如何根据标题的扇区起始地址估算文件大小？

Question

假设我在linux分区的未分配空间中有一个已删除的文件，我想要检索它。

假设我可以通过检查标题来获取文件的起始地址。

有没有办法可以估算出要分析的块数（这取决于图像的大小。）

Answer 1

一般情况下，Linux / Unix不支持恢复已删除的文件 - 如果删除它，它应该会消失。这对安全性也有好处 - 一个用户不应该通过创建跨越几乎所有可用空间的巨大空文件来恢复被另一个用户删除的文件中的数据。

某些文件系统甚至支持所谓的安全删除 - 也就是说，它们可以在删除时自动擦除文件块（但这并不常见）。

您可以尝试编写一个实用程序，它将打开文件系统所在的整个分区（例如，/dev/sda2）作为一个巨大的文件，并将读取它并扫描原始数据的残余，但是如果是文件支离破碎（极有可能），很有可能你能够以某种可用的形式恢复大部分数据。

尽管如此，有些实用程序试图比简单扫描更聪明，并且可以尝试取消删除Linux上的文件，例如extundelete。它可能对你有用，但永远不能保证成功。当然，你必须是root用户才能使用它。

最后，如果您希望能够从该文件系统中恢复任何内容，则应立即卸载它，并使用dd或通过{{1压缩的dd管道对其进行备份节省所需空间。