Un file system viene utilizzato per indicizzare e organizzare i file sul disco. I record nel file system puntano all’esatta posizione sul disco che contiene le informazioni relative a un determinato file. I diversi file system organizzano i file in modo diverso. Questo articolo discute il recupero dei file system FAT (File Allocation Table), che include il FAT originale, FAT16 e FAT32.
Contenuti
- Analisi del file system
- Individuazione dei file nella tabella di allocazione dei file (FAT)
- Analisi estesa e ricerca di firma
Analisi del file system
Uno strumento moderno di recupero dati applica diversi metodi diversi per determinare l’esatta posizione di un file eliminato (o mancante). Cercherà di analizzare prima il file system, se disponibile, poiché un record nella tabella di allocazione dei file contiene le informazioni più complete sulla posizione del file, il suo nome e gli attributi. Se parte del file system è ancora disponibile, lo strumento sarà in grado di enumerare i record nel file system, determinare il record appartenente a un determinato file e scoprire quali settori sul disco appartengono al file e in che ordine. Questo può essere essenziale per il corretto recupero di un file, poiché il file può essere memorizzato sul disco sotto forma di diversi segmenti (frammenti) invece di un singolo record continuo a causa della frammentazione del disco.
I file frammentati sono estremamente difficili (e non sempre possibili) da recuperare senza un riferimento valido del file system.
Individuazione dei file nella tabella di allocazione dei file (FAT)
Nel file system FAT, tutti i file vengono assegnati un record individuale. Questi record contengono informazioni sul file, inclusi tutti i cluster di dati occupati dal file. Le strutture FAT vengono utilizzate per identificare i cluster successivi nei file, nonché per determinare lo stato corrente dei cluster (ad esempio, possono essere disponibili se il file viene eliminato, ancora appartenere al file o già presi da un file diverso).
Come si può vedere, i file frammentati occuperanno più di un cluster e avranno quindi una catena interconnessa di strutture FAT registrate nel file system. Individuare il primo record e seguire (enumerare) i collegamenti è essenziale per individuare tutti i record.
L’analisi del file system è tutto ciò che accade se lo strumento di recupero è in modalità Quick Scan. Ma cosa succede se il file system è vuoto (ad esempio, dopo un’operazione di formattazione del disco), danneggiato o completamente mancante? In quel caso, deve essere eseguita un’analisi completa dell’intera superficie del disco, impegnando un metodo di ricerca di firma per individuare determinati tipi di file.
Analisi estesa e ricerca di firma
La ricerca di firma consente agli strumenti di recupero dati di identificare, individuare e recuperare con successo i file che non sono indicizzati nel file system. La ricerca di firma può rilevare file con firme persistenti (ad esempio, “JFIF” nei file JPEG) o contenenti un sottoinsieme limitato di caratteri (ad esempio, file di testo). A volte, i file con determinate strutture cicliche o ricorrenti possono essere rilevati e recuperati. Rilevando la presenza di un file e analizzando l’intestazione, un algoritmo di ricerca di firma può calcolare i cluster occupati da quel file sul disco e recuperare con successo il file. Ulteriori dettagli sulla ricerca di firma saranno pubblicati in un articolo successivo.