gelöschte dateien wiederherstellen

[fdsgbla]

kann man mit delphi gelöschte dateien wiederherstellen? wenn ja dann wie.
dass es mit assembler und c++ geht, das weiss ich.

[SnuffMaster23]

Dann bau doch deinen asm-Code in ein Delphi-Prog ein oder linke asm/c++-Binaries per DLL oder OBJ rein.

Ansonsten gehts sicher nur ganz eklig übers Win-API.

[fdsgbla]

Zitat:

Zitat von SnuffMaster23

Dann bau doch deinen asm-Code in ein Delphi-Prog ein oder linke asm/c++-Binaries per DLL oder OBJ rein.

mit assembler kenne ich mich kein bisschen aus

Zitat:

Zitat von SnuffMaster23

Ansonsten gehts sicher nur ganz eklig übers Win-API.

wie denn?

[Luckie]

Drück dich bitte mal etwas verständlicher aus. Delphi ist eine Entwicklungsumgebung und Programmiersprache. Dass man damit Dateien löschen kann ist mir neu. Ich kann mit Delphi ein Programm schreiben, welches mittels Windows Funktionen eine Datei löscht. Das geht aber mehr auch nicht.

[SnuffMaster23]

Naja, dein erster Post klang so als ob du wüsstest wie es mit asm/c++ geht.

Und wies übers Win-API geht weiß ich nicht, drum hab ich "sicher nur" geschrieben.

Tut mir leid dass ich dir nicht helfen kann.

//roter Kasten:
@Luckie: Mit asm kann das Delphi-Prog ohne Windows-Funktionen Dateien löschen ;)

[Luckie]

Zitat:

Zitat von SnuffMaster23

//roter Kasten:
@Luckie: Mit asm kann das Delphi-Prog ohne Windows-Funktionen Dateien löschen ;)

Und wie? DeleteFile ist eine Windows-Funktion. Diese markiert die Datei im File Allocation Table für gelöscht, so dass sie überschrieben werden darf, falls nötig. Wenn du das ohne diese API Funktion machen willst, wirst du wohl von Hand den FAT editieren müssen. Viel Spass bei dem undokumentierten NTFS.

[SnuffMaster23]

Sicher macht das keinen Spaß von Hand im Dateisystem rumzupfuschen :D.

Ok, hab grad nachgeschaut, es geht nicht direkt mit asm selber sondern eigentlich mit dem Prozessor 80x86.
Stichwort Interrupt 13h ;)

Und sag jetzt nicht dass Windows den Interrupthandler ersetzt!

[Luckie]

Tut es. Sonst könnte man im UserMode keine Dateien löschen. Wie gesagt, die Datei wird im FAT nur als gelöscht markiert. Da wird nicht physisch auf die Festplatte zugegriffen. Und wie das mit einem Interrupt funktionieren soll ist mir ehrlichgesagt schleierhaft. Die Hardware weiß doch gar nichts von den Daten und wie sie organisiert sind. Das weiß nur das Betriebssystems an Hand des Dateisystems.

[SnuffMaster23]

Eigentlich hast du Recht, das muss eigentlich ein Handler von Windows sein.

Als Parameter für die Interruptaufrufe gibts noch Sektoren, Spuren und so.
Die braucht man aber garnicht wenn man mit nem (fremden) Dateisystem arbeitet :?


@fdsgbla: Du könntest höchstens wie ein FileStream Speicherplatz anfordern, den aber nicht mit 0 initialisieren. Dann Byte für Byte durchkämmen ob du bekannte Dateiheader findest und die Dateien ins RAM laden oder auf sicher freien Platz auf der Platte schreiben.

Ich denke so machen das alle Dateiretter die zu kriegen sind.

[TKC]

Zitat:

Zitat von SnuffMaster23

@fdsgbla: Du könntest höchstens wie ein FileStream Speicherplatz anfordern, den aber nicht mit 0 initialisieren. Dann Byte für Byte durchkämmen ob du bekannte Dateiheader findest und die Dateien ins RAM laden oder auf sicher freien Platz auf der Platte schreiben.

Ich denke so machen das alle Dateiretter die zu kriegen sind.

Na hoffentlich nicht ....

Also zur Theorie:

!! Es gibt keinen API aufruf um gelöschte Dateien wiederherzustellen !!

Wenn du das selbst programmieren willst

1. Zugriff mit Deviceioctl herstellen
2. MFT oder FAT auslesen
3. MFT oder FAT durchsuchen und gelöschte Datei Records finden
4. Start und End Sector der gelöschten Datei aus dem Record auslesen
5. sollte dann klar sein oder ??

[fdsgbla]

joa danke ich werde mal gucken

[SnuffMaster23]

Zitat:

Zitat von ACE-ppc

Na hoffentlich nicht ....

War ja nur so ne Vermutung.
Ich hab mal irgendwo nen Bericht/Anleitung über so ein Tool gelesen, das "konnte" nur Bilder wiederherstellen.
Drum ging ich davon aus dass das so geht.

Aber deine Lösung klingt irgendwie "legaler" :D

[himitsu]

Zitat:

Zitat von Luckie

Und wie das mit einem Interrupt funktionieren soll ist mir ehrlichgesagt schleierhaft.

Über INT 13 konnte man mal "alles" mit dateien anstellen, vom öffnen, über erstellen, bis hin zum löschen ... aber alle Codes/Befehle, welche ich bisher dazu mal gesehen habe gehen nicht mehr unter WinNT, abgesehn davon waren daß eh alles 16-Bit-Befehle (also wenn sie noch gingen, dann wären sie nicht so effektiv unter Win32, wie die WinAPI).