一次檢驗(yàn)自己技術(shù)和耐力的碎片提取經(jīng)歷

?

????? 一同事花了一個月的時間做了一個FLASH課件準(zhǔn)備參加比賽，課件基本上快完工了，不幸的事在前兩天發(fā)生了：另一同事給他換一個大硬盤，當(dāng)時本來想用GHOST把小硬盤中的數(shù)據(jù)GHOST到大硬盤中，但源盤和目標(biāo)盤選錯了，最后導(dǎo)致數(shù)據(jù)丟失。作品馬上要上交了，于是找到我，關(guān)鍵是要恢復(fù)小盤中的課件的源文件，文件大小是9.65M。我拿到盤后，分析了現(xiàn)在的數(shù)據(jù)情況，發(fā)現(xiàn)原來的文件那個分區(qū)的前面部分關(guān)鍵數(shù)據(jù)（DBR和FAT表）全部覆蓋，感覺不妙了，因?yàn)橥聦@個源文件不可能是一次作完的，這樣文件估計有碎片，而要恢復(fù)的文件是一個后綴為fla的FLASH源文件，這種文件我以前沒接觸過，當(dāng)時只能能他說：我試試！（在沒有十分的把握情況下只能這樣說）首先恢復(fù)到原來的分區(qū)狀態(tài)，因?yàn)檫@個分區(qū)的前面部分?jǐn)?shù)據(jù)全部覆蓋，現(xiàn)在只能先用數(shù)據(jù)恢復(fù)的最后一招：格式化這個分區(qū)。說明：這步操作不是不得已，是不能亂用的！因?yàn)槲铱紤]到格式化時重寫的數(shù)據(jù)是已覆蓋的部分，對后面要恢復(fù)的數(shù)據(jù)沒有任何影響，而且這樣還可以恢復(fù)出沒有覆蓋部分的數(shù)據(jù)的部分目錄結(jié)構(gòu)，這樣用軟件掃，看能不能找到同事說的那個文件。結(jié)果用軟件掃到相應(yīng)的目錄中的那個文件（掃前要驗(yàn)證格式化后的DBR參數(shù)是否正確！！），提取出這個文件后，不能正常打開，而這個文件的數(shù)據(jù)開始部分距離數(shù)據(jù)覆蓋的最后區(qū)域相差很遠(yuǎn)，所以初步判斷源文件的數(shù)據(jù)沒有覆蓋，是有碎片引起的。現(xiàn)在的任務(wù)就是要提取碎片，先找到一個正常的FLASH源文件分析，發(fā)現(xiàn)文件的結(jié)構(gòu)和復(fù)合文檔的結(jié)構(gòu)很相似，看到一絲曙光，但要在一個8G的分區(qū)中提取一個9M多的文件，真有點(diǎn)大海撈針，而且還不知道碎片有多少，同事找來了，還是試試吧。最后花了10個小時，共發(fā)現(xiàn)4個碎片，其中只有第二個碎片的結(jié)束扇區(qū)和第三個碎片的開始扇區(qū)沒有準(zhǔn)確定位外，其它都能準(zhǔn)確定位，最后把提取的碎片合成為一個文件，發(fā)給同事驗(yàn)證，結(jié)果除其中的一個錄音的后半部分有點(diǎn)問題外，其它全部正確，但錄音可以再錄，我就沒再繼續(xù)下去了，總的來說，還是比較成功的。這應(yīng)該算得上一次檢驗(yàn)自己技術(shù)和耐力的碎片提取經(jīng)歷！下圖是我在這次提取碎片過程中做的一些分析圖，作個紀(jì)念吧！！

這個文件的SAT占用了155個扇區(qū)！！

?

?

?

?

轉(zhuǎn)載于:https://blog.51cto.com/tclrz100e/270003

總結(jié)

以上是生活随笔為你收集整理的一次检验自己技术和耐力的碎片提取经历的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。