削除ファイル復活の仕組み

質問

削除、フォーマットしたディスクの復活ソフトはたくさんありますが、
これらのしくみを教えてください。
FAT/NTFSを初期化した場合ファイルの情報は失われるハズですよね。
0x00で埋められる？
ファイル削除の場合は先頭１文字不明。

データ部分は消えませんがクラスタスキャンして、JPEG,XLSなどメジャー
ファイルの場合は、そのヘッダやフッタを分析してファイルサイズやファイルの種類
を特定するのでしょうか？
フッタが特定できない場合は、ファイルサイズをアロケーションユニットサイズにて切り上げ？

クイック／通常フォーマットされたディスクの復活の仕組みを教えてください。

回答No.1

Donotrely

各社色々ノウハウはあるんでしょうけど、NTFSでは例えば

http://pc.nikkeibp.co.jp/article/NPC/20070628/276173/?ST=print_leaf&P=2

に単純な場合の説明があります。
ファイルが削除されるとは、ファイルの管理テーブルであるMFTにある管理情報に”削除扱い”が記録されることみたいです。
だからファイルデータ本体がワイプされる訳ではありません。
この”削除扱い”をファイルが存在している時の情報に戻してやれば復元されるようです。

またフォーマットすると、MFT自体は初期化されますけど、MFTにはコピーが存在し、
そのコピーはフォーマットしてもやっぱりワイプされずに残るみたいですね。
もちろんファイルデータもワイプされる訳ではありません。
このコピーされたMFTを正規のMFTとして復活させると、フォーマット前にあったファイルが読めるようになるようです。
フォーマットの方は分かりやすい資料が見つかりませんでした。

お礼

この辺の知識まではあるのですが、クラスタスキャンしたときの復活方法が知りたかったです。

ありがとうございました