Linux系统数据恢复实战案例(2)

第一个文件的header secotor:264056,end sector:264058

第二个文件header sector：264064,end sector：264076.发现第一个文件的end sector与第二个文件的header sector相差多个sector,那么中间的差值是什么呢?

可以看到中间的差值全部以00填充.到这里我们来总结下这次在linux上的实践操作：
ext4 file system
执行 剪贴
file name : usb.png sector 67120
file header : sector 264064 file end: sector 264076
执行 删除
file name : 1.gif sector 67112 (覆盖)
file header: start : sector 264056 end: sector 264057 (覆盖)
file name: 56.jpg sector 67112
file header:start: sector 264056 end: sector 264061

当单文件时,执行删除时,覆盖上一次被删除的数据.

储存文件：

(1) file name : partition.zip sector 67112
file header: start sector 264056 end sector 264058

(2) file name : cab.ico sector 67112
file header: start sector 264064 end sector: 264068

剪切区：sector 264064
删除区: sector 264056
储存区：与删除区共存
储存区: 当单文件时,储存文件覆盖删除区数据.
数据恢复：当多文件时,删除区保留数据hex,如果建立新文件数据时,将覆盖被删除数据hex.

附图(FAT32磁盘格式图)：

（编辑：ASP站长网）