Чтение суперблока
Основываясь на комментариях Йорн Веми
[0-9999]{1,4}[A-Z][0-9999]{1,4}-[0-99]{1,2}
соответствует 8454T3477-90 также соответствует, например: 1A1-1 и т. Д.
2 ответа
Так как Вы упоминаете Mac OS X, давайте предположим, что Вы означаете делать это для HFS + только. Страница Wikipedia предоставляет некоторую информацию о возможных способах запуститься, например, она говорит это о дисковом расположении:
Секторы 0 и 1 объема являются блоками начальной загрузки HFS. Они идентичны блокам начальной загрузки в объеме HFS. Они - часть обертки HFS.
Сектор 2 содержит Заголовок Объема, эквивалентный Основному Блоку Каталога в объеме HFS. Заголовок Объема хранит большое разнообразие данных о самом объеме, например, размер блоков выделения, метка времени, которая указывает, когда объем был создан или местоположение других структур объема, таких как Файл Переполнения Файла или Степени Каталога. Заголовок Объема всегда располагается в том же месте.
Файл Выделения, который отслеживает, от которых блоки выделения свободны и которые используются. Это подобно Битовому массиву Объема в HFS, каждый блок выделения представлен на один бит. Нуль означает, что блок свободен, и тот означает, что блок используется. Основное различие для Битового массива Объема HFS, то, что Файл Выделения хранится как регулярный файл, это не занимает специальное зарезервированное место около начала объема. Файл Выделения может также изменить размер и не должен храниться непрерывно в объеме.
Это становится более сложным, после этого. Читайте на B* деревья, например.
Я не пользователь Mac OS, но меня удивило бы, если бы уже не было инструментов, записанных для сканирования для удаленных файлов, возможно, некоторые - открытый исходный код и могли обеспечить более конкретную начальную точку?
Вы испытаете небольшое количество затруднений для нахождения удаленных файлов, потому что там не много остается на диске для нахождения, когда Вы удаляете файл.
При удалении файла на FAT (или UDF) файловая система ее запись каталога просто отмечена, как "удалено" с большей частью записи dir, все еще неповрежденной.
На объемах HFS, из-за их использования B-деревьев, удаленные редактирования должны быть удалены из каталога, или иначе поиск объектов не работал бы больше эффективно (хорошо, этот аргумент может быть немного слабым, но факт - то, что удаленные записи удалены и перезаписанные).
Так, если удаление не произошло путем переписывания сектора каталога случайно, или путем переинициализации объема, Вы не найдете много.