Показать сообщение отдельно
Непрочитано 10.10.2019, 18:54   #1642
9285
Мужской Опытный
 
Регистрация: 08.02.2019
Написанное про оригинальные файлы используется для того, чтобы понять возможную причину проблемы.
И если она будет найдена (*) - лишь тогда это может помочь восстановить остальные файлы.

Что касается перелопачивания файлов, то в случае фоток, имеющих EXIF можно воспользоваться утилитой imagesorter https://www.acelab.ru/dep.pc/information.php , которая рассортирует файлы по папкам на основе данных о камере и дате сьёмки. Зная даты сьёмок, можно уже поискать есть ли в MFT записи подобных файлов.

Ну и ещё, для общего понимания того, почему считаю ситуацию невероятной.
Далее просто пример с гипотетическими цифрами.
На диске имеется файл с характерной сигнатурой (те же фотки), размером 2 мегабайта и начинается он в кластере 100500. Ты удалил его.
1. Если его запись его не перезаписана чем то другим - файл восстанавливается в полном обьёме.
2. Если запись перезаписалась, но при этом само занимаемое файлом место не перезаписано - файл восстановится сигнатурно в части первого фрагмента (если он не фраментирован, то полноценно).
3. Если запись не перезаписана, но в месте где записан файл успело записаться что то новое, то файл восстановится со свои именем и размеором, но он будет битым в той или иной степени - зависит от обьёма перезаписанного и места презаписи.
Вот в этой ситуации, если начало вновь записанного файла находится в том же кластере и его размер в пределах прежнего, то под старым именем восстановится вновь записанный - но не какой то ранее записанный.

А по твоим словам получается что восстанавливается записанное до. Теоретически, это можно обьяснить тем, что после удаления более старого файла, производилась дефрагментация (в том числе и MFT). В этом случае на диске могут остаться артефакты старых записей MFT, в которых прописано расположение этого файла, но на его месте записан удалённый недавно.
Но при таком раскладе, артефактные записи могут найтись лишь при полном сканировании а не при простой виртуальной реконструкции, потому как они находятся вне зоны актуальной MFT. Да и сма то веришь в то, что так удачно много файлов попало точно в начало прежних?

(*) Просто гипотетическая ситуация - на нескольких контрольных файлах определяется что данные ранлиста не соответствуют их реальному расположению. При этом выясняется что причиной этого является неправильный байт ХХ; причём он может быть одинаковым и изменён на одинаковом смещении.

PS. Подробней и со скриншотами можно описывать очень долго и не факт что всё охватится. Поэтому могу написать по конкретным данным - которых от тебя пока почти что и нет.

Последний раз редактировалось 9285; 10.10.2019 в 18:57.
9285 вне форума  
Ответить с цитированием