Sector View gebruiken om verloren bestanden terug te vinden

In het vorige artikel hadden we het over hoe u bestanden kunt toevoegen aan een lijst van Bestanden gevonden via hun signatuur. Bestandssignatuur We hebben ook de mogelijkheid aangeraakt om Sector View te gebruiken om bestanden op te sporen waarvan u weet dat ze er zijn, maar die niet automatisch gevonden kunnen worden.

Er moet vermeld worden dat dit artikel zich begeeft op het terrein van wat we Engineering zouden noemen. Het vereist enige kennis van de diepere mechanismen van bestanden en hoe data op gegevensdragers opgeslagen wordt. Het kan echter ook een goede springplank zijn om een dieper begrip te krijgen.

Een CD, DVD, BD of HD DVD is opgebouwd uit blokken, na elkaar. Blokken en sectoren worden hier in dezelfde context gebruikt. In dit artikel is een blok een sector en omgekeerd. Onderliggend zijn er verschillende mechanismen, afhankelijk van het schijftype en de formattering (fabrieksformattering of formattering door de eindgebruiker). In werkelijkheid staan de blokken die we te zien krijgen dus niet altijd echt na elkaar; onderliggend kan de data anders georganiseerd zijn, of beheerd worden in grotere brokken enz.

Maar de zogenaamde gebruikersdata-blokken lijken wel na elkaar georganiseerd te zijn, met oplopende adressen, beginnend vanaf adres 0, en de grootte is 2048 bytes ofwel 2 KB per blok.

Hier komt Sector View goed van pas. Het Sector View-venster laat u de inhoud van elke sector of elk blok zien, op voorwaarde dat het leesbaar is. Er verschijnt een foutmelding als dat niet het geval is. Eenvoudig door de sectoren scrollen kan via de knoppen op het scherm, of door de Ctrl-toets ingedrukt te houden in combinatie met een pijltje (rechts of links) op uw toetsenbord.

Om het venster Sector View te openen, klikt u met de rechtermuisknop op een object (een bestand, een map, een track,...) en kiest u Sector View. Onderstaande schermafbeelding toont wat u dan te zien krijgt; het adres in het vakje is het adres van het blok dat momenteel getoond wordt.

Bestanden opsporen via een zoekactie met Sector View

Nu, om bestanden op te sporen. Stel dat u een scan naar ontbrekende bestanden en mappen uitgevoerd heeft en u weet dat een bepaald bestand op de schijf aanwezig is, maar het werd niet gevonden door de software.

Als het bestand niet getoond wordt in de lijst Bestanden gevonden via hun signatuur, Bestandssignatuur dan komt de signatuur van het bestand niet overeen met een signatuur in de database van het programma, of heeft het bestand eigenlijk geen goede signatuur. Neem bijvoorbeeld een gewoon tekstbestand, dat zeer moeilijk te detecteren is, aangezien ASCII-tekst deel kan uitmaken van eender welk type bestand, van de typische tekstgebaseerde bestanden (.html, .ini, .bat,...) tot binaire bestanden (zoals .exe enz.).

In dit voorbeeld (zie schermafbeelding) gaan we op zoek naar een tekstbestand waarvan we weten dat het aanwezig is. Stel dat u een boek aan het schrijven was en de data is verloren gegaan. U weet wat u geschreven heeft, of toch gedeeltelijk, dus u weet waarnaar u op zoek bent. Klik met de rechtermuisknop op het track-icoon in het linkerpaneel, selecteer Sector View en begin de data blok per blok te doorzoeken.

Behalve bij bepaalde Macintosh-geformatteerde schijven, en behalve bij zeer kleine bestanden (< 2 KB) in het UDF-bestandssysteem, beginnen alle bestanden op optische media op offset 0 in een blok. Met andere woorden, u vindt het begin van het bestand bovenaan in het venster Sector View, niet ergens in het midden van het blok. Daar concentreren we ons dus op wanneer we door de sectoren kijken.

In het voorbeeld (schermafbeelding) vonden we het begin van onze tekst op sectoradres 25. Noteer dat adres.

Ga verder met door de blokken te bladeren tot u ook het einde van uw bestand ziet, of, als u het niet zeker weet, zorg er dan voor dat u achteraf een erg grote byte-grootte opgeeft wanneer u het bestand aanmaakt. Als u het einde vindt, trek dan het startadres (bv. 25) af van het eindadres (bv. 125) en u heeft de bloklengte van het bestand. De bloklengte vermenigvuldigd met het aantal bytes in een blok (2048 bytes per blok) geeft in dit voorbeeld een lengte van 204800 bytes.

We zijn er bijna. Nu terug naar wat uitgelegd werd in het vorige artikel. Gebruik Bestand toevoegen om een bestand aan de lijst toe te voegen. Maak het aan met het startadres dat u gevonden heeft (bv. 25) en stel de grootte in op 204800 bytes (in dit voorbeeld). Geef het een gepaste naam, bv. Mijn boek.txt, en u bent klaar. U kunt nu met de rechtermuisknop op het pas aangemaakte bestand klikken en het naar uw harde schijf extraheren.

PS. als u meer weet over het bestand waarnaar u op zoek bent, hetzij ASCII- hetzij binaire signaturen, houd er dan rekening mee dat IsoBuster geen hex-editor is. De computerkundigen onder u weten wel hoe ze in plaats daarvan een image-bestand van een schijf kunnen maken en een hex-editor kunnen gebruiken op het resulterende bestand om naar bepaalde signaturen te zoeken. Na wat zoekwerk en uiteraard de vertrouwde rekenmachine geldt uiteraard nog steeds al het bovenstaande, en kunt u IsoBuster gebruiken om bestanden naar wens te extraheren.