PCDVD數位科技討論區 - 格式化或刪檔案到底是怎麼救回的？

PCDVD數位科技討論區 (https://www.pcdvd.com.tw/index.php)

- 七嘴八舌異言堂 (https://www.pcdvd.com.tw/forumdisplay.php?f=12)

- - 格式化或刪檔案到底是怎麼救回的？ (https://www.pcdvd.com.tw/showthread.php?t=1185354)

知道諾頓工具...應該有40-50歲了 :nonono:
很多知識已經不適用了

刪除的原理大致如各位說的
但我的疑問是檔案所在FAT被清空，
怎找回分散不連續的磁區，組回一個完整的檔案？
搜尋檔案特徵我覺得怪怪的
因為沒有索引，磁區的內容僅是0101二進制無意義的資料不是嗎？
像是純文字檔，內容是ANSI的字母，也沒什麼特徵才對
還是謝謝各位的解說

引用:

作者天天開心

你就想像一下..
你是救援軟體，
你今天去一家新開的大賣場找東西，因為是新開的，你對裡頭物品配置位置不熟，所以你要一排一排一格一格的找，
你找到的是只原子(010101)嗎? 我相信不是吧.....

引用:

作者天天開心

錯誤

即便沒有索引，檔案本身還是有特徵

檔頭也經常會儲存足夠的相關資訊

你可以用WinHex之類軟體去看*.txt、*.jpg檔案開頭跟結尾

多看幾個就知道有沒有相似之處

索引通常只有路徑跟檔名，實際更多資訊還是儲存在檔案本身

引用:

作者天天開心

在FAT中根目錄與FAT表是分開的,磁碟運作是使用叢集(亦稱磁簇)行處理。
在DOS下FAT表有2份,主/副,當2表不一樣時,表示有幽靈磁區被佔用,這時就用掃瞄方式來找出。
2份FAT表所佔的空間為一個叢集
再來就是根目錄資料區,通常8.3檔名格式,每一檔名資料佔32BYTES,而根目錄最大只可記下512筆。此區也給一個叢集。
FAT表第1,2個連結內容分別由前二個叢集佔位,因此第一個檔的叢集連結記錄由第3個開始。
當刪檔時,只會在檔名第一個字填入刪除標記,其他資料未變動。
在磁碟空間夠多或是根目錄未被全用完,則新檔是不會優先使用己刪的地方,會選擇空的區,因為效率問題,所以諾頓磁碟重整程式內有一項"目錄整理"作的就是清掉被刪的記錄項。

而NTFS又是有自己的運作規則了

表1:

代碼:

ＢＯＯＴ ＳＥＣＴＯＲ 記錄
偏移值 資料大小 說明
００Ｈ ３位元組 跳址指令（Ｖ５版為ＥＢ３Ｃ９０Ｈ）。
３∼０ＡＨ ８位元組 系統名稱。
０ＢＨ以後為ＢＰＢ資料：
０ＢＨ＋００Ｈ ２位元組 每磁區之位元組數（內定為０２００Ｈ）。
０ＢＨ＋０２Ｈ 位元組 每磁簇之磁區數。
０ＢＨ＋０３Ｈ ２位元組 由磁區０開始的保留磁區數。
０ＢＨ＋０５Ｈ 位元組 ＦＡＴ個數（內定為０２）。
０ＢＨ＋０６Ｈ ２位元組 根目錄登錄總數。
０ＢＨ＋０８Ｈ ２位元組 磁區總數（大於６５５３５則此值為０）。
０ＢＨ＋０ＡＨ 位元組 媒質指示。
０ＢＨ＋０ＢＨ ２位元組 每一ＦＡＴ所佔之磁區數。
０ＢＨ＋０ＤＨ ２位元組 每磁軌之磁區數。
０ＢＨ＋０ＦＨ ２位元組 磁頭數。
０ＢＨ＋１１Ｈ ４位元組 隱藏磁區數（內定為０）。
０ＢＨ＋１５Ｈ ４位元組 若８Ｈ＝０則為磁區總數（內定為０）。
０ＢＨ＋１９Ｈ 位元組 實體磁碟機數。
０ＢＨ＋１ＡＨ 位元組 保留。
０ＢＨ＋１ＢＨ 位元組 擴充開機記錄之記名欄。
０ＢＨ＋１ＣＨ ４位元組 由日期時間而得的序列號碼。
０ＢＨ＋２０Ｈ １１位元組 版本標記。
０ＢＨ＋２ＢＨ ８位元組 保留（內存ＦＡＴ型式；為ＦＡＴ１２或ＦＡＴ１６之文字）。

表二

代碼:

ＦＡＴ之記錄方式：
１２ＢＩＴ方式：
偏移
００ 磁片型式碼。
１，２ 不用一般為ＦＦＦＦＨ。
３以後 ＦＡＴ資料，每一磁簇佔１．５位元組。

１６ＢＩＴ方式：
００ 磁片型式。
１∼３ 不用，為ＦＦＦＦＦＦＨ。
４以後 ＦＡＴ資料，每磁簇佔２位元組。

ＦＡＴ狀態值：
０Ｈ 未使用。
２Ｈ∼（Ｆ）ＦＦ６Ｈ 檔的連續值標。
（Ｆ）ＦＦ７Ｈ 受損之磁簇。
（Ｆ）ＦＦ８Ｈ∼（Ｆ）ＦＦＦＨ 檔之結尾。

表3

代碼:

目錄結構
偏移值 資料大小 說明
００Ｈ ８位元組 檔名（不足８字時以空格填滿）。（第１字為Ｅ５Ｈ表刪除。）
０８Ｈ ３位元組 延伸名（不足時填空白）。
０ＢＨ 位元組 檔屬性。
０ＣＨ １０位元組 保留。
１６Ｈ ２位元組 檔時間。
１８Ｈ ２位元組 檔日期。
１ＡＨ ２位元組 起始磁簇。
１ＣＨ ４位元組 檔大小。

參考:
檔名掃瞄程式 PART2 by INT25h

就... 格式化後, 再把543的無關緊要資料塞滿HD啊! 這還算基本常識

引用:

作者天天開心

警局刪影片一案想起多年未解的問題
一些人會說只是清除FAT，檔案實際沒刪除
但FAT就像鏈條，指向下個檔案的磁區
如今沒有這索引，如何在一堆磁區中找出正確的部分？
難道FAT1與FAT2不同步嗎？
...觀念還停留在DOS

這些檔案系統原理還是相同

引用:

作者oxa9615

最近需要消滅………看起來，買新的ssd回來裝比較好。

SSD還是有人可以救

引用:

作者天天開心

原本設計就是有两份FAT
檔案在FAT列表中清除也只是在管理的一份FAT中做
叧一份FAT的不會被清除(两份FAT的工作流程是不一樣的)
而磁區的內容是有規格,只要依着規格
就算两份FAT列表也被清除了,只要沒被上書,
也有方法找到資料的第一段(資料的第一段和其他段落書寫規範不一樣(文件資訊比較多)
找到資料的第一段,也就可找到其他段落

講的簡單一点
就如圖片
PNG圖片一開始就如下標明PNG
‰PNG

㄀㄀㄀

JPG
ÿØÿà㄀JFIF㄀

GIF
GIF89aÍw㄀㄀!ù㄀