recuperare file parzialmente sovrascritti

[tufsa]

salve,
ho memorizzato alcuni i file email di thunderbird su una chiavetta usb.
avendoli per errore sovrascritti volevo cercare di recuperarli parzialmente visto che i file iniziali erano molto grandi (più di 500MB) mentre i file che li hanno sovrascritti sono di circa 2KB.
avrei pensato di fare così:
1) cancellazione sicura degli altri file presenti sulla chiavetta usando file shredder (in singola passata in modo che i file cancellati vengano sovrascritti solamente da una stringa di soli "1"), questo lo faccio per eliminare gli altri dati che non ho intenzione di recuperare e che potrebbero crearmi confusione,
2) creazione di un file immagine con programmi tipo ghost, get data back, stellar phoenix,,,
3) lettura del file immagine e conseguente estrazione dei dati che mi interessano (classico copia incolla su file).

qualche consiglio?

esistono programmi in grado di effettuare un file immagine del solo spazio libero (non allocato) della mia chiavetta?
(visto che è in quello spazio che devo cercare la parte non sovrascritta dei file da recuperare e considerando che rispetto alle dimensioni della chiavetta di 32GB creerei un file immagine di soli 3GB?)

grazie, in anticipo

[crazy.cat]

1) Già il fatto di aver scritto qualcosa sulla penna ti rende difficile il recupero, se ci scrivi ancora crei ancora più problemi.
2) ghost crea file immagine, ma get data back, stellar phoenix mi sembra che recuperino file. sono quindi due cose diverse
3) Non è che nel file immagine trovi i dati sovrascritti, oppure non ho capito cosa vuoi fare.

esistono programmi in grado di effettuare un file immagine del solo spazio libero (non allocato) della mia chiavetta?

Non credo che esistano.

Prova Get data back e recuva e vedi cosa ti propongono di recuperare.

[tufsa]

ho fatto già una prova con un'altra chiavetta sovrascrivendo un file grande con uno più piccolo,
il file piccolo sovrascrive il file grande solo nella sua prima parte (header), il resto del cluster (supponendo che il file più piccolo non l'abbia utilizzato interamente) viene riempito con caratteri "null", ma alla fine di quel cluster il file sovrascritto ricompare in tutto il suo splendore.
per quanto riguarda stellar e get data back, anche qui posso assicurarti che fra le loro funzioni c'è anche quella di creare un immagine 1:1 del disco/chiavetta, cioè un immagine che comprenda anche lo spazio non allocato e permettere di effettuare le operazioni di recupero sul file immagine invece che sul supporto direttamente (questa funzione è molto utile se il disco sta per rompersi).
per quanto riguarda i programmi di recupero che ho provato (get data back, stellar phoenix, file scavenger), non mi hanno dato nessun risultato utile visto che credo non considerino i cluster successivi al file piccolo che ha sovrascritto quello grande precedente, cioè non interpretano i dati contenuti nei file ma solo gli header dei file (nel mio caso è prorio l'header che manca visto che è stato sovrascritto, lasciando inalterata la parte utile del file da recuperare).

[vahost53]

>> esistono programmi in grado di effettuare un file immagine del solo spazio libero (non allocato) della mia chiavetta?

esistono programmi che fanno un file immagine TOTALE della chiavetta e poi analizzi e salvo solo la part enon allocata .
Vedi per es "FTK imager" della access data (anche free) o qualunque altro tool di forensics.
buon recupero
Bron