Penso che tu voglia il Filesystem Slack. Come dice Xaqron, avrai bisogno di un editor esadecimale in grado di aprire le unità, perché l'apertura di un file ti aiuterà solo con il rallentamento del file, non con il lasco del file system.
Preferibilmente dovresti usare un editor esadecimale che mostra i caratteri ASCII contemporaneamente ai dati esadecimali.
Revisione manuale utilizzando l'editor esadecimale
Una volta che hai un editor di questo tipo, devi scoprire cosa stai cercando?
Immaginiamo che stai cercando un documento di Word che è stato cancellato. Il modo migliore per iniziare è guardare un documento di Word con un editor esadecimale, e quindi trovare una sorta di codice all'inizio del file, che probabilmente vedrai su tutti i documenti di parole.
Una volta trovato tale codice, sarai in grado di cercarlo nello spazio allentato.
Un problema che troverai è che l'apertura di un'unità direttamente ti mostrerà tutti i dati, sia Allocato che Allentato. Sfortunatamente, è difficile per un umano distinguere quale è quale. Per esempio, se ci sono dei veri documenti Word, così come quelli cancellati, allora come potresti dire la differenza? Questo sarebbe molto difficile.
Forse dovrai invece cercare le parole chiave o le frasi che ti interessano. Tieni presente che alcuni documenti codificheranno il testo in modo diverso. Ancora una volta, dovresti confrontare i file non cancellati prima di cercare questo in Slack.
Gli stessi principi si applicano a qualsiasi tipo di documento, non solo a Word. Ad esempio, i file di immagine hanno spesso alcuni byte all'inizio che puoi usare per dire che tipo di file era. Sfortunatamente, le immagini sono strongmente codificate, quindi non puoi cercare nei loro contenuti.
Alcuni file come txt non hanno tale identificazione, ma sono anche molto leggeri sulla codifica, quindi sono più facili da trovare nello spazio allentato.
Ricorda che Slack Space sarà spesso un casino, con blocchi di file parzialmente sovrascritti o scaduti. I processi di de-frammentazione o la riassegnazione ad altri file possono introdurre lacune in ciò che è possibile ripristinare.
Strumenti
Un paio di altre cose vengono in mente.
-
Potrebbe esserci un editor esadecimale specializzato o altro strumento disponibile che evidenzierà e cercherà Slack Space separatamente dallo spazio allocato. Non so se ce n'è uno, ma sembra che ci sarebbe. Ciò aiuterebbe davvero il tuo processo di revisione manuale.
-
Esistono applicazioni progettate per identificare e ripristinare i file da Slack Space. Questi strumenti automatici (ripristina i file cancellati) sono prontamente disponibili e sono il modo più semplice per ottenere risultati produttivi.