Восстановить удаленный файл почты Outlook.pst

Файлы *.pst почтовой программы Outlook, как и большинство других файлов, имеют уникальную последовательность байт в начале файла, по которой можно идентифицировать, что в данном конкретном секторе начинается файл .pst. Но это нужно при восстановлении в варианте без структуры. А пока решили попробовать восстановление по логике на основе поиска файловых записей.

В ходе работ было использовано несколько программ для восстановления данных: RStudio, UFSexplorer, DataExtractor от РС-3000. Но, к сожалению, ни одна из перечисленных программ ни по логике, ни в варианте без структуры (поиск по сигнатурам) не нашла нужного файла.

Можно было закрывать заказ с отрицательным результатом, но было принято решение попробовать еще одно средство для анализа, а именно — дисковый редактор WinHex. Файл Outlook имеет сигнатуру BDNR или 0х2142444E52 по смещению 0 от начала файла. Задали эту сигнатуру в дисковом редакторе для поиска с журналированием позиций заданной сигнатуры и запустили сканирование. Оно продолжалось несколько часов, и в результате были найдены несколько сигнатур, которые не принадлежали ни одному файлу.

Анализ результатов позволил определить одну-единственную позицию, которая могла представлять для нас интерес. Как и в файлах базы данных 1С, в файле Outlook есть размер файла, и, основываясь на этой информации, был вырезан фрагмент нужного размера и присвоено расширение .pst.

Первая попытка открыть полученный файл в самой почтовой программе Outlook уже принесла успех. Это оказался нужный нам файл. Далее для надежности результата на этот файл была направлена штатная утилита scanpst.exe, входящая в состав Microsoft Office, для починки, так как, возможно, файл имеет повреждения.