监控录像文件的碎片提取
原创
©著作权归作者所有:来自51CTO博客作者华山剑客的原创作品,请联系作者获取转载授权,否则将追究法律责任
华山剑客
一恢复商发盘要求恢复一监控录像中删除的4个小时共16个文件的数据(应该是取证用!),恢复商发盘前描述:NTFS分区;文件大小一般在60M左右;恢复软件中显示文件的大小是0;可以找到文件头,但按文件头方式恢复失败;可能要提取碎片!!当时我感觉很奇怪,一般只有大文件在删除时才出现文件大小为0的现象;监控录像一般产生碎片的可能性比较小。接到盘后分析,发现这个硬盘中90%的文件都有20属性,碎片是相当的多,一个文件的dataruns平均占用两个文件记录的大小,晕!以前没接触过监控录像文件,没想到碎片这么多, 20属性的修复+碎片的提取应该是一个高难度的恢复。 硬盘录像机中的文件,不同的厂商,文件格式不一样,提取碎片的方案也不一样,连续研究三个晚上(白天要上班,没办法,每天晚上都研究到凌晨3点,晚上研究东西没人打扰效率高!),第一天晚上分析文件结构,把碎片提取方案确定下来;第二天晚上研究20属性的修复,并恢复出一个文件;第三天晚上编写碎片提取的脚本(Winhex中的脚本)。第四天,看完国庆阅兵直播后,马上投入数据恢复中......恢复第一个,成功!第二个,成功!!分析第三个文件时,感觉这个文件有覆盖的现象,准备放弃这次恢复,但还是有点不大想放弃,第二天又研究了一下文件结构,发现一个新的更准确的方案来找碎片,然后改写脚本,再扫数据,在离上一个碎片很远的位置发现了下一个碎片,最后用这个脚本顺利找到后面的碎片,原来数据没有覆盖,按这种方法把余下的文件全部恢复出来了。恢复成功后,恢复商远程验证数据,然后收钱,发硬盘给恢复商。
上一篇:手机卡录音文件的恢复
下一篇:客户提供的信息仅供参考!!
![](https://ucenter.51cto.com/images/noavatar_middle.gif)
提问和评论都可以,用心的回复会被更多人看到
评论
发布评论
相关文章
-
cfs文件系统只读监控
为确保文件系统可用性,防止出现只读、挂载失败等异常,现对改文件系统进行监控。
文件系统 定时任务 cfs 文件只读 read only