Dados no espaço não alocado

Question

Anteriormente, em uma pergunta separada , Eu estava tentando recuperar dados de uma partição perdida. Especificamente, a partição foi perdida de uma partição NTFS do Windows 7 e agora é um espaço não alocado. Através do Photorec e do Testdisk, ainda posso ver os dados e acho que posso recuperá-los. Como o espaço pode ser identificado por gparted como não alocado quando há dados lá? Um sistema de arquivos rotulado não alocado ainda contém dados?

    

Answer 1

Como o espaço não alocado é identificado

Espaço alocado (partições) e espaço não alocado é identificado pela leitura da tabela de partição contida no disco. No caso de um esquema de partição MBR, as entradas para partições são armazenadas nos bytes 446-511 do disco rígido.

Em geral, cada entrada de partição contém o deslocamento e o comprimento, assim como o tipo da partição. Por exemplo, o seguinte poderia ser entradas MBR em um disco rígido hipotético de 12288 bytes (12 KB!):

+==================================+
| ID |   Offset |   Length |  Type |
|====+==========+==========+=======|
|  1 |      512 |     1024 |  NTFS |
|  2 |     1536 |     1536 |  NTFS |
|  3 |     6144 |     6144 |  ext4 |
+==================================+

No exemplo dado, existem 3 partições. A primeira partição ocupa offsets 512 - 1536. A segunda partição ocupa offsets 1536 - 3072. A terceira partição ocupa offsets 6144 - 12288.

A partir daqui, é possível observar que os offsets 3072 - 6144 não são ocupados por nenhuma partição e, portanto, são identificados como espaço não alocado.

Um sistema de arquivos rotulado não alocado ainda contém dados?

Bem, um sistema de arquivos rotulado não alocado não é mais um sistema de arquivos (;

Regiões identificadas como não alocadas ainda podem conter dados - a maioria das ferramentas de exclusão de partições atualmente ( gparted incluído, eu acho) não apaga toda a região ocupada por uma partição quando você a exclui. Normalmente, apenas a entrada correspondente na tabela de partição é removida e os dados que permanecem na região permanecem lá até que um novo sistema de arquivos seja criado nela.

O Testdisk se baseia nesse fato, examinando todo o disco (em vez de apenas ler a tabela de partições) para assinaturas especiais (uma sequência de bytes que identifica exclusivamente uma partição) para localizar partições perdidas no disco.