Są takie? Czytałem, że takie składanie danych to raczej praca detektywa :)

W sytuacji idealnej tak.

A tego nie wiem, tym zajmują się programy żeby mi głowa nie pękła. :)

Tak wiem, ale załóżmy sytuację "idealną" :) Rozumiem ze do dokładnego odwzorowania gdzie są fragmenty danego pliku posłużyć mogłaby jedynie kopia MFT z czasu, gdy badany plik istniał?

Lektura obowiązkowa
http://pdf.ebookpoint.pl/infsle/infsle.pdf
https://magazyn.mediarecovery.pl/wszystkie-wydania/
http://www.odzyskiwanie-danych.net/a...trybie_raw.php
Dedykowany soft do carvingu fotek to licencyjny
Adroit Photo z silnikiem <smart-carving>
http://digital-assembly.com/products...rtcarving.html
https://forensictools.pl/pl/oprogram...forensics.html
opis w CHIP 6/2011 str 136/137

Zawsze, ponieważ klaster jest większy niż wielkość nagłówka. :P Ale nie ma żadnej gwarancji na to, że plik zajmuje kolejne po sobie klastry, wręcz szansa jest niewielka. Poczytaj o fragmentacji danych w systemach plików.

File Carving - pytań kilka
 

Czy ktoś z Was miał do czynienia z tematyką file carving, odzyskiwania plików z dysków trybie RAW lub niekompletnych? Chodzi mi o budowę pliku. Czy po nagłówku zawsze zaczyna się już konkretna zawartość pliku?

Weźmy np. jpg z nagłówkiem FFD8FFE0, to czy po końcu nagłówka od razu zaczyna się zawartość zdjęcia, czy są jeszcze jakieś dodatkowe informacje o pliku? Jak rozpoznać, gidze zaczyna się konkretna zawartość?