реклама на сайте
подробности

 
 
> FAT16, восстановление удаленного файла., как работает unerase?
subver
сообщение Jan 18 2012, 05:20
Сообщение #1


Частый гость
**

Группа: Свой
Сообщений: 185
Регистрация: 4-06-05
Из: Омск
Пользователь №: 5 726



Всем привет. Задался тут следующим вопросом.
Где хранится информация в системе FAT16 о цепочке кластеров только что удаленного файла?
Начальный кластер понятно - в записи директории. А последующие?
Вопрос возник вот почему - я отформатировал карточку в Windows.
В ней же записал на нее маленький файл. Просмотрел таблицу FAT в программе WinHEX, в ней разумеется присутствует список кластеров этого файла.
Затем я средствами Windows удалил файл, в записи директории в имени файла прописался символ 0xE5, т.е. в соответствии с документацией на FAT16.
Но при этом в таблице FAT(и первой и второй) записи о цепочке кластеров заменились нулями.
При всем при этом WinHEx продолжает успешно показывать цепочку использованных кластеров и позволяет восстановить данные.
Вот и вопрос - где хранится информация о цепочке использованных кластеров удаленного файла? Спасибо )
Go to the top of the page
 
+Quote Post
 
Start new topic
Ответов
subver
сообщение Jan 18 2012, 15:06
Сообщение #2


Частый гость
**

Группа: Свой
Сообщений: 185
Регистрация: 4-06-05
Из: Омск
Пользователь №: 5 726



Дело не в том, что мне надо восстановить удаленный файл, я просто решил изучить FAT16 изнутри, и сделать функции работы с файловой системой для себя.
В общем пока вывод такой - при удалении файла, необходимо обнулять цепочки кластеров, иначе после удаления свободное место на карте не соответсвует "правде", остаются как выше было сказано "lost cluster chain".
Go to the top of the page
 
+Quote Post
Палыч
сообщение Jan 18 2012, 15:52
Сообщение #3


Гуру
******

Группа: Свой
Сообщений: 2 399
Регистрация: 10-05-06
Из: г. Новочеркасск
Пользователь №: 16 954



Цитата
Неиспользуемым кластерам в таблице соответствуют нули. «Плохим» кластерам (которые исключаются из обработки, например, по причине нечитаемости соответствующей области устройства) также соответствует специальный код.
При удалении файла первый знак имени заменяется специальным кодом E5 и цепочка кластеров файла в таблице размещения обнуляется. Поскольку информация о размере файла (которая располагается в каталоге рядом с именем файла) при этом остаётся нетронутой, в случае, если кластеры файла располагались на диске последовательно и они не были перезаписаны новой информацией, возможно восстановление удалённого файла.

Go to the top of the page
 
+Quote Post



Reply to this topicStart new topic
1 чел. читают эту тему (гостей: 1, скрытых пользователей: 0)
Пользователей: 0

 


RSS Текстовая версия Сейчас: 22nd August 2025 - 13:50
Рейтинг@Mail.ru


Страница сгенерированна за 0.01391 секунд с 7
ELECTRONIX ©2004-2016