gelöschte Dateien wiederherstellen (Hintergrundwissen zu FAT32)

[Byte_Breaker]

Hiho,

wie funktiniert es eigentlich unter FAT32, das man gelöschte Dateien wieder herstellen kann?

Wenn ich eine Datei lösche, dann werden ja die Einträge in der FAT (also die Clusternummern) der gelöschten Datei auf 0x00 gesetzt. Wie ist es möglich, das es da Programme gibt, die da die verstreuten Cluster noch einer Datei zuordnen können?

[Drache_back]

nicht ganz,

soweit ich weiss wird einfach der erste Buchstabe der Name der Datei durch eine Lehrstelle ersetzt.

Der Papierkorb arbeitet glaub ich mit einem Fragezeichen als ersten Buchstaben.

Ausserdem ist eine Datei erst gelöscht wenn sie überschrieben ist, meist reicht dazu auch nicht mal ein einfaches formatieren.

Ich bin nicht voll der Guru darin, aber hab auch mal was drüber gelesen:

FAT arbeitet in den Clustern, und diese haben jeweils eine kleine Art index, oder so ähnlich. In diesem Index steht ob der Cluster nun beschrieben ist, und welche Nummer der Cluster hat usw. Kann sein das diese Programme mitunter danach druchsuchen, dann gucken was in dem Cluster ist (ob er nun als beschrieben gilt oder nicht, ) gucken wie die Datei hies (es fehlt ja eigendlich nur der erste Buchstabe, dann kommen für das dateisystem aus welchem clustern sich die einzelne Datei mal zusammengesetzt hatte, und die Prüfsumme meineswissen auch noch...)

hierraus sollte es möglich sein, festzustellen, was für eine Datei da mal quer über die Platte verteilt war....

Das war jetzt alles nur Dummschuhlwissen das ich mir aus Vielen Quellen erdacht habe, und wie ich es mit vorstelle, vieleicht sind ein zwei fünkchen sogar richtig

was ich weiss ist das du mich drauf aufmerksahm gemacht hast, und ich mal gucke ob ich was im web dazu finde *g*

werde jenes dann hier posten

[Alrik Fassbauer]

Eines vorweg: Ich weiß nicht, wie das mit der neuen FAT32 läuft.

In der "alten FAT" (The Old Fat Man) war es jedenfalls immer so, daß eine "gelöschte" Datei als ERSTES Zeichen im Dateinamen ein Sigma bekommt, ein ASCII-Zeichen, das normalerweise gar nicht angezeigt wird.

Damit ist sozusagen die Datei "zum Abschuss bzw. Überschreiben freigegeben", was dann vom BS auch gemacht wird, wenn das nächste Mal Daten geschrieben werden...

Wiederherstellung war/ist "damals" also nichts weiter, als das erste Zeichen des Dateinamens wiederherzustellen.

Und nun kommen die Cluster ins Spiel: Ein "Cluster" ("Wölkchen ? ) ist eine Einheit auf der Festplatte, in die gespeichert wird. Die Größe eines Clusters hängt von der Formatierung ab, genauer: von der Anzahl Sektoren usw.

Eine Datei kann - wenn sie groß ist - auf mehrere Cluster verteilt werden. wenn der Platz nicht ausreicht, tun wir halt den Rest in den nächten, zur Verfügung stehenden Karton.

Bei der Wiederherstellung kann sich das als übel erweisen: Ist eine Wiederherzustellende Datei über mehrere Cluster verteilt, müssen bei der Wiederherstellung alle Fragmente wieder zusammengesammelt werden. Wenn nun einer der mehreren Cluster bereits überschrieben ist, dann hast du ein Problem... Dann wird nämlich die Datei nie wieder so vollständig sein, wie früher (bei Text ist das noch annehmbar, bei binärdateien eigentlich nicht).

[Byte_Breaker]

Wie das Dateisystem FAT 32 funktioniert weiß ich. Da hab' schon Ahnung. Mich interessiert nur wie die Dateien zum Löschen gekennzeichnet werden.

Das mit dem Anfangsbuchstaben des Dateinamens als Leerzeichen oder Sigma (wie auch immer) kann ich mir fast nicht vorstellen. Dann müsste ja bei jedem Schreibvorgang (also bei der Suche nach zu überschreibenden Clustern) jedesmal geschaut werden, welche Dateiname nun mit einem Leerzeichen oder Sigma anfängt.

Ich habe ja auch mal in 'nem Buch gelesen, das zu überschreibende Cluster in der FAT mit 0x00 gekennzeichnet werden. Das kann ich mir aber nicht richtig vorstellen, weil man dann ja nicht mehr zuordnen könnte, welche Cluster zu welcher Datei gehören.