Verlorene Dateien mit Hilfe der Sektor-Ansicht finden

Im vorangegangenen Artikel haben wir darüber geredet, wie man Dateien zur Liste "Dateien gefunden über ihre Signatur" hinzufügt.  Wir haben auch die Möglichkeit angesprochen, die Sektor-Ansicht zu benutzen, um Dateien aufzuspüren, von denen Sie wissen, daß sie da sind, die aber nicht automatisch gefunden wurden.

Es soll nicht unerwähnt bleiben, daß dieser Artikel zur Kategorie "Fortgeschritten" gehört.  Er setzt voraus, daß Sie ein wenig über die Struktur von Dateien wissen und darüber, wie Daten auf Datenträgern abgespeichertwerden.  Trotzdem kann dieser Artikel auch als Starthilfe für ein tieferes Verständnis dienen.

Eine CD, DVD, BD oder eine HD DVD besteht aus hintereinander aufgereihten Blöcken.   Blöcke und Sektoren werden hier im selben Zusammenhang benutzt.  In diesem Artikel ist ein Block auch ein Sektor und umgekehrt.  Es gibt, abhängig von der Art des Mediums und seiner Formatierung (vom Hersteller oder vom Benutzer formatiert), verschiedene Mechanismen, so daß die Blöcke, die man wirklich sieht nicht immer physikalisch hintereinander angeordnet sind. In Wirklichkeit könnten die Daten anders organisiert sein, z.B. in größeren Stücken zusammengefaßt etc. 

Die sogenannten Benutzerdaten-Blöcke scheinen jedoch nacheinander angeordnet zu sein. Sie beginnen bei der Adresse 0 und haben dann ansteigende Adressen. Dabei ist die Größe eines Blocks 2048 Bytes bzw. 2 KB.

An dieser Stelle kommt die Sektor-Ansicht ins Spiel.  Die Sektor-Ansicht gibt Ihnen die Möglichkeit, den Inhalt jeden Sektors oder Blocks einzusehen, vorausgesetzt diese sind lesbar.  Wenn ein Block nicht lesbar ist, erscheint eine Fehlermeldung. Mit den Schaltflächen auf dem Bildschirm können sie leicht durch die Sektoren scrollen. Alternativ dazu können Sie die Pfeiltasten (links oder rechts) benutzen während Sie die STRG-Taste gedrückt halten.

Um zum "Sektor-Ansicht"-Fenster zu gelangen, klicken Sie rechts auf ein Objekt (eine Datei, ein Ordner, ein Track, ...) und wählen Sie aus dem Kontext-Menü "Sektor-Ansicht".  So sieht das Ganze dann aus; die Adresse in der Box ist die Adresse des gerade angezeigten Blocks.

Kommen wir nun zum Aufspüren von Dateien.  Nehmen wir an, sie haben nach verlorenen Dateien und Ordnern gesucht und Sie wissen, daß eine bestimmte Datei auf dem Medium vorhanden ist, die aber nicht von der Software gefunden wurde. 

Sollte die Datei nicht in der Liste "Dateien gefunden über ihre Signatur" aufgeführt werden,  dann paßt die Signatur der Datei auf keine Signatur in der Datenbank des Programms oder die Signatur der Datei ist fehlerhaft.  Textdateien sind zum Beispiel sehr schwer zu detektieren, da ASCII-Text in jeder Art von Datei vorkommen kann, angefangen bei den textbasierten Dateitypen (.html, .ini, .bat, ...) bis hin zu Binärdateien (z.B. .exe, usw.).

In diesem Beispiel (siehe Screenshot) werden wir nach einer Textdatei suchen, von der wir wissen, daß sie existiert.  Nehmen Sie an, Sie haben an einem Buch geschrieben und die Daten sind verlorengegangen.  Sie wissen noch, was Sie geschrieben haben, oder zumindest teilweise, so daß Sie wissen, wonach Sie suchen müssen.  Klicken Sie mit der rechten Maustaste auf den Track in der linken Spalte, wählen Sie "Sektor-Ansicht" aus und beginnen Sie, die Daten Block für Block zu durchsuchen.

Mit Ausnahme von gewissen Medien im Macintosh-Format und sehr kleinen (unter 2 KB) Dateien im UDF Dateisystem, fangen alle Dateien auf optischen Medien beim Offset 0 in einem Block an.  Anders ausgedrückt, den Anfang der Datei werden Sie ganz oben im Fenster der "Sektor-Ansicht" finden, nicht irgendwo in der Mitte des Blocks.  Wir werden uns also bei unserer Suche durch die Sektoren auf deren Anfang konzentrieren.

Im Beispiel (Screenshot) haben wir den Anfang unseren Textes beim Sektor mit der Adresse 25 gefunden.  Schreiben Sie sich diese Adresse auf.

Durchsuchen Sie die Blocks weiterhin, bis Sie auch das Ende Ihrer Datei finden, oder, wenn Sie sich nicht sicher sind, legen Sie eine große Anzahl Bytes fest, wenn Sie anschließend die Datei erstellen.  Wenn Sie das Ende finden, subtrahieren Sie von dieser Adresse (hier:125) die Anfangsadresse (in unserem Beispiel 25) und Sie erhalten die Blocklänge der Datei.  Multiplizieren Sie die Blocklänge mit der Anzahl der Bytes in einem Block (2048), in unserem Beispiel erhalten wir 204800 Byte.

Wir haben es bald geschafft.  Nun geht es weiter wie im vorangegangenen Artikel.  Benutzen Sie "Datei hinzufügen", um eine Datei zur Liste hinzuzufügen.  Erstellen Sie sie mit der gefundenen Startadresse (25) und geben Sie bei der Größe 204800 Byte ein.  Geben Sie der Datei einen passenden Namen, beispielsweise "My book.txt" und es ist geschafft.  Jetzt können Sie rechts auf die frisch erstellte Datei klicken und sie auf die Festplatte extrahieren.

PS. Wenn Sie mehr über Ihre Datei wissen, z.B. ASCII oder Binär Signatur, bedenken Sie, daß IsoBuster kein Hex-Editor ist.  Ein Computer-Experte wird zuerst ein Image des Mediums erstellen und anschließend die Image-Datei mit einem Hex-Editor nach bestimmten Signaturen durchsuchen. Nach einigem Suchen und mit Hilfe des guten alten Taschenrechners können Sie die oben beschriebenen Schritte anwenden und mit IsoBuster Dateien nach Ihren Wünschen extrahieren.