, WPF
Allow C# Developers to Read, Add, Edit, Update and Delete PDF Metadata
metadata in pdf documents; bulk edit pdf metadata
Clean pdf metadata - VB.NET PDF metadata library: add, remove, update PDF metadata in vb.net, ASP.NET, MVC, Ajax, WinForms, WPF
Enable VB.NET Users to Read, Write, Edit, Delete and Update PDF Document Metadata
read pdf metadata; pdf xmp metadata viewer
272 | Page 
Ch a p t e r   2 3   -   D a t a   R e c o v e r y  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
23.3
NTFS DATA RECOVERY 
When a file is deleted in a NTFS file system, the data content of the file remains 
available for recovery from the newly unallocated clusters. The original data will 
remain in each cluster up until such time as it is used to store new data and the 
previous content overwritten.  
If only a percentage of clusters are reused, then partial recovery, or the recovery of a 
͞data fragment͟, may still be possible. If all clusters are re-used, all original content is 
overwritten and destroyed. 
23.3.1
NTFS - DELETED FILES 
Each file and folder on an NTFS drive has an ͞allocation status͟ set by a flag in the 
Master File Table (MFT) record header. The flag identifies whether it is an ͞allocated͟ 
(active) file, or ͞unallocated͟ (deleted).  To display deleted files, Forensic Explorer 
reads the MFT to find ͞unallocated entries͟. 
Allocation status flag values are shown in the tables Table 1 and Table 2 below: 
Table 1, Allocation status for a file 
Flag Value for a file 
Hex 
Binary 
Status 
00 
00000000 
Unallocated 
01 
00000001 
Allocated 
Table 2, Allocation status for a folder 
Flag value for a folder 
Hex 
Binary 
Status 
02 
00000010 
Unallocated 
03 
00000011 
Allocated 
In Forensic Explorer, the allocation status of a file is shown in Filesystem Record view 
when the file is highlighted: 
VB.NET PDF Convert to HTML SDK: Convert PDF to html files in vb.
Our PDF to HTML converter library control is a 100% clean .NET document image solution, which is designed to help .NET developers convert PDF to HTML webpage
pdf keywords metadata; pdf remove metadata
C# PDF Convert to HTML SDK: Convert PDF to html files in C#.net
Our PDF to HTML converter library control is a 100% clean .NET document image solution, which is designed to help .NET developers convert PDF to HTML webpage
online pdf metadata viewer; remove metadata from pdf acrobat
Ch a p t e r   2 3   -   D a t a   R e c o v e r y  
273 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
Figure 215, Forensic Explorer Record view showing decoded MFT allocation status (an allocated file) 
When the MFT record is marked as unallocated, both the MFT record and clusters 
used to store the data (for non-resident files) become available to store new data. 
However, importantly:  
the file attributes within the unallocated MFT record remain intact; 
the data for the file remains untouched. 
When new data is written to the MFT record or the clusters holding the data, the 
possibility for successful recovery of the deleted file is diminished.  
23.3.2
NTFS - ORPHANS 
In Folders view a folder is created by Forensic Explorer called ͞Orphans͟. Orphans are 
deleted folders and files for which the original parent folder is unknown.  
From the investigators perspective, an orphaned file can be treated in an investigation 
the same way as any other deleted file. The only difference is that it is longer possible 
to determine the location of the file or folder within the directory structure prior to 
deletion. 
An example of how NTF folders and file can become orphaned is as follows: 
1.
A folder on an NTFS drive, ͞PARENT-1͟ is deleted by the user.  At this point 
PARENT-1 and its content, ͞ HILD-FOLDER-1͟, are deleted files. 
2.
The user then saves a new file. The MFT record for PARENT-1 is re-used to 
store information for the new file. The MFT information for PARENT-1 is now 
overwritten and destroyed. 
3.
The computer is then forensically imaged and examined. 
4.
Forensic Explorer reads the file system and CHILD-FOLDER-1 is located. 
Forensic Explorer then tries to trace the parent folder, but determines that 
C# PDF Convert to SVG SDK: Convert PDF to SVG files in C#.net, ASP
Framework 2.0 or above. 100% clean .NET solution for PDF to SVG conversion using .NET-compliant C# language. Easily define a PDF page
endnote pdf metadata; edit pdf metadata
C# PDF Page Rotate Library: rotate PDF page permanently in C#.net
C#.NET PDF page rotator library control, RasterEdge XDoc.PDF, is a 100% clean .NET solution for C# developers to permanently rotate PDF document page and save
google search pdf metadata; edit pdf metadata acrobat
274 | Page 
Ch a p t e r   2 3   -   D a t a   R e c o v e r y  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
the MFT record for the parent folder has been re-used by another file and 
the original information for the parent is no longer available. 
5.
CHILD-FOLDER-1 and its content are available, but Forensic Explorer cannot 
determine where in the tree structure it belongs. The Orphans folder is 
created by Forensic Explorer to hold CHILD-FOLDER-1 and its content. 
23.3.3
NTFS - RECOVER FOLDERS 
͞Recover Folders͟ is a method of searching unallocated clusters to find deleted or 
missing folders and their content. Recover Folders will often locate multilevel folder 
and sub folder structures and make them visible to the investigator within the Forensic 
Explorer module. For this reason it is recommended that a Recover Folders search be 
one of the first tasks undertaken by an investigator in a new case.   
To run a Recover Folders search, click the Recover Folders toolbar icon in the File 
System module: 
Figure 216, Recover Folders File System module toolbar icon 
This opens the Folder Carve options window: 
Figure 217, Recover Folders options 
When the ͞Recover Folders͟ command is executed on a NTFS partition in Forensic 
Explorer, the program searches unallocated clusters for MFT records. 
VB.NET PDF Page Rotate Library: rotate PDF page permanently in vb.
above versions). 100% clean and managed VB.NET solution that rotates PDF document file in Microsoft Framework application. Offer wide
pdf metadata editor; read pdf metadata online
C#: How to Delete Cached Files from Your Web Viewer
in PDF, C#.NET edit PDF bookmark, C#.NET edit PDF metadata, C#.NET VB.NET How-to, VB.NET PDF, VB.NET Word, VB use in your C# web application is to clean up files
c# read pdf metadata; remove pdf metadata
Ch a p t e r   2 3   -   D a t a   R e c o v e r y  
275 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
The process is identical to that described in ͞NTFS Orphans͟ above. The only 
difference is that instead of working with files in existing MFT records, the MFT 
records themselves are recovered from unallocated space. 
.NET PDF SDK | Read & Processing PDF files
advanced document viewing, editing and clean-up features Able to convert PDF documents into other of text, hyperlinks, bookmarks and metadata; Advanced document
add metadata to pdf; pdf metadata viewer online
XImage.Raster for .NET, Comprehensive .NET RasterImage SDK
image information; APIs for image metadata (tag) modify; and contrast; Multiple options for image clean up. & profession imaging controls, PDF document, image to
batch update pdf metadata; analyze pdf metadata
276 | Page 
Ch a p t e r   2 3   -   D a t a   R e c o v e r y  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
23.4
FILE CARVING 
File carving is a well-known computer forensics term used to describe the 
identification and extraction of file types from unallocated clusters using file 
signatures. A file signature, also commonly referred to as a magic number, is ͞a 
constant numerical or text value used to identify a file format or protocol͟ (16). 
An example of a file signature is shown in Figure 218, which is the beginning of a .jpg 
file in Hex view: 
Figure 218, View of .jpg file header 
The object of the carving exercise is to identify and extract (carve) the file based on 
this signature information alone. Carrier (2005) describes File carving as:  
͞…a process where a chunk of data is searched for signatures that correspond 
to the start and end of known file types. The result of this analysis process is a 
collection of files that contain one of the signatures. This is commonly 
performed on the unallocate space of a file system and allows the investigator 
to recover files that hav no metadata structures pointing to them͟. (2) 
23.4.1
CARVING ADVANTAGES AND LIMITATIONS 
File carving has both advantages and limitations. These include: 
File system independent 
File carving is essentially file system independent. A file type will exhibit the 
same file signature and structure on under FAT, NTFS, HFT, EXT2 or other file 
systems and can be data carved accordingly. File carving is also effective 
method of recovery when the file system is corrupt or destroyed. 
Time Required:  
A drawback of file carving is that it can take a considerable amount of time to 
process a large drive. The lower the level of search (i.e. cluster v͛s sector v͛s 
byte), and the greater the number of file signatures searched for 
simultaneously, the longer the search. 
VB Imaging - Intelligent Mail (OneCode) Generator
This professional and 100% clean Intelligent Mail (OneCode) barcode generating SDK allows various image files (like GIF) and common document files (like PDF).
pdf xmp metadata editor; search pdf metadata
.NET Multipage TIFF SDK| Process Multipage TIFF Files
upload to SharePoint and save to PDF documents. Support clean multipage TIFF files with deskew, binarize, despeckle, etc Support for metadata reading & writing.
batch edit pdf metadata; batch pdf metadata editor
Ch a p t e r   2 3   -   D a t a   R e c o v e r y  
277 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
False Positives:   
File carving always brings with it the risk of false positives, where identified 
file signatures are not true identifiers for the start of a file. Searching at the 
lower levels of sector and byte may increase the number of false positives 
because it removes the validation requirement that the signatures must start 
near cluster boundaries. 
Data Fragmentation: 
Without file system records, it is difficult to track a fragmented files. File 
carving relies on the information contained in the file structure and to a lesser 
extent it͛s on disk layout.  
No Original File Names 
As file names are stored only as part of the file system, data carved files 
cannot be recovered with their original name. 
23.4.2
FORENSIC EXPLORER FILE CARVING ENGINE 
Forensic Explorer has an inbuilt file carving engine capable of carving more than 300 
file types.  
To run a file carve using the Forensic Explorer file carving engine: 
1.
Switch to the File System module; 
2.
Click the File Carve button on the ribbon; 
Figure 219, File System module, File Carve button 
The ͞File  arving͟ selection window, shown in Figure 220 will open: 
278 | Page 
Ch a p t e r   2 3   -   D a t a   R e c o v e r y  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
Figure 220, File carving file signature selection window 
CARVE NAME 
The carve name is the name of the folder which holds the carve results. This folder is 
displayed in Folders view of the File System module. The default name, ͞ arve 1͟ can 
be edited during setup of the search. 
Ch a p t e r   2 3   -   D a t a   R e c o v e r y  
279 | Page 
Copyright GetData Forensics Pty Ltd 2010 - 2014, All rights reserved. 
Figure 221, File Carve results 
SOURCE 
A File Carve is usually run on unallocated space. However it is possible to carve on a 
specific file, such as the Windows page file, or a backup file, by first checking the file in 
the File System module and then selecting to carve the checked items. 
CARVE SEARCH MODE: 
Cluster based file carving 
In a cluster based file system like FAT or NTFS a new file must start in a new 
cluster. It follows then that the file signature appears near a cluster boundary. 
Carving speed is therefore achieved by searching for file signatures only near 
cluster boundaries. 
Sector based file carving (recommended)  
It is recommended to perform a lower level search for sector-aligned file 
signatures. This search may recover additional files, for example files from a 
previous volume which had a different cluster layout and is no longer aligned 
to current cluster boundaries. 
NOTE: Carving in sector mode will increase the length of the search. 
Byte based file carving 
In certain situations it is necessary to data carve at a byte by byte level. This 
will locate additional files where the file signature is neither aligned with a 
cluster or sector boundary.  
Sector carving is used to recover files from mobile/cell phone image files.  
NOTE: Carving in byte mode will greatly increase the length of the search. 
280 | Page 
Ch a p t e r   2 3   -   D a t a   R e c o v e r y  
Copyright GetData Forensics Pty Ltd 2010 - 2015, All rights reserved.
SELECTING FILE TYPES TO CARVE 
Select the required file signatures by placing a tick in the selection box and click OK to 
begin the search. 
NOTE: It is recommended that in order to maintain search speed, no more than 10 file 
signatures be selected at one time. 
CARVE PROGRESS 
The progress of the data carve is shown in the processes window. To stop a data carve 
click the stop button in this window. 
DEFAULT SIZE ALLOCATION 
When a file signature of a selected file is located, Forensic Explorer will analyze the file 
structure in an attempt to locate the end of the file. If the file end is not found, but 
sufficient information is found within the file to suggest it will at minimum be partially 
recovered, it is assigned a pre-determined default file size according to that file type. 
LOGGING AND PRIORITY 
See 7.5 - Process Logging and Priority. 
23.4.3
CARVING USING SCRIPTS 
The second file carving method available in Forensic Explorer is to use a custom file 
carving script. An investigator may use, modify or write a script to suit their data 
recovery needs. 
For more information on scripts, please refer to Chapter 18 - Scripts Module. 
Documents you may be interested
Documents you may be interested