一次檢驗自己技術和耐力的碎片提取經歷

?

????? 一同事花了一個月的時間做了一個FLASH課件準備參加比賽，課件基本上快完工了，不幸的事在前兩天發生了：另一同事給他換一個大硬盤，當時本來想用GHOST把小硬盤中的數據GHOST到大硬盤中，但源盤和目標盤選錯了，最后導致數據丟失。作品馬上要上交了，于是找到我，關鍵是要恢復小盤中的課件的源文件，文件大小是9.65M。我拿到盤后，分析了現在的數據情況，發現原來的文件那個分區的前面部分關鍵數據（DBR和FAT表）全部覆蓋，感覺不妙了，因為同事對這個源文件不可能是一次作完的，這樣文件估計有碎片，而要恢復的文件是一個后綴為fla的FLASH源文件，這種文件我以前沒接觸過，當時只能能他說：我試試！（在沒有十分的把握情況下只能這樣說）首先恢復到原來的分區狀態，因為這個分區的前面部分數據全部覆蓋，現在只能先用數據恢復的最后一招：格式化這個分區。說明：這步操作不是不得已，是不能亂用的！因為我考慮到格式化時重寫的數據是已覆蓋的部分，對后面要恢復的數據沒有任何影響，而且這樣還可以恢復出沒有覆蓋部分的數據的部分目錄結構，這樣用軟件掃，看能不能找到同事說的那個文件。結果用軟件掃到相應的目錄中的那個文件（掃前要驗證格式化后的DBR參數是否正確！！），提取出這個文件后，不能正常打開，而這個文件的數據開始部分距離數據覆蓋的最后區域相差很遠，所以初步判斷源文件的數據沒有覆蓋，是有碎片引起的。現在的任務就是要提取碎片，先找到一個正常的FLASH源文件分析，發現文件的結構和復合文檔的結構很相似，看到一絲曙光，但要在一個8G的分區中提取一個9M多的文件，真有點大海撈針，而且還不知道碎片有多少，同事找來了，還是試試吧。最后花了10個小時，共發現4個碎片，其中只有第二個碎片的結束扇區和第三個碎片的開始扇區沒有準確定位外，其它都能準確定位，最后把提取的碎片合成為一個文件，發給同事驗證，結果除其中的一個錄音的后半部分有點問題外，其它全部正確，但錄音可以再錄，我就沒再繼續下去了，總的來說，還是比較成功的。這應該算得上一次檢驗自己技術和耐力的碎片提取經歷！下圖是我在這次提取碎片過程中做的一些分析圖，作個紀念吧！！

這個文件的SAT占用了155個扇區！！

?

?

?

?

轉載于:https://blog.51cto.com/tclrz100e/270003

總結

以上是生活随笔為你收集整理的一次检验自己技术和耐力的碎片提取经历的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。