Demande d'un avis technique éclairé

Comment utiliser TestDisk pour récupérer une partition perdue
Locked
Message
Author
docflied
Posts: 2
Joined: 06 Jan 2015, 09:19

Demande d'un avis technique éclairé

#1 Post by docflied »

Bonjour à tous,
Je sollicite votre éclairage concernant un point technique précis.
Bien que je suis informaticien je ne suis pas du tout à l'aise avec les systèmes de fichiers.
Aussi, si jamais ma requête semble bête ou évidente, je vous prie de me le signaler et non pas, comme sur certains forum, l'ignorer.

Contexte :
L'analyse approfondie d'une clé USB avec TestDisk a fourni les informations suivantes :
--- début reproduction capture d'écran ---
Disk \\XYZ - 16 GB / 15 GiB - CHS 493475 2 32 (que signifie CHS 493475 2 32 ?)

Partition Start End Size in sectors
>D: FAT32 LBA 0 1 32 493245 1 13 31567662
D: FAT32 LBA 32 0 1 493471 1 32 31580160 [name]

...etc...
FAT32, blocksize=32768, 16 GB / 15 GiB
--- fin reproduction capture d'écran ---

Opération A :
La partition nommée [name] (désignée comme active) a été analysée en profondeur pour recouvrir, quand cela a été possible, l'ensemble des fichiers effacés, ce qui a produit un certain nombre de fichiers (a priori ce n'est pas avec TestDisk mais avec un logiciel spécialisé style FTK)

Opération B :
Ensuite, la deuxième partition sans nom (désignée comme non active) a subi une "tentative de parcours" vaine, puisque TestDisk a affiché "No files found, filesystem may be damaged"

Ensuite il est stipulé qu'un parcours intégral de la surface du support bit à bit a été effectué afin de "récupérer des éléments contenus dans cette partition" (dite non active) et je suppose également que ce n'est pas TestDisk qui a été utilise (Est-ce que le module PhotoRec le permet ?)

Cette opération a aussi permis de recouvrir un certain nombre de fichiers.

QUESTONS :
Le parcours bit à bit a-t-il un sens dans le contexte de plusieurs partitions effacées ? Ce que je veux dire que ce parcours ne risque-t-il pas de reproduire les mêmes recouvrement que ceux produits par l'opération A ?

Est-ce que ce scénario a un sens :
formatage d'une clé vierge en FAT32
Utilisation pendant plusieurs années allant jusqu'à la remplir complètement (disons fichierA1 à fichierAi)
formatage de la même clé de nouveau en FAT32
Utilisation pendant x temps sans forcément la remplir complètement (disons fichierB1 à fichierBj)
formatage de la même clé de nouveau en FAT32
Utilisation pendant x temps en la remplissant très peu (disons fichierC1 à fichierCk)

Est-il possible qu'un recouvrement des fichiers effacés (opération A cité plus haut) puisse mettre en évidence des fichiers appartenant à "fichierB1 à fichierBj" et qu'un "parcours intégral bit à bit" puisse mettre en évidence et distinctement des fichiers appartenant à "fichierA1 à fichierAi" ?

Ma compréhension du contexte (qui peut être erronée dû à mon manque d'expertise) est que les opérations A ou B ne peuvent produire qu'approximativement le même résultat mais de deux manières différentes lorsqu'il s'agit du contenu d'un fichier recouvert.
Je me dis que la dernière partition effacée, de même que l'avant dernière, semblait occupait (presque) tout le support physique.
A la limite que l'opération B puisse recouvrir la "structure fat32 des fichiers" de l'avant dernière partition grâce au mécanisme de sauvegarde des tables de partitions (si j'ai bien compris), OK.

Cependant certaines constatations et recherche sur le contenu (supposé) des fichiers "FichierA1 à FichierAi" semble coïncider avec le contenu des fichiers "FichierB1 à FichierBj" ce qui est illogique car ces deux ensembles sont normalement disjoints et c'est ce qui me fait poser des questions.

Par avance merci de votre éclairage, de vos commentaires et surtout de votre temps.

User avatar
cgrenier
Site Admin
Posts: 5432
Joined: 18 Feb 2012, 15:08
Location: Le Perreux Sur Marne, France
Contact:

Re: Demande d'un avis technique éclairé

#2 Post by cgrenier »

Pour chaque partition actuellement existante, utiliser TestDisk, Advanced, List.
Pour chaque partition trouvée avec TestDisk, appuyer sur 'p' pour en lister les fichiers.
Qu'est-ce que cela donne ?

docflied
Posts: 2
Joined: 06 Jan 2015, 09:19

Re: Demande d'un avis technique éclairé

#3 Post by docflied »

Bonjour

Tout d'abord merci de votre réponse.
Mon "gros" problème est que je n'ai pas cette clé USB sous la main et ne peut donc faire le test que vous me demandez.

Pour simplifier il s'agit d'un désaccord sur un constat.

Sur une clé USB de 16 GB sur laquelle a été trouvées une partition formatée de 16GB (Partition A) ainsi qu'une partition plus anciennement formatée, également de 16 GB (trouvée grâce à TestDisk).

Le constat dit que la "partition" A a subi un traitement de "recovery" et donc les fichiers FA1 à FAi ont été recouvert.
Jusqu'à là, rien de sorcier.

Le constat dit également (et c'est là où il y a un désaccord) que la partition B n'a pas pu être parcouru par "TestDisk" qui a affiché "No files found, filesystem may be damaged" c'est alors qu'un parcours bit à bit a été réalisé (j'ignore avec quoi) qui aurait permis de recouvrir les fichiers FB1 à FBj.

Les fichiers FBx ont été désignés dans le constat donc comme des fichiers ayant existé forcément sur la partition B (la plus anciennement formatée)

Qu'est ce qui permet d'affirmer qu'un fichier FBx appartenait forcément à la partition B ?

S'il y a un désaccord c'est que certains de ces fichiers "FBx" semblent contenir des bribes de données qui en toute logique ne pouvaient jamais avoir existé sur la partition B (la plus anciennement formatée)

D'avance merci (et désolé du mal au crâne)

Locked