[b.....r]

Odzyskiwania danych dzień drugi.

Zakończyło sie odratowywanie plików z dysku 2TB. Problem w tym, że tylko plików, bez nazw, struktury katalogów i w wielu przypadkach z niepoprawnymi metadanymi - photorec nie używa informacji ze szczątków MFT nawet jeśli je znajdzie, zamiast tego na ślepo czyta cały klaster z dysku. Toteż praktycznie wszystkie pliki mam "uzupełnione" śmieciami do 4kB. O ile w przypadku formatów złożonych(np. paczki zip/rar/7z, ale nie gz/bzip) nie jest to dużym problemem, ponieważ nagłówek pliku zawiera dokładną dlugość danych, o tyle np. pliki .exe są zniszczone(ponieważ nagłówek PE-EXE zawiera dokładną sume kontrolną wszystkiego, co jest za nagłówkiem), spora część multimediów ma nieprawidłową długość(ciekawostka: formaty MP3/MP4 są na to odporne - długość pliku jest w nich bezpośrednio czytana z nagłówka, a nie z rozmiaru pliku jak w przypadku np. WMV), a pliki tekstowe to już w ogóle sajgon zawierający fragmenty danych sprzed kilku(-nastu) miesięcy.

Ze wstępnej analizy odzyskanych danych: udało się odratować ponad 90% plików. Nie odzyskał się jeden spory folder, który jednak nie powinien być nadpisany - zobaczymy, może uda się go odzyskać później

Co ciekawe, photorec odczytał jednak skrawki MFT i katalogów. Czyli teoretycznie jest szansa na odtworzenie struktury katalogów, oryginalnych nazw plików i rozmiarów. Toteż noc spędziłem na analizie tych fragmentów(tu świetna pomoc: http://www.amazon.com/System-Forensic-Analysis-Brian-Carrier/dp/0321268172 ) i tworzeniu programu, który na podstawie tego co mam(skrawki katalogów, odzyskane pliki, skrawki MFT, obraz dysku) spróbuje odtworzyć poprawną strukturę katalogów. Wstepny test w okolicy 5 rano pokazał, że udało mi się odtworzyć niemal kompletny układ katalogów używając wyłącznie fragmentów MFT i zachowanych katalogów - przy formacie FAT nie byłoby to możliwe przez stały rozmiar tablicy plików, w NTFS MFT przyjmuje dynamiczny rozmiar, toteż nie została całkiem nadpisana mimo sformatowania partycji. Przed wyjściem do pracy odpaliłem programik razem z przywracaniem rozmiarów plików - zobaczymy, co zastanę po powrocie.

Pliki z NASa nadal się odtwarzają. Dotychczasowy koszt operacji - bez zmian od wczoraj.

#informatyka #microsoftcwel #benethordatarecovery

spamlista: @grzesiek23Gda @jarzabek @remi13 @Morfi_pl @Soho @pauvre @RRybak @Shirako @anonim1133 @pingwindyktator @KokiX @samseusun @SPGM1903 @KCPR @adam-dobrawy

[Morfi_pl]

@benethor: nie było nic gotowego do odzyskiwania struktury z nagłówków?

[KCPR]

Weź po tym wszystkim pojedź na wakacje i odpocznij ( ͡° ͜ʖ ͡°)

[b.....r]

@Morfi_pl: było, ale kosztowało dodatkowe 300+ PLN. Darmowych i dobrych nie ma z tego co szukałem

[Morfi_pl]

@benethor: fakturuj to na mikrosofta... Na pewno bym im wysłał kilka ciepłych słówek. swoją drogą ciekawe, co by odpowiedzieli. zaczynam się bać o swoje dyski - czy mi ich nie zajedzie jakas niespodziewana aktualizacja. chyba trzeba je podłączać tylko przy konieczności użycia.