SD-Karte Filesystem Block/Cluster-Versuche

@Offshore7
Houston - Problem: Ich kann das gerade nicht mehr reproduzieren. Ich bin sicher, dass ich neulich Verzeichniseinträge gelöschter und überschriebener Dateien in ImHex gesehen habe. Aber als ich das gerade nochmal Schritt für Schritt nachvollziehen wollte, sind die Einträge immer sofort verschwunden sobald die Datei überschrieben wurde. Keine Ahnung woher der Unterschied kommt.



Sequenz:
+0064 -> gleich wieder gelöscht
+0065
+0066 -> gleich wieder gelöscht
+0067
+0068
+0069
+0070 -> gleich wieder gelöscht
+0071 (besonders klein, da fast schwarz)
-0068 gelöscht
+0072
-0067 gelöscht
+1165 via PC kopiert

Da ist sogar der Eintrag zu 1165 an die Stelle von 0067 gesetzt worden (zwischen 0065 und 0072)!

Die Speicherbelegung der noch bestehenden Dateien in filefrag sieht so aus (weiß nicht ob das was bringt, aber der Vollständigkeit halber):

@cyclic

Ist die Datei-Nr. 1165 Zufall oder hat das Directory wirklich über 1000 Dateien (inkl. der gelöschten)?

Sobald der letzte Eintrag (1024) geschrieben wurde, werden danach natürlich die vorherigen Lücken gelöschter Dateien gefüllt und die Verzeichniseinträge überschrieben.

Offshore7 schrieb:Ist die Datei-Nr. 1165 Zufall oder hat das Directory wirklich über 1000 Dateien (inkl. der gelöschten)?

Zufall. SD-Karte war frisch formatiert (Low-Level) und nur das letzte Bild habe ich nicht mit der Kamera aufgenommen, sondern einfach eines aus meiner Sammlung vom Rechner draufkopiert. Es gab nie mehr als die 10 genannten Bilder (und die auch nicht gleichzeitig).

Kann es irgendwie an feinen Unterschieden in der Formatierung liegen? Ich habe neulich ein einziges Mal auf meinem alten Win7-Laptop formatiert (sonst immer nur direkt auf der Kamera). Ich bin aber nicht sicher, ob ich auf der so formatierten Karte die Verzeichniseinträge von gelöschten & überschriebenen Dateien gesehen habe. Ansonsten fällt mir gerade nicht viel ein.

@cyclic

Wenn ich mir hier Beitrag von cyclic (Seite 2) den DMDE-Screen anschaue, dann sehe ich 4 gelöschte Einträge 3365, 3366, 3366, 3368 .. wobei 3368 das gelöschte 3365 vollständig überschrieben hat.

Offenbar überlässt es die FAT32-Spezifikation doch dem Betriebssystem, ob und wann gelöschte Einträge recycelt werden. So wie @sceptical sagte, kannst du das dann nur mit der SX270 testen. Am besten erst mal nur 3 Bilder bei Low Level formatierter SD-Karte in der Kamera und gemäß meiner Vorgehensweise hier: Beitrag von Offshore7 (Seite 2)

Ich vermute nach deinen obigen Ergebnissen also, dass es nicht am vollständigen Überschreiben eines Bildes liegt, sondern an der FAT32-Implementierung des OS. Dann sollte es die SX270 aber immer gleich machen und das wäre seltsam:

cyclic schrieb:Ich bin sicher, dass ich neulich Verzeichniseinträge gelöschter und überschriebener Dateien in ImHex gesehen habe.

Obwohl nebensächlich, hier noch, was ChatGPT zum Aufbau des Eintrags ausspuckt:

Spoiler
Hier ist der Aufbau eines Standard- (auch „kurzen“) Verzeichniseintrags (8.3-Dateiname):

---

### 🧱 **Struktur eines 32-Byte-Verzeichniseintrags in FAT32**

| Offset | Größe (Bytes) | Bedeutung |
| ------ | ------------- | ------------------------------------------------------------------- |
| 0x00 | 8 | Dateiname (Name, 8 Zeichen, ASCII, ggf. mit Leerzeichen gepolstert) |
| 0x08 | 3 | Dateierweiterung (Ext, 3 Zeichen, ASCII) |
| 0x0B | 1 | Dateiattribute (z. B. Versteckt, Systemdatei, Verzeichnis, Archiv) |
| 0x0C | 1 | Reserved (für Windows NT, normalerweise 0) |
| 0x0D | 1 | Erstellzeit (Zehntelsekunden, 0–199) |
| 0x0E | 2 | Erstellzeit (in FAT-Zeitformat) |
| 0x10 | 2 | Erstellungsdatum (in FAT-Datumsformat) |
| 0x12 | 2 | Letztes Zugriffsdatum |
| 0x14 | 2 | Höheres Wort (High Word) des Start-Cluster (nur FAT32 relevant) |
| 0x16 | 2 | Letzte Änderungszeit |
| 0x18 | 2 | Letztes Änderungsdatum |
| 0x1A | 2 | Niedriges Wort (Low Word) des Start-Clusters |
| 0x1C | 4 | Dateigröße in Byte (bei Verzeichnissen = 0) |

---

### 🔎 **Erklärung ausgewählter Felder:**

* **Dateiattribute (Offset 0x0B)**: Bitmaske:

* 0x01: Read Only
* 0x02: Hidden
* 0x04: System
* 0x08: Volume Label
* 0x10: Directory
* 0x20: Archive

* **Start-Cluster**:

* FAT32 verwendet 32 Bit für den Startcluster (verteilt über 0x14 + 0x1A). Um den tatsächlichen Startcluster zu berechnen:

```c
startCluster = (high << 16) | low;
```

* **FAT-Zeit-/Datumsformat**:

* FAT speichert Zeit und Datum als Bitfelder:

* **Zeit (2 Byte):**

* Bits 15–11: Stunden (0–23)
* Bits 10–5: Minuten (0–59)
* Bits 4–0: Sekunden/2 (0–29, also Sekunden 0–58)
* **Datum (2 Byte):**

* Bits 15–9: Jahr seit 1980
* Bits 8–5: Monat (1–12)
* Bits 4–0: Tag (1–31)

---

### 📂 Sonderfälle:

* **Gelöschte Dateien**: Wenn das erste Byte auf `0xE5` gesetzt ist, gilt der Eintrag als gelöscht.
* **Freier Eintrag**: Ein Eintrag beginnt mit `0x00`, was das Ende der belegten Verzeichniseinträge signalisiert.
* **LFN-Einträge**: Lange Dateinamen (Long File Names) werden durch spezielle zusätzliche Einträge davor realisiert (Attribut = `0x0F`).

---

Offshore7 schrieb:Wenn ich mir hier Beitrag von cyclic (Seite 2) den DMDE-Screen anschaue, dann sehe ich 4 gelöschte Einträge 3365, 3366, 3366, 3368 .. wobei 3368 das gelöschte 3365 vollständig überschrieben hat.

In dem Versuch wurde gar nichts überschrieben, weil ich da in einer Session (ohne die Karte/den Reader zwischendurch abzustöpseln) mehrere Bilder mehrfach gedreht habe und dabei wird ja freier Speicher nicht neu belegt.

Offshore7 schrieb:Offenbar überlässt es die FAT32-Spezifikation doch dem Betriebssystem, ob und wann gelöschte Einträge recycelt werden. So wie @sceptical sagte, kannst du das dann nur mit der SX270 testen. Am besten erst mal nur 3 Bilder bei Low Level formatierter SD-Karte in der Kamera und gemäß meiner Vorgehensweise hier: Beitrag von Offshore7 (Seite 2)

Das habe ich ja quasi gemacht. Erst ganz am Ende habe ich versuchsweise auch eine Datei vom Rechner draufgeschoben (1165). Alles andere (Formatieren, Fotos machen, Fotos löschen) war auf der Kamera. Und zwischendurch jedesmal mit ImHex gecheckt. Verzeichniseintrag gelöschter Dateien (mit 0xE5 am Anfang) zunächst vorhanden. Dann aber sofort weg wenn Datei überschrieben (teilweise überschrieben reicht, habe extra ein sehr kleines Foto gemacht durch Zuhalten des Objektivs).

Was ich nochmal testen werde ist das Formatieren unter Win7.

cyclic schrieb:In dem Versuch wurde gar nichts überschrieben, weil ich da in einer Session (ohne die Karte/den Reader zwischendurch abzustöpseln) mehrere Bilder mehrfach gedreht habe und dabei wird ja freier Speicher nicht neu belegt.

Aber 3368 beginnt im selben Cluster 4 wie das durch Drehen gelöschte 3365.

Offshore7 schrieb:Aber 3368 beginnt im selben Cluster 4 wie das durch Drehen gelöschte 3365.

Bin ich blind? Wo sind da Cluster ablesbar? Name, ID und Dateigröße sehe ich.

cyclic schrieb:Wo sind da Cluster ablesbar? Name, ID und Dateigröße sehe ich.

Die ID ist der Startcluster. :'D

Verstehe. Ich habe wohl leider bei dem Versuch keine filefrag-Anlyse gemacht und DMDE ist leider voller Bugs (zeigt z.B. manchmal 2GB große Bilder an und andere Scherze).

Ich habe jetzt nochmal getestet: Formatiert unter Win7, formatiert unter Linux. Keine Änderung. Dann habe ich noch die 32GB-Karte aus meiner S120 getestet indem ich auch da ein Bild (das vorletzte) gelöscht und ein neues Bild kopiert habe. Immer sind die Verzeichnis-Einträge gelöschter Bilder verschwunden, sobald der Content (mind. teilw.) überschrieben wurde.

Ich weiß gerade nicht weiter.

Es gibt aber einen blöden Effekt. Bin nicht sicher was davon auf das Konto des Readers, des Rechners und des Tools (ImHex) geht. Jedenfalls muss man aufpassen, dass man wirklich den aktuellen Zustand und nicht irgendwas gecachtes sieht.