抹消・リカバリー大全サポートサイトへ    HOME
ハードディスク全体/パーティション全体/メディア全体の抹消結果の検証
「wipe.exe」の検証結果（パーティションの抹消）
「wipe.exe」でパーティションを抹消する前と、抹消した後を比較したダンプを掲載します。
「wipe.exe」で選択できる上書き方式は、「0xFFで1回→乱数で1回→0x00で1回」、 「0x00で1回」、「0xFFで1回」、「乱数で1回」の4種類ですが、この例では「0xFFで1回」上書きしています。
抹消したパーティションのサイズは160GB、フォーマットはNTFSです。

■パーティション先頭（0xFFで1回上書き）

抹消前抹消後
ブートセクタの内容が表示されているブートセクタの内容が0xFFで上書きされている


■パーティション中間（0xFFで1回上書き）

抹消前抹消後
比較のため、あらかじめ0x00で埋めておいた抹消前はすべて0x00だったが、0xFFで上書きされている


■パーティション末尾（0xFFで1回上書き）

抹消前抹消後
0x00のみが表示されている。Windows 2000 / XPのNTFS形式でフォーマットしたパーティションの末尾にはブートセクタのコピーがあるのだが、Windows 2000 / XPは、通常はこの部分を保護しているらしく、ブートセクタのコピーを表示せず0x00だけを表示するようだ。Windows2000 / XPとは別のOSからこの部分を見るとブートセクタのコピーが実際にあることを確認できる 抹消前は0x00だけだったが、ブートセクタのコピーが表示されている。パーティション先頭のブートセクタが無効な内容に改変されたとき初めて、ブートセクタのコピーが読めるようになるらしい。この結果について解説した資料は見つかっていないが、おそらく次のような理由によるものと推測できる。ブートセクタが無効な内容に改変されると、そのパーティションは壊れていると判断され、読めなくなる（開こうとすると「このディスクはフォーマットされていません」と表示される）。ダメージを受けたのがブートセクタだけであれば、パーティション末尾にあるブートセクタのコピーをパーティションの先頭に上書きすることで、パーティションを読めるようになる。このようにパーティションを復元するチャンスを残しておくために、普段はブートセクタのコピーを保護し、読めないようにしているのではないだろうか。「wipe.exe」による抹消ではブートセクタを含む全体を上書きしてしまうので、当然、ブートセクタのコピーが残っていても復元の可能性はない


■パーティションの末尾は上書きできなかったので、末尾の1つ前と2つ前のセクタを表示してみます。
抹消後のパーティション末尾の1つ前抹消後のパーティション末尾の1つ前
末尾の1つ前も0xFFで上書きされていない0xFFで上書きされている。画面は省略するが、これより前のセクタは、0xFFで上書きされていた

補足 : 100MBのパーティションを抹消した場合は、160GBの場合とは異なり、パーティション末尾の1つ前のセクタも上書きされていました。NTFSでフォーマットしたパーティションのサイズが大きい場合、末尾の1つ前にあるセクタに上書きされないようにする仕組があるのかもしれません。なおブートセクタの大きさはパーティションのサイズにかかわらず、512バイト（1セクタ）です。

抹消・リカバリー大全サポートサイトへ    HOME

Copyright (C) NORbert (Cybernetic Survival Network). All Rights Reserved.