» Восстановление информации с Flash - накопителей

Главное - чтобы надолго

Здравствуйте! полетела в телефоне старая карта памяти
Kingston 1GB
MicroSD SDC/1GB
N0011-001.A00LF
в ПК (Windows 7 SP1 x64) через адаптер не определяется
подскажите возможно ли с нее вытащить информацию?
если да, то как?

Terminator6
К специалисту по восстановлению с них данных нужно обратиться, если данные представляют реальную ценность.
типовой процесс восстановления с SD карт описан и показан тут:
http://www.acelab.ru/dep.pc/pc3000.flash.php
В разделах применение и мультимедиа.

Приветствую, форумчане!
В DVR с флешкой 8Гб затерлась нужная информация - фрагмент всего в несколько секунд. DVR пишет в AVI. Интересующий фрагмент был записан 20.10.2015 в 11:30, первый незатертый файл записан 20.10.2015 в 13:21.
lba0_100.bin
devscan.log

ICQman2GO
Насколько я понимаю, нужно понять как организована запись.
Обычно запись круговая - то есть старое удаляется. записывается новое. В таком случае возникает вопрос как пишется - равноразмерными файлам или по времени фрагмента, последовательно или по свободному месту (возможна фрагментация). Ну и собственно, есть ли среди найденного (в том числе по сигнатурам) что то, относящееся к нужному времени.

9285


Цитата:

нужно понять как организована запись

Запись циклическая (если верить надписи на коробке).


Цитата:

вопрос как пишется - равноразмерными файлам или по времени фрагмента,

Не равноразмерными, судя по файлам на карте.



Цитата:

есть ли среди найденного (в том числе по сигнатурам) что то, относящееся к нужному времени.

Вот тут главная загвоздка - среди восстановленных RAW-сканированием самый первый воспроизводимый файл с меткой на видео 12:31. Восстановленные файлы (всего их 28) занимают обьем 6,96Гб. Сейчас на SD-карте 18 файлов avi и jpeg обьемом 5,12Гб. Сканирование FAT-таблиц находит и другие файлы. в т.ч. удаленный искомый файл _ICT0005.AVI с началом в 11:25. При попытке воспроизведения этого файла программа ругается (Ошибка: Входной файл имеет формат, отличный от AVI). Пробовал открывать с помощью VLC, DivFix++, VirtualDub.

ICQman2GO

Цитата:

Сканирование FAT-таблиц находит и другие файлы. в т.ч. удаленный искомый файл _ICT0005.AVI с началом в 11:25. При попытке воспроизведения этого файла программа ругается (Ошибка: Входной файл имеет формат, отличный от AVI).

Судя по скрину из DMDE, файл IST 0005 берёт начало в секторе 3968, и соответственно в четвёртом кластере, то есть самый первый кластер, куда пишутся файлы после самой первой директории. Первая же директория, где описываются сами файлы лежащие в ней, как правило берёт начало в третьем кластере, т.к во втором кластере берёт начало корневой каталог. Не исключено, что нужный файл уже перезаписан другим содержимым. Судя по самому последнему скриншоту, "восстановленный" файл вообще не содержит ничего от заголовка AVI.



Цитата:

Вот тут главная загвоздка - среди восстановленных RAW-сканированием самый первый воспроизводимый файл с меткой на видео 12:31.

Узнать бы ещё в каком секторе он берёт начало. Сделать это можно при помощи таких прог как Photorec и Diskdigger (можно воспользоваться и старой фриварной версией 0.8.3, то есть при raw поиске каждая из вышеупомянутых прог при восстановлении файлов присваивает им имена с номерами секторов, где файлы берут начало. Также неплохо было бы увидеть скрин самой первой директории, и посмотреть записи, описывающие этот удалённый файл (IST 0005). Сделать это удобней в WinHex. Просто открыть том, и кликнуть по той директории где лежал этот самый удалённый файл.

Alex_Green

Цитата:

Узнать бы ещё в каком секторе он берёт начало.

DiskDigger восстановил те же 28 файлов avi. Тот, который показывает видео в 12:31 начинается в секторе 3424256. Пытаюсь открыть SD-карту в WinHex. Почему-то ноутбук каждый раз зависает при обращении к карте, приходится перезагружать. До этого снял ее образ и работал с образом в DMDE. Может и в WinHex можно открыть этот образ?

Alex_Green

Цитата:

Судя по скрину из DMDE, файл IST 0005 берёт начало в секторе 3968

Разве это не номер сектора папки; а сам файл начинается в другом секторе (который на третьем скриншоте)?

ICQman2GO

Цитата:

Почему-то ноутбук каждый раз зависает при обращении к карте, приходится перезагружать. До этого снял ее образ и работал с образом в DMDE. Может и в WinHex можно открыть этот образ?

Вот это уже ничего хорошего. Ну в том, что ноутбук зависает при обращении к карте. Вероятно на карте появились бэд блоки, и возможно при снятии образа некоторые сектора могли не прочитаться, потому и по сигнатурам нужный файл не находится. Если к примеру бэды пришлись на его первые сектора. WinHex по идее должен понимать образ, сделаный в DMDE.

9285

Цитата:

Разве это не номер сектора папки; а сам файл начинается в другом секторе (который на третьем скриншоте)?

Кстати да, кажется так и есть. Скрин из WinHex точно прояснит это.

9285
Alex_Green

Цитата:

Скрин из WinHex точно прояснит это.

Цитата:

WinHex по идее должен понимать образ, сделаный в DMDE.

Через меню File - Restore Image нельзя открыть, формат .bin не поддерживается, а через File-Open открывается в hex-редакторе, правда я не нашел как в этом режиме просматривать директории (поэтому рискнул опять открыть SD-карту).

Цитата:

правда я не нашел как в этом режиме просматривать директории

В опциях поставить - работать, как с диском.

ICQman2GO
Как видно из скрина в WinHex, первые файлы, что были записаны, все последовательно затёрты, и похоже у всех занулено старшее слово первого кластера. Удаление было произведено в винде? В общем сейчас можно будет точно посмотреть, перезаписано ли содержимое нужного файла чем то другим. Для этого нужно начиная с файла ICT 0001 переходить через контекстное меню Position>> List Clusters, т.к он начинается с пятого кластера, то старшее слово его первого кластера и будет 00 00 по любому. Затем смотрим его последний кластер, смотрим что делается в следующем кластере. Прописываем руками старшее слово первого кластера файла ICT 0002, снова смотрим Position >> List Clusters, cмотрим его последний кластер, переходим в следующий, прописываем значение старшего слова первого кластера файла ICT 0003, и.т.д пока не дойдём до интересующего файла ICT0005. Ну и смотрим что же прописано в его настоящем так сказать начале. Возможно это очень сложно. Ну в принципе зная размеры удалённых файлов в мегабайтах,перевести их в байты, затем делить каждый из них на 512, и получим размер каждого файла в секторах. Ну и в соответствующих секторах предположительного начала следующего файла смотреть, что там прописано. Ну и самый простой способ, это начиная с файла ICT 0001 тупо искать сигнатуру RIFF (искать только Forward, то есть вперёд).
Возможно кто то из участников сможет предложить что то получше.

tomset

Цитата:

В опциях поставить - работать, как с диском.

Да, нашел: Specialist-Interpret Image File As Disk.

Alex_Green

Цитата:

Удаление было произведено в винде?

Нет, эта SD-карта из автомобильного регистратора китайского производства, в нем файлы и затерлись, хотя после этого и/или перед этим подключалась в Windows (сигнатура AA55 в начале).

Цитата:

нужно начиная с файла ICT 0001 переходить через контекстное меню Position>> List Clusters, т.к он начинается с пятого кластера, то старшее слово его первого кластера и будет 00 00 по любому.

WinHex ругается на in-place mode - наверное нужно перейти в режим редактирования F6?


Цитата:

контекстное меню Position>> List Clusters

Это меню Navigation-List Clasters показывает кластеры отдельного файла?


Цитата:

и.т.д пока не дойдём до интересующего файла ICT0005. Ну и смотрим что же прописано в его настоящем так сказать начале.

Пока не понял смысл манипуляций, маловато знаний. Т.е. в FAT уже неверные данные о начале и конце файла, а мы их восстанавливаем вручную? Или во всех файлах затерты начальные секторы?


Цитата:

самый простой способ, это начиная с файла ICT 0001 тупо искать сигнатуру RIFF

Что с ней делать?

ICQman2GO

Цитата:

Это меню Navigation-List Clasters показывает кластеры отдельного файла?

Да, но правильные координаты начала файла имеет только самый первый файл ICT0001, начинающийся в пятом кластере.


Цитата:

Что с ней делать?

В меню Search >> Find Text, и выбрать опцию поиска Down. C этой сигнатуры начинается любой AVI файл. Затем после её нахождения переместить курсор мыши на строчку ниже, и снова искать. После этого сохранять данный диапозон в файл, и в контекстном меню винды присвоить ему имя.avi на карту ведь были записаны только AVI файлы?
Или же как я уже предлагал, можно сохранять сектора всех файлов последовательно в файлы, исходя из размеров файлов, которые видны на самом последнем скриншоте, как впрочем и сигнатура RIFF

Например размер первого файла 5 мб. Его размер в секторах будет 10240, 10240+4000= 14240 - где 14240 - это сектор окончания первого файла. Сектор начала второго файла - 14368, и что самое интересное если 14368 поделить на 64 (размер кластера) получим 224.5, разделив 14368 на 32, получаем соответственно 449, то есть целое число. Вероятно размер кластера на карте равен тридцати двум секторам.
Короче у меня получилось, что последний сектор четвёртого файла это 86944, на последнем скриншоте же мы видим, что первый сектор файла IST 0005 это 86880, то есть разница в два кластера. Не знаю, может регистратор пишет файлы не совсем так, как это делает винда. Вероятно авторекаверилки при восстановлении по сигнатурам AVI файла, восстанавливают его размер в байтах, (в заголовке файла после сигнатуры RIFF следующие четыре байта и описывают размер файла в байтах). Как то пробовал восстанавливать фрагментированный AVI файл, так файл и был восстановлен в свой полный размер, то есть первый фрагмент, плюс мусор ему не принадлежащий.
Надеюсь мысль ясна? В общем нужны скрины секторов 86880, 86912, 86944, 86976. Ну или же дамп секторов 86880 - 86976

Alex_Green
На крайнем скриншоте виден список кластеров файла.
Может, чтобы оценить масштаб повреждений, стоит посмотреть чем заняты эти кластера сейчас?

9285

Цитата:

Может, чтобы оценить масштаб повреждений, стоит посмотреть чем заняты эти кластера сейчас?

Да, можно конечно посмотреть. Подождём для начала скрины или дамп секторов, которые я запросил. Первый сектор "восстановленного" нужного файла точно занят не заголовком AVI файла. Может файл был перезатёрт частично, надо смотреть последовательно координаты сигнатур RIFF, тогда уже можно будет понять, что же произошло.

Alex_Green

Цитата:

на карту ведь были записаны только AVI файлы?

в основном - AVI, но есть и несколько JPEG


Цитата:

В общем нужны скрины секторов 86880, 86912, 86944, 86976. Ну или же дамп секторов 86880 - 86976

ICQman2GO
Ещё можно показать скрин сектора 86976, хотя уже кажется видно, что нужный файл перезаписан (по крайне мере частично) другим содержимым. Теперь остаётся только делать сигнатурный поиск в Disk Digger, Photorec, или любой другой проге, где в имени файла указан его начальный сектор. Затем смотреть лежит ли какой-либо другой файл в диапозоне тех секторов, что видны на скрине из WinHex.

[more] [more]
Цитата:

Alex_Green
хотя уже кажется видно, что нужный файл перезаписан

Да, это уже давно видно, что начало файла перезаписано.
И даже скажу чем: одним из фрагментов файла PICT0023



Цитата:

Alex_Green
Теперь остаётся только делать сигнатурный поиск

Да погоди, не спеши так, к тому-же сигнатурный поиск ничем не поможет до конца понять что осталось от PICT0005. Здесь в теме есть "очень крутой специалист", тем более, что он сам предлагал свои услуги. Читай что он писал:


Цитата:

9285
Может, чтобы оценить масштаб повреждений, стоит посмотреть чем заняты эти кластера сейчас?

Да-да, 9285,посмотри и оцени. Покажи класс и на что способен на деле, а не на словах. Ато, блин, на другом форуме растапыриваешь пальцы не только на руках, но и на ногах. Вот теперь доказывай, что ты на самом деле такой. Правда, тут не сильно сложно выяснить что от файла осталось, но, думаю, ты легко справишься, если действительно так крут, как прикидываешься. А мы все посмотрим чего ты стоишь на самом деле.

Я ведь предупреждал тебя, что, если не прекратишь дурью маяться, то приду к тебе на твой "демократический" форум и буду тыкать тебя в твоё лузерство. Поздравляю, ты довыёживался. Я пришёл! )))

Сегодня мне на почту свалилось что ты там (сам знаешь где) понакарлякал, а в теме уже этого нет, к сожалению, я бы тебя прям там отчекал. Но я в почте прочитал, хотя в почту очень редко заглядываю. Так получилось. Такую фуету, что ты там написал, пишут люди с комплексом собственной неполноценности, чтобы унизить других и возвысить себя пушистенького и беленького, которого почему-то на всех технических форумах (кроме руборда - последний твой бастион) только и делают, что банят. Может проблема, всё-таки, в твоём воспитании? Подумай. Если не получается самому подумать, сходи к врачу соответствующего профиля, проконсультируйся. Не-не, я серьёзно. Как-же можно называть другие форумы словами типа "говнозона", "киберболото" и раз за разом там региться после бана и опять там свои писульки оставлять. Зачем же ты туда постоянно ныряешь, если так называешь? Костюмчик, небось, уже весь в говне и в болоте???)))))))))
Нормальный человек, в здравом уме, так не стал бы делать. У тебя даже обычной человеческой гордости нет. Гордый человек, когда его гонят, в окно не лезет.



[/more] [/more]

Big_Endian

Цитата:

Да погоди, не спеши так, к тому-же сигнатурный поиск ничем не поможет до конца понять что осталось от PICT0005

Ну может и действительно более рационально смотреть List clusters каждого вновь записанного файла, и таким образом точно определить чем же перезаписан нужный файл.


Цитата:

И даже скажу чем: одним из фрагментов файла PICT0023

Можно узнать, откуда это уже так точно известно?


Цитата:

Здесь в теме есть "очень крутой специалист"

Что касается 9285, то специалист он на самом деле очень неплохой. Да, некоторые считают его хамом, но с другой стороны каждый по своему воспринимает что такое хамство, а что нет. Да и вообще, nobody's perfect.

[more]

Цитата:

Можно узнать, откуда это уже так точно известно?

Никто же не запрещает, конечно можно ответить адекватному человеку.
Я вот хотел, чтобы это написал ваш "очень неплохой специалист", но он подкачал. Отмалчивается - слабоват оказался. Придётся мне вам ответить.
Посмотрите на скриншот от ICQman2GO из четвёртого поста на этой странице. Там курсором обозначен PICT0005 и позиция hex-данных автоматом стала на первый сектор этого файла. При этом справа на сером информационном окне показывает какому файлу на данный момент, согласно File Table, принадлежит этот сектор/кластер.


Цитата:

Ну может и действительно более рационально смотреть List clusters каждого вновь записанного файла, и таким образом точно определить чем же перезаписан нужный файл.

А здесь уместней сделать ровно наоборот: отрыть List Clasters для PICT0005 и перемещаясь курсором по цепочке кластеров (стрелки тоже работают) смотреть чем заняты кластеры этого затёртого файла, и как далеко его перезаписало. Хорошо, если немного перезаписало, можно будет подкинуть заголовок от другого аналогичного по размеру файла (или чуть больше) и прогнать через какую-нибудь восстановлялку файлов AVI.

ICQman2GO

Цитата:

Через меню File - Restore Image нельзя открыть, формат .bin не поддерживается, а через File-Open открывается в hex-редакторе, правда я не нашел как в этом режиме просматривать директории (поэтому рискнул опять открыть SD-карту).

Есть маленький фокус с открыванием файлов в WinHex, и не только в нём. Создайте ярлык на его исполняемый файл и поместите ярлык в папку SendTo. В ХР она находится C:\Documents and Settings\Имя пользователя\SendTo.
В Семёрке, если не ошибаюсь, ищите SendTo в Users (Пользователи).
Это вам позволит в любом месте через ПКМ ->Отправить открывать любой файл в WinHex, даже если он в данный момент не запущен.
Вы PICT0005 уже вытащили из образа? Удобней работать только с файлом. Прямо в WinHex его цепляйте и вытаскивайте через ПКМ - Recover/Copy.




[/more]

Alex_Green

Цитата:

Ещё можно показать скрин сектора 86976, хотя уже кажется видно, что нужный файл перезаписан (по крайне мере частично) другим содержимым.

Почему-то когда перехожу на сектор 86976 открывается 86944 (справа Relative sector -86944, а внизу -86976) . Перепроверял несколько раз. На скриншоте видно. Ступор.

После восстановления ICT0005.avi перешел на 86976 нормально. Непонятно, почему так.


Цитата:

Теперь остаётся только делать сигнатурный поиск в Disk Digger

DiskDigger в режиме RAW-восстановления восстановил следующие файлы .avi. Может поискать не только .avi?

Big_Endian

Цитата:

Есть маленький фокус с открыванием файлов в WinHex, и не только в нём. Создайте ярлык на его исполняемый файл и поместите ярлык в папку SendTo. В ХР она находится C:\Documents and Settings\Имя пользователя\SendTo.
В Семёрке, если не ошибаюсь, ищите SendTo в Users (Пользователи).
Это вам позволит в любом месте через ПКМ ->Отправить открывать любой файл в WinHex, даже если он в данный момент не запущен.

Спасибо, воспользуюсь.

Цитата:

Вы PICT0005 уже вытащили из образа? Удобней работать только с файлом. Прямо в WinHex его цепляйте и вытаскивайте через ПКМ - Recover/Copy.

Восстанавливал (сначала в DMDE, потом в WinHex -получается файл размером 402Мб), но не додумался открыть его в WinHex- пробовал открывать разными плеерами и восстановлялками avi (VLC, DivFix++, VirtualDub) - все они говорят, что файл не .avi и не открывают совсем ничего. Попробую предложенный вами набор программ - отпишусь.

ICQman2GO
Я уже написал по поводу своих "познаний" FAT, но и с WinHEX я мало знаком. Поэтому я не знаю как сделать это в нём, и могу предложить открыть посекторку (том) в DMDE, затем в меню Сервис выбери Карта кластеров. В нижнем правом окне посмотри что расположено в интересующих тебя кластерах - как минимум в 1300-ом. Хотя этот справедливо лишь для случая что была однократная перезапись.

Big_Endian
Я не строю из себя крутого спеца, и уж тем более в области FAT; в том числе поэтому (даже при наличии времени) не пишу скоропалительные ответы.
Я знал на какой скриншот ты сошлёшься и, зная квалификацию Alex_Green, понимая что что то можно и прозевать, но особенно понимая твои "мотиваторы" и беспринципность просто решил узнать что то новое для себя и вычеркнуть сомнения.
Провести небольшой эксперимент дело не такое уж и сложное, а чтобы потом не было зловония "всё это фэйк" сделал возможность любому желающему проверить результаты эксперимента и понять кто прав (вполне нормальная практика для реально технических форумов)
http://rghost.ru/7RrGFSpWV -
архив с тремя посекторками
be1.bin - на разделе файл пустышка (прописан 00-ми) для заполнения места и 10 скриншотов из темы файлы на разделе расположены последовательно.
be2.bin - c раздела удалено два файла. Выбраны такие чтобы позже записанный файл был фрагментирован.
be3.bin - записан файл прописанный шаблоном BE

http://rghost.ru/92cxxWhYl
результирующие скриншоты, для каждого из образа, из которых видно что:
- после удаления файлов значение "их" первого сектора почему то меняется (*). И оно попадает в место размещения файла-пустышки.
- при выборе удалённого файла отображается содержимое сектора, которые, описан выше
- запись нового файла (а он записался в кластеры, которые занимали удалённые) не изменяет ситуации
Исходя из этого я убедился в том, о чём думал и про квалификацию участника и в том что той "джокер" тухловат.

(*) Надеюсь что понимающие в FAT прокомментируют такую специфику поведения и чем обусловлены эти значения.

Что касается [more=хамства]Ранее верно написали об относительности понятия хамства. Более подробный ответ будет позже, а пока, исходя из твоих начальных испражнений на этом форуме, в том числе и здесь, могу сказать без гламурных выкрутасов что ты хуйло. И да, я пишу имеенно так, потому как приучен говорить правду как и называть пидаров именно так а не толерантно иными, голубыми, радужными и т.п. [/more]

9285
Big_Endian

Более подробный ответ по сути вопроса будет дан позже. А что касается выяснения отношений, то модератор Akam1 здесь прав. Для этого действительно как нельзя лучше подходит приват, а ещё лучше наверное e-mail. Там так вообще можно обмениваться "любезностями" хоть до посинения, при этом не нарушая правил никакого форума.
А тему это уже право начинает захламлять. Имхо однако.

ICQman2GO
Что то DiskDigger похоже восстановил не все AVI файлы. Это видно по скрину, который я прилагаю к этому сообщению. Файл начинающийся в секторе 4032, имеет размер порядка 189 Мб, верно?Можно скриншот его последнего сектора, а ещё лучше дамп его последних десяти секторов? Он проигрывается в любом плэйере до конца? Похоже нужный файл перезаписан другим содержимым как минимум на треть (это в лучшем случае) Хочу понять, что же от него осталось. Можно ещё скриншот List Clusters файла PICT0023, только нужно скролингом прокрутить до конца этот list, тогда увидим сколько фрагментов имеет сей файл. Это больше для того , чтобы лишний раз кое что проверить, о чём написал Big Endian.
В принципе у меня тоже была мысль, приклеить к тем остаткам нужного файла (PICT0005) заголовок любого файла, снятого на этот же аппарат, а затем починить его. Но прежде нужно выяснить, что же от файла осталось.

Добавлено:
ICQman2GO
Скрин.

[more]
Цитата:

Alex_Green
Можно ещё скриншот List Clusters файла PICT0023, только нужно скролингом прокрутить до конца этот list

Пусть на этот 0023 и на 0005 сохранит List Clusters через ПКМ в текстовый файл и сюда. Если сильно большие - выложить через обменник. Это прояснит ситуацию только с фрагментом от 0023, но там дальше могут быть фрагменты от других файлов. Желательно пройтись по диапазону кластеров 0005-го через Go To Sector/Claster (писать номера кластеров) и смотреть на сообщения Инф. панели справа, она покажет что лежит на этих кластерах.

9285

Цитата:

Я не строю из себя крутого спеца, и уж тем более в области FAT

Кластеры что в FAT, что в NTFS практически одинаковые. File Table читает программа и всё наглядно показывает, тебе и знать необязательно, достаточно того, что это знает программа. Необходимо лишь знать о существовании фрагментации, не зная что и как там пишется в таблицах, и немножко думать. Всё остальное - детские отмазки с твоей стороны.


Цитата:

после удаления файлов значение "их" первого сектора почему то меняется

Проверил через WinHex, у меня ничего не изменилось! И так-же новым фрагментом накрыло начало удалённого файла. Не заглядывал в твои эксперименты, т.к. вообще перестал воспринимать тебя как разумного человека после того, что ты написал в "Что касается хамства [?]"
И всё-же советую отредактировать, по совету Akam1. Мне бы не хотелось, чтоб тебя и здесь забанили. Всё-же худо-бедно хоть чем-то помогаешь пострадавшим.

ICQman2GO

Цитата:

пробовал открывать разными плеерами и восстановлялками avi (VLC, DivFix++, VirtualDub) - все они говорят, что файл не .avi и не открывают совсем ничего.

Так и будет. У файла нет стандартного заголовка (AVI), естественно, что они его бракуют.
Его надо вытащить отдельно (что уже сделано) и заменить ему начальные ~ 50 секторов началом от исправного файла аналогичного формата. Размер исправного файла надо брать чуть больше, чем у 0005, иначе придётся самому редактировать размер в заголовке. После этого и программы будут вести себя более лояльно к тому, что вы им подсовываете.
Однако, прежде следует выяснить насколько он перезаписан другим содержимым через List Clusters. Он ведь может уже весь перезаписан другими файлами и все усилия не дадут никакого результата.
Открывайте List Clusters для своего PICT0005, смотрите список номеров кластеров для него и через меню Navigation => Go To Sector забивайте с каким-то интервалом номера кластеров принадлежащие этому файлу. Поглядывайте что пишет на Инф. панели справа. Там будет написано чем занят этот кластер по спискам File Table. Так сможете выяснить насколько сохранился желанный PICT0005.


To All
Кто подскажет почему мои посты накрывает тэгом (more)?
Я его не ставлю, пытался редактированием убирать, один чёрт сам влетает и всё под тэг прячется. )))


[/more]

Big_Endian

Цитата:

Есть маленький фокус с открыванием файлов в WinHex, и не только в нём. Создайте ярлык на его исполняемый файл и поместите ярлык в папку SendTo. В ХР она находится C:\Documents and Settings\Имя пользователя\SendTo.
В Семёрке, если не ошибаюсь, ищите SendTo в Users (Пользователи).
Это вам позволит в любом месте через ПКМ ->Отправить открывать любой файл в WinHex, даже если он в данный момент не запущен.

В семерке C:\Users\XXXuser\AppData\Roaming\Microsoft\Windows\SendTo

Alex_Green

Цитата:

Файл начинающийся в секторе 4032, имеет размер порядка 189 Мб, верно?Можно скриншот его последнего сектора, а ещё лучше дамп его последних десяти секторов? Он проигрывается в любом плэйере до конца?

Файл sector4032.avi размером 700Мб воспроизводится VLC до определенного момента, потом запись обрывается (индексы не выстраивал, воспроизводил "как есть").
last_10_sectors


Цитата:

Можно ещё скриншот List Clusters файла PICT0023, только нужно скролингом прокрутить до конца этот list, тогда увидим сколько фрагментов имеет сей файл.

Там есть опция ПКМ->Copy List To Text File
Big_Endian

Цитата:

Пусть на этот 0023 и на 0005 сохранит List Clusters через ПКМ в текстовый файл и сюда.

ListClastersPICT0023
ListClastersICT005

Цитата:

Желательно пройтись по диапазону кластеров 0005-го через Go To Sector/Claster (писать номера кластеров) и смотреть на сообщения Инф. панели справа, она покажет что лежит на этих кластерах.

Удобнее получилось вывести ListClasters 005-го и последовательно перемещаясь вниз с первого кластера смотреть на инф.панели.
[more=начинка кластеров 005-го]
1300-1518 PICT0023.AVI
1519-1618 PICT0020.AVI
1619-1654 PICT0018.AVI
1655-1657 PICT0027.JPG
1658-1660 PICT0028.JPG
1661-1662 Idle space
1663-1665 PICT0029.JPG
1666-1678 Idle space
1679-1710 PICT0034.AVI
1711-1740 PICT0033.AVI
1741-1765 Idle space
1766-3094 PICT0017.AVI
3095-3274 PICT0019.AVI
3275-3518 Idle space
3519-5554 PICT0026.AVI
5555-8057 PICT0021.AVI
8058-8423 Idle space
8424-13201 PICT0031.AVI
13202-13667 PICT0030.AVI
13668-14186 Idle space
[/more]

ICQman2GO

Цитата:

ListClastersPICT0023
ListClastersICT005

Отсортируйте список кластеров на фрагменты с помощью "Shorten contiguous claster list".
Он находится там-же где и "Copy List To Text File".
Поставьте на него чебокс и перезапустите окно List Clsters.
Тогда весь список примет такой вид:

Cluster 17477102
[Omitted: 37 261]
Cluster 17514364
-----
Cluster 16988000
[Omitted: 62 743]
Cluster 17050744
-----
Cluster 16897668
[Omitted: 1 042]
Cluster 16898711
-----
Fragment(s): 3

Где указаны первый и последний кластеры фрагмента. Omitted указывает число кластеров в фрагменте.
Иначе список кластеров получается слишком длинный.)))

Big_Endian
Добавил в предыдущий пост, приведу еще раз. Прошелся и составил список заполнения кластеров 005-го.
[more=заполнение кластеров 005-го]
1300-1518 PICT0023.AVI
1519-1618 PICT0020.AVI
1619-1654 PICT0018.AVI
1655-1657 PICT0027.JPG
1658-1660 PICT0028.JPG
1661-1662 Idle space
1663-1665 PICT0029.JPG
1666-1678 Idle space
1679-1710 PICT0034.AVI
1711-1740 PICT0033.AVI
1741-1765 Idle space
1766-3094 PICT0017.AVI
3095-3274 PICT0019.AVI
3275-3518 Idle space
3519-5554 PICT0026.AVI
5555-8057 PICT0021.AVI
8058-8423 Idle space
8424-13201 PICT0031.AVI
13202-13667 PICT0030.AVI
13668-14186 Idle space
[/more]

Цитата:

Отсортируйте список кластеров на фрагменты с помощью "Shorten contiguous claster list".
Он находится там-же где и "Copy List To Text File".
Поставьте на него чебокс и перезапустите окно List Clsters.

Cluster 1300
[Omitted: 12 885]
Cluster 14186 (16064)
-----

Fragment(s): 1