Dateien mit Hex-Editor reparieren: Welcher Bereich ist der Body-Part?

[S3veny]

Guten Morgen,

Hoffe mal das ist das richtige Unterforum. Versuche hier gerade eine wiederhergestellte PDF-Datei zu rekonstruieren. Obwohl die Datei laut Recovery-Tool kein überschriebenen Cluster enthält, ist anscheinend der Header schrott. Habe mir jetzt ein paar Dateien angesehen und den Aufbau recherchiert, leider ist mir immer noch unklar wo genau der Body-Part also der eigentliche Inhalt der PDF anfängt und wo er endet.

Hat damit vielleicht Jemand Erfahrung und kann mir helfen?

​Gruß

 

[HominiLupus]

Wenn der Header "Schrott" ist, muss es bei einem 512 Byte Boundary sein. Du siehst selber wo der "Schrott" aufhört oder?

PS: Ich sehe nur 2 Zeilen die man als Header bezeichnen kann bei den PDFs aus meinem Temp Ordner:
%PDF-1.7
%âãÏÓ

Wobei die 1. Zeile eben die PDF Versions Spec ist, und die 2 teilweise anders aussieht, aber immer ähnlich. Danach kommen einfach die Objekte die das PDF ausmachen. Der Teil der eben wie Postscript aussieht, und Binärdaten als Stream.

 

[tiash]

Vielleicht kann dir die Arbeit von Ange Albertini (a.k.a. Corkami) bei deinem Vorhaben helfen.
https://speakerdeck.com/ange/lets-write-a-pdf-file
Der hat ziemlich viel in Richtung PDF gemacht und das Dateiformat ordentlich auseinander genommen.

 

[S3veny]

Erstmal Danke für die Tipps.
Vorallem das Video erklärt den Aufbau ziemlich gut.

Sehe gerade nur, ist wohl was komplizierter, es fehlt wohl auch die xref-table. Also entweder ist dort doch was überschrieben worden oder es fehlt einfach komplett alles. Beim öffnen mit PDF-Tools bekomm ich nur die Fehlermeldung, es handelt sich nicht um eine PDF. Habe mich mal hier eingelesen aber leider fehlt mir immer noch die Übersicht. Meine Idee wäre eine bestehende PDF-Datei quasi als dummy zu nehmen und einfach den entsprechenden Part der den eigentlichen Inhalt enthält mit der von der anscheinend zerstörten zu tauschen.

*entf*
Die wiederhergestellte Datei hat entgegen nur den "unlesebaren" Part. Leider erkenne ich dort jetzt nicht wo ich das ganze hinpacken müsste. Vermutung liegt nahe ".stream.", aber das scheint nicht zu funktionieren...

Update:
Mir kommt da gerade eine Idee woran das liegen könnte. Stichwort: Kompression
Eventuell muss ich nochmal das Recover-Tool starten, dort gab es eine Option um nach komprimierten Dateien zu suchen. Nur dachte ich damit wären speziell Archive gemeint. JPEG oder MP3 sind ja schließlich auch komprimiert und zählen als "Media-Formate".

Ergänzung (11. Mai 2016)

Keiner eine Idee?

 

[Plaste]

Das Problem ist, das der "Datenstrom" mit der Funktion der zlib komprimiert sein kann. Sollte der Dateianfang und damit auch ein komprimierter Teil der Daten fehlen, ist ein entpacken erst ab einem 2. seperaten Datenstrom möglich.
Ansonsten sehe ich da keine Möglichkeit mitten drin einfach mit der Dekompression zu beginnen.