Odzyskiwanie nadpisanych plików

Akkon - 14-11-2008 15:10
Czy to w ogóle możliwe? Nieopatrznie nadpisałem sobie plik Worda umieszczony na pendrive'ie (system plików fat32). Czy są jakieś narzędzia, którymi można by to ruszyć?

Z góry dziękuję za wszelkie sugestie

fnmirk - 14-11-2008 15:57
Poszukaj plików tymczasowych ~jakiś_plik. Mogą być w katalogu z tym plikiem lub w katalogu systemowym temp. Są to pliki ukryte.

Akkon - 14-11-2008 16:00
fnmirk, niestety nie ma takowych.

DadaD - 14-11-2008 18:05

Czy to w ogóle możliwe? Nieopatrznie nadpisałem sobie plik Worda umieszczony na pendrive'ie (system plików fat32). Czy są jakieś narzędzia, którymi można by to ruszyć?

Z góry dziękuję za wszelkie sugestie testdisk i recovery PhotoRec jest w repo jako testdisk

odzyskuje między innymi pliki *.doc

Utumno - 14-11-2008 20:51
Odzyskiwanie przypadkowo skasowanych plikow z FAT32 to rutyna, ( google +fat +undelete ) ale jezeli naprawde nadpisales stary plik nowym o tej samej nazwie to na 100% mozesz zapomniec o starym, chyba ze nowy jest duzo mniejszy...

Akkon - 14-11-2008 22:20

testdisk i recovery PhotoRec jest w repo jako testdisk Dzięki za info. Przetestowałem - odzyskuje idealnie, ale tylko to co usunięte.

ale jezeli naprawde nadpisales stary plik nowym o tej samej nazwie to na 100% mozesz zapomniec o starym Tak właśnie było.
Niestety jest akurat odwrotnie :-(

Czyli wygląda na to, że się nie da? Trudno, ale dzięki za odzew.

DadaD - 15-11-2008 21:00

Czyli wygląda na to, że się nie da? Trudno, ale dzięki za odzew. Co prawda osobiście nie odzyskiwałem nadpisanych plików, ale jeżeli "niszczę" je programem do nieodwołalnego kasowania i ustawiam jednokrotne nadpisywanie to krzyczy, że jest to mało bezpieczne. Najlepiej kasować poprzez wielokrotne nadpisywanie co najmniej 3 razy, a najlepiej algorytmem Gutmana.
Z tego wynika, że jednokrotne nadpisanie jest możliwe do odtworzenia. I jeżeli dobrze pamiętam są dystrybucje stworzone do takich celów, a na pewno zawierające takie oprogramowanie. Czytałem o tym, po awarii mojego dysku, gdy potrzebowałem odzyskać pliki. Program odzyskał również i takie, które dawno usunąłem (tak mi się przynajmniej wydawało), ale w tej chwili wskazania na określoną aplikację nie mogę Ci podać poza komercyjnym EasyRecovery Ontrack dla Windows

Marcinnn - 16-11-2008 16:12
Jak ja odzyskiwałem sobie partycje TestDiskiem, to miałem do wyboru dwie wersje każdej partycji do odzyskania (po wybraniu opcji dokładnego szukania). Jedną świeżo skasowaną i drugą jakąś wcześniejszą mi odzyskiwał. Ale to było na całych partycjach (dwie ntfs, jedna fat, linux-swap i reiserfs). Może więc dało by się odzyskać pojedynczy nadpisany tylko raz plik. Nie raz o tym słyszałem, ale poza dodaniem nadziei niewiele mogę pomóc.

Akkon - 16-11-2008 21:39

Z tego wynika, że jednokrotne nadpisanie jest możliwe do odtworzenia. Tylko jak to zrobić?
Odzyskiwanie usuniętych danych to nie problem. Nawet w przypadku formatowania z reguły jest tak, że fizycznie pliki nie są usuwane z dysku, tylko system kasuje do nich dostęp. To tak jakby zamurować drzwi do pomieszczenia w domu ;-) Wejść do niego nie można, ale ono cały czas tam jest. Jak rozumiem inaczej jest w przypadku nadpisywania tego samego pliku. W tym przypadku zapis dokonuje się (poprawcie mnie jeśli się mylę) fizycznie w tym samym miejscu. I stąd cały problem.

fnmirk - 16-11-2008 22:49
Musiałbyś wyszukać te pliki tymczasowe, o których wcześniej napisałem. Jak one są traktowane przez programy do odzyskania danych nie wiem. Ale one są tworzone w trakcie pracy z edytorem i np. w razie nagłej przerwy w działaniu edytora są wykorzystywane do odzyskania pliku.
Poczytaj o tym programie: http://www.briggsoft.com/dsnoop.htm
Ciekawe informacje potrafi znaleźć nawet wersja trial. Nie wiem jak on obecnie się zachowuje (dawno się już nie miałem okazji nim posługiwać), nie mniej możesz przejrzeć faq na stronie programu.

Utumno - 17-11-2008 03:28
mirk, takie pliki tymczasowe maja tam szanse byc tylko wtedy, jesli on otwieralby i modyfikowal ten dokument bezposrednio z pendrive'a - w co watpie...

fnmirk - 17-11-2008 08:33
Zawsze powstają w pamięci. Są jednak zapisywane jak wszystko również na dysku. Jak przeglądasz partycję Windows, kogoś kto nie dba zbytnio o ,,czystość'' systemu, znajdujesz dużo plików istniejących dokumentów worda w katalogu z oryginałami i w katalogu temp. Często są to podobne wersje danego dokumentu. Nie zastanawiałem się nad mechanizmem ich powstawania. W większości są wynikiem awarii worda. Czy interesująca nas wersja dokumentu została zapisana może jest to kwestia przypadku. Windows ma tendencje do tworzenia śmieci (nie kontrolowany* zapisuje nowe pliki na wolnym miejscu pomijać nawet miejsca gdzie coś zostało usunięte - przynajmniej tak było). Przeglądając te śmieci można przy odrobinie szczęścia coś znaleźć. Prawdopodobieństwo naprawy częściowo odzyskanego dokumentu jest duże.

-------------
* przez programy do czyszczenia systemu z plików tymczasowych, defragmentacja, czyszczenie rejestru itp.

Utumno - 17-11-2008 09:37
Jesli masz doc, np. w C:\Documents and Settings\Utumno\My Documents\TwojDocument.doc ( uff! ) i otworzysz go stamtad Wordem, to dokladnie w momencie otworzenia Word stworzy w BIERZACYM KATALOGU kopie robocza nazywajaca sie '~$wojDocument.doc'. Jak zamkniesz Worda, kopia robocza jest usuwana ( chyba ze sie Wordzina scrashuje albo ktos go zabije )
Tylko w tych przypadkach taki ~$wojDocument.doc zostanie na dysku.

To jest dokladnie taki sam mechanizm jak Vim.

fnmirk - 17-11-2008 10:58
Tak wszystko jest tak jak napisałeś. Powstają pliki ukryte, które normalnie można zobaczyć, że są z poziomu systemu. Po zamknięciu programu one znikają (zazwyczaj).
Jednak kiedy dokonasz zmiany w pliku i zapiszesz go --- to po zamknięciu programu pozostaje kopia tego pliku zaznaczona jako usunięta. Mogę się tu mylić (było to jakiś czas temu), od dłuższego czasu nie zajmuję się Windowsami na tyle aby się im aż tak dokładnie przyglądać. Z tego co pamiętam to analiza dysku programem Directory Snoop pokazywała istnienie tych usuniętych plików po zamknięciu edytora. Nie odzyskiwałem wersji konkretnego pliku (nie miałem takiej potrzeby) tylko pliki i partycje. Obecnie wstyd się przyznać (lub jest to mój plus), nie tracę plików, zawsze pracuję na kopii (one bywają moją zmorą, usuwam po pewnym czasie).

Akkon - 18-11-2008 20:00
Utumno, fnmirk. Wersja pliku, na której mi zależy była edytowana bezpośrednie z pendriva. Nie pamiętam tylko czy robiłem to z poziomu Windowsa (Word) czy Debiana (OpenOffice), ale dokument jest w formacie *.doc. Później plik ten został nadpisany (przez skopiowanie pliku o tej samej nazwie) zmodyfikowaną wersją tego pliku znajdującą się na innym komputerze działającym pod Debianem. ÂŻadnych ukrytych plików tam nie ma (przyjemniej ja ich nie widzę).

nie tracę plików, zawsze pracuję na kopii (one bywają moją zmorą, usuwam po pewnym czasie) Z reguły mnie się to też nie zdarza. W tym właśnie przypadku zapomniałem, że wyedytowałem kopię (na pendrive) i oryginał (na komputerze) w innych miejscach, a później nadpisałem kopię (o której zapomniałem, że nie jest to już zwykła kopia, ale kopia zmodyfikowana) zmodyfikowanym oryginałem ;-) Jak widać z tego przykładu, czasami "praca na kopiach" może przynieść więcej szkody, niż pożytku.

Pozdrawiam