temp9285
BANNED | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Цитата:| Попробовать восстановить ICT0005 по размеру взятому из заголовка и начиная с секторов 3840, 8475520, 12669824, 86 912? |
Нет, ты немного смешал в кучу. Я предлагал просто проверить размер в заголовках найденных авишках, и это лишь предполагая что они реально найденные "потеряшки" а не имеющиеся на носителе.
3840 не при чём, речь идёт лишь о секторах (кластерах) 86912 (1300), 4281216 (66836), 8475520 (132372), 12669824 (197908). А исходя из карт кластеров, наиболее перспективен 4281216 (66836), так как в его районе сейчас не занят. Хотя и тут два варианта:
- в этом кластере не начинался нужный файл, поэтому то и нет сигнатуры
- файл там всё таки был, но уже была не одна перезапись.
В последнем варианте есть огромное количество подвариантов  - в том числе что мог быть перезаписан лишь начальный кластер, или больше, но такое количество, которое не критично при пришивании "чужой головы".
Повторюсь, но я не в курсе структуры, может есть какие то характерные сигнатуры и в других секторах, по которым можно идентифицировать тип файла (минус то, что файлы однотипные и сигнатуры могут быть идентичные).
Цитата:| А карта кластеров ICT0005, которую показывает WinHex не может считаться корректной? |
Опять же, я не настолько познакомился с FAT и винхексом, чтобы давать советы. Могу сказать что в тестовых примерах, при просматривании списка кластеров для удалённого файла 01.jpg винхекс показывает список начиная с неправильного начала сектора (кластера). |
