pp678 发表于 2008-3-21 10:11:03

问一个碎片的问题

如果fat表损坏，许多软件恢复数据时会找到文件和碎片文件，如果一个簇是文件的开头可以根据前几个字节判断文件类型并确认为一个文件开始，那么怎么判断下一个簇的数据也属于这个文件呢，又怎么判断哪个簇文件结束呢？如果不是这样为什么会恢复出大于一簇的文件。

jim19 发表于 2008-3-21 13:30:40

如果一个簇是文件的开头可以根据前几个字节判断文件类型并确认为一个文件开始，那么怎么判断下一个簇的数据也属于这个文件呢，
A：当你知道这个文件在下一个簇中是否有特征时，你就能确定了，否则无法判断。这样就要求你对文件的数据结构非常了解。

又怎么判断哪个簇文件结束呢？如果不是这样为什么会恢复出大于一簇的文件。
A：有的文件有结尾标志，比如jpeg文件，有的在开头有其大小的规定，程序可以智能的分析并抓出来。如果这两样都不具备，那只有人为的定义一个大小范围了。比如某文件一般来说都在3m左右，这时候一旦发现头标志，就从头开始抓3m出来。


最后，要想学好数据恢复的高级知识，就要从数据的结构入手了。因为每种数据都有他特殊的结构，不掌握就无法重建（这里的文件是广义上的，磁盘，阵列，一般意义上的文件都包含在内）

[ 本帖最后由 jim19 于 2008-3-21 13:33 编辑 ]

pp678 发表于 2008-3-21 14:45:35

继续问,非常迷惑

许多软件会恢复出出大于一簇的碎片文件,难道这个文件原来不一定是一个文件?

gao8784 发表于 2009-1-10 12:33:53

顶一下，我也碰上了这种问题，找到的文件里有一个碎片。结果不能用。

小程子 发表于 2009-1-10 12:54:56

我的想法是这样的
如果一块硬盘用户使用了比较长的时间那么肯定会有很多文件碎片产生(如长时间编辑一个WORD文件肯定会产生很多碎片),在这种情况下如果用户并末定时运行"磁盘碎片整理"那么这种情况就发生了.
恢复软件在扫描过程中会产生一些"误"操作,会把正确的文件头和不匹配的文件中部(我们理解下就可以)及尾部连到一起,所以就产生了错误的结果.
还有你说的大于一簇的扫描文件,这是比较正常的,你想想看现在小于一簇的文件你能看见几个

kljna 发表于 2009-1-10 19:32:47

如果只有一个碎片文件哪好说，问题是实际上这样的碎片文件通常有很多个，例如系统可能存在多个EXCEl文件为碎片文件，再加上它们的临时文件，已删除的EXCEL文件均具有同样的文件结构特征，即使是不考虑其他文件碎片的干扰，单就这些EXCEL文件碎片，要将它们理顺成多条文件链，我想靠人手是不可能的事。另外我想单靠文件结构也不是可行的方法，试想将多个文本文件分成多个碎片互相交织，如果你不知道文件的内容，你可以恢复出来？

sunjianfu200 发表于 2009-3-20 17:35:44

看的晕乎乎，可是在坚持看。（38：

xulemeng 发表于 2009-4-1 15:01:20

这个要顶一下！！！！！！！！！！！！！！！！

lughon 发表于 2009-4-1 16:12:21

原帖由 kljna 于 2009-1-10 19:32 发表 http://bbs.intohard.com/images/common/back.gif
如果只有一个碎片文件哪好说，问题是实际上这样的碎片文件通常有很多个，例如系统可能存在多个EXCEl文件为碎片文件，再加上它们的临时文件，已删除的EXCEL文件均具有同样的文件结构特征，即使是不考虑其他文件碎片的 ...
只要你掌握方法，手工是可以重建的

2000212041 发表于 2010-7-24 12:24:33

潜力贴留名.字数补丁.字数补丁..
页: [1] 2
查看完整版本: 问一个碎片的问题