Como o Testdisk pode recuperar mais dados do que o tamanho da partição na qual os dados estão?

Question

Esse vai ser um texto longo, porque eu não tenho certeza de quais partes da história de fundo são relevantes - se você quer pular as partes chatas, você pode apenas ler os dois últimos parágrafos que têm a pergunta real. / p>

Resumindo, fui descuidado com um utilitário de particionamento e atrapalhei minhas partições, possivelmente corrompendo alguns arquivos, pois havia uma operação de redimensionamento de partições em andamento que movia os arquivos quando eu tinha que encerrar o processo do utilitário. O resultado foi que a última partição (cerca de 420 GB) no disco desapareceu, levando consigo a minha máquina / home. Meus backups estavam, digamos, um pouco desatualizados, então decidi tentar recuperar o máximo possível e limpar depois.

Eu iniciei uma distribuição Linux ao vivo para recuperação de dados e iniciei o Testdisk para ver se poderia encontrar a partição ausente. Na primeira execução eu configurei com "Intel partitions", analisei o disco com as buscas rápidas e mais profundas e não consegui nada. Eu percebi que desde que eu sabia o que a tabela de partição parecia antes do acidente, eu usaria o GParted para recriar a partição perdida (sem qualquer formatação) e tente novamente. Com as partições da Intel, o Testdisk ainda não conseguiu encontrar nada no final do disco, por isso tentei com a opção inicial "Sem particionamento". Desta vez, a análise encontrou a partição que eu havia recriado e, na listagem de arquivos, eu realmente podia ver meus arquivos ausentes (junto com muitos arquivos que eu havia excluído anteriormente). Ganhar!

Agora, aprendi minha lição sobre backups frequentes e cuidado com o particionamento (eu nem queria tocar no disco rígido que estava bagunçado, mas os acidentes acontecem). Felizmente, parece que o Testdisk salvou o dia e está copiando os arquivos perdidos em um disco rígido externo enquanto eu escrevo isso, mas há algo sobre a cópia que me deixou confuso.

Como mencionei anteriormente, a partição que eu perdi tinha cerca de 420 GB de tamanho. O disco rígido que a partição reside é 1 TB no total. No momento, o Testdisk já faz cerca de 15 horas (estou copiando os arquivos via USB2.0, sloooow) e df me diz que há mais de 900 GB de material no drive externo no momento. Quando examino o conteúdo da cópia, parece que ainda não há muito conteúdo, embora eu possa ter perdido alguns arquivos grandes.

Como é possível para o Testdisk copiar mais de 900 GB de dados de uma partição de tamanho de 420 GB? Existe alguma pré-alocação para copiar arquivos excluídos que o Testdisk pode ver, mas que na verdade não são recuperáveis?

    

Answer 1

A resposta é testdisk / photorec, muitas vezes mais agarrar. Às vezes, o marcador inicial, o marcador final ou o tamanho do arquivo está corrompido, ou faz um palpite ruim e captura mais setores do que o necessário para um arquivo. Em seguida, outro arquivo tem um ponteiro nessa região e agarra setores sobrepostos novamente.

Portanto, agora o arquivo 1 contém todo o arquivo 1 mais dados aleatórios. Arquivo 2 contém parte dos dados aleatórios. Freqüentemente, esses programas não lidam bem com arquivos fragmentados, e isso também pode resultar em uma sobrecarga de dados.

Em um esforço para garantir que ele recupere o máximo possível, ele não rastreia os setores que fazem parte de outros arquivos, apenas no caso de errar. Portanto, os mesmos setores são duplicados em muitos arquivos.

Eu encontrei arquivos, como documentos do Word, eles dizem 2gb, mas quando abertos e salvos novamente com um novo nome, eles retornam ao tamanho correto.

Finja que cada símbolo é um cluster de armazenamento.

G é um arquivo GIF   W é um documento do word   U não é utilizado

GGGGGWWWWUUUG

A maioria dos arquivos tem um cabeçalho e um rodapé. Assim, quando as varreduras detectam o cabeçalho gif, ele procura o rodapé para o GIF. Portanto, agora o arquivo GIF recuperado contém GGGGGGGWWWWUUUG porque o arquivo está fragmentado. Em seguida, à medida que ele é executado, ele detecta o W ou o cabeçalho da palavra e o rodapé para que o documento da palavra saia corretamente como WWWW, apesar da captura anterior.