Comment Testdisk peut-il récupérer plus de données que la taille de la partition sur laquelle les données se trouvent?

0

Le texte sera long car je ne sais pas quelles parties de l'historique sont pertinentes. Si vous souhaitez ignorer les parties ennuyeuses, vous pouvez simplement lire les deux derniers paragraphes qui contiennent la question.

En résumé, j’étais insouciant avec un utilitaire de partitionnement et fouillais mes partitions, corrompant peut-être certains fichiers puisqu’une opération de redimensionnement de partition était en cours, qui déplaçait des fichiers lorsque je devais mettre fin au processus de l’utilitaire. Le résultat est que la dernière partition (environ 420 Go) sur le disque a disparu, emportant avec elle / home de ma machine. Disons que mes sauvegardes étaient un peu dépassées. J'ai donc décidé d'essayer de récupérer le plus possible et de le nettoyer plus tard.

J'ai lancé une distribution Linux active destinée à la récupération de données et lancé Testdisk pour voir s'il pouvait trouver la partition manquante. Lors de la première utilisation, je l'ai configuré avec des "partitions Intel", analysé le disque avec des recherches rapides et approfondies et obtenu rien. Je pensais que puisque je savais à quoi ressemblait la table de partition avant l'accident, j'utilisais GParted pour recréer la partition perdue (sans aucune mise en forme) et recommencer. Avec les partitions Intel, Testdisk n’ayant toujours rien trouvé à la fin du disque, j’ai donc essayé avec l’option de démarrage "Pas de partitionnement". Cette fois, l'analyse a trouvé la partition que j'avais recréée et dans la liste des fichiers, je pouvais réellement voir mes fichiers manquants (ainsi que des charges de fichiers que j'avais précédemment supprimés également). Gagner!

Maintenant, j'ai appris ma leçon sur les sauvegardes fréquentes et la prudence avec le partitionnement (je ne voulais même pas toucher le disque dur qui était foiré mais des accidents se produisaient). Heureusement, il semblerait que Testdisk ait sauvé la journée et copie les fichiers perdus sur un disque dur externe au moment où j'écris ces lignes, mais la copie m'a laissé quelque chose de confus.

Comme je l'ai mentionné précédemment, la partition que j'ai perdue avait une taille d'environ 420 Go. Le disque dur sur lequel réside la partition représente 1 To au total. À l'heure actuelle, Testdisk y est depuis environ 15 heures (je copie les fichiers sur USB 2.0, sloooow) et dfme dit qu'il y a actuellement plus de 900 Go d'éléments sur le disque externe. Lorsque j'examine le contenu de la copie, il ne semble pas qu'il y en ait encore beaucoup, même si j'ai peut-être manqué de gros fichiers.

Comment Testdisk peut-il copier plus de 900 Go de données à partir d'une partition de 420 Go? Existe-t-il une affectation préalable à la copie des fichiers supprimés que Testdisk peut voir mais ne peut plus être récupérée / actuellement?

utilisateur1685094
la source

Réponses:

0

La réponse est testdisk / photorec souvent sur grab. Parfois, le marqueur de début, le marqueur de fin ou la taille du fichier est corrompu, ou bien il laisse deviner et saisit plus de secteurs que nécessaire pour un fichier. Ensuite, un autre fichier a un pointeur dans cette région et saisit à nouveau les secteurs qui se chevauchent.

Le fichier 1 contient donc tout le fichier 1 plus des données aléatoires. Le fichier 2 contient une partie des données aléatoires. Fréquemment, ces programmes ne gèrent pas bien les fichiers fragmentés, ce qui peut également entraîner une saisie de données.

Afin de s’assurer que le fichier récupère autant que possible, il ne garde pas de trace des secteurs qui font partie d’autres fichiers, juste au cas où il se tromperait. Par conséquent, les mêmes secteurs sont dupliqués dans de nombreux fichiers.

J'ai trouvé des fichiers, tels que Word Docs, ils disent 2 Go, mais lorsqu'ils sont ouverts et ré-enregistrés sous un nouveau nom, ils retournent à leur taille correcte.

Imaginez que chaque symbole est un cluster de stockage.

G est un fichier GIF W est un document Word U n'est pas utilisé

GGGGGWWWWUUUG

La plupart des fichiers ont un en-tête et un pied de page. Ainsi, lorsque les analyses détectent l'en-tête gif, il recherche ensuite le pied de page du fichier GIF. Alors maintenant, le fichier GIF récupéré contient GGGGGGGWWWWUUUG car le fichier est fragmenté. Puis, lorsqu’il avance, il détecte l’en-tête W ou le mot et le pied de page, de sorte que le mot document s'affiche correctement en tant que WWWW, malgré la saisie précédente.

cybernard
la source