V.3. Inne - ६ㄙҚ ਸ
• Windows Recycle Bin i plik Info2 •

lUB = UBound(aLin)

' pobierz ostatnią linię rekordu i usuń końcowe spacje
sLastLine = RTrim$(Mid$(aLin(lUB), MY_START_POS, MY_CHARS_IN_LINE)) & " "
' oblicz ile było pustych spacji na końcu ostatniej linii
lDelta = MY_CHARS_IN_LINE - Len(sLastLine)

' przygotuj ciąg wyściowy
sHex = Space((lUB + 1) * MY_CHARS_IN_LINE - lDelta)

For i = 0 To lUB - 1
Mid$(sHex, i * MY_CHARS_IN_LINE + 1, _
MY_CHARS_IN_LINE) = _
Mid$(aLin(i), MY_START_POS, _
MY_CHARS_IN_LINE)
Next

' dopisz ostatnią linię
Mid$(sHex, lUB * MY_CHARS_IN_LINE + 1, _
Len(sLastLine)) = sLastLine

    Informacje na ten temat można pobrać u „źródeł” tzn. na oficjalnej stronie Microsoft'u patrz. W jaki sposób Kosz przechowuje pliki ? Poniżej krótkie streszczenie artykułu rozszerzone o moje własne spostrzeżenia.

    Kiedy w normalny sposób tzn. poprzez zaznaczenie pliku (folderu) i bez wciśniętego klawisza Shift usuwamy plik (folder) z dysku, to fizycznie ten plik (folder) nie jest usuwany, lecz zostaje przeniesiony do systemowego Kosza znajdującego się na dysku, na którym zlokalizowany jest usuwany plik (folder). Informacja o usuniętym pliku (folderze) zapisywana jest w pliku Info2 znajdującym się w Koszu.

Lokalizacja pliku Info2 w systemowym folderze Kosz
System operacyjny	System plików	Ścieżka
Windows 98/Me/XP	FAT32	?:\Recycled\Info2
Windows NT/2000/XP	NTFS	?:\Recycler\<SID>\Info2

gdzie:

    Po przeniesieniu pliku (folderu) do Kosza jego nazwa zmieniana jest na nową nazwę w/g schematu: [D]  [?]  [#]  [.ext]
gdzie:

    Trzy pierwsze elementy nazwy występują zawsze, czwarty element (rozszerzenie) występuje jedynie wtedy, gdy nazwa usuniętego pliku (folderu) zawiera kropkę. Jest to ciąg znaków, który znajduje się za ostatnią kropką w nazwie pliku (folderu).
    Jeżeli usuwany folder zawiera podfoldery i pliki, to nazwy podfolderów i plików wewnątrz folderu nie są zmieniane. Folder jest w całości wraz z zawartością przenoszony do Kosza i zmieniana jest tylko jego nazwa w/g opisanego już schematu.

    Informacje o strukturze pliku Info2 dostępne w Internecie można praktycznie ograniczyć do poniższych dwóch adresów:

1. http://www.e-fense.com/helix/Docs/Recycler_Bin_Record_Reconstruction.pdf - Forensic Analysis of Microsoft Windows Recycle Bin Records
       autor: Keith Jones - Computer Forensics Manager. - Link już nieaktualny !
2. INFO2 RECYCLE BIN file - A PRIMER
       autor: Steve Hailey - CyberSecurity Institute

    Z artykułów tych wynika, że plik Info2 zawiera 16-bajtowy nagłówek, w którym cztery ostatnie bajty (0x00 00 03 20) określają wielkość rekordu zawierającego dane o usuniętym pliku (folderze). Wielkość tego rekordu równa jest 800 bajtów (dziesiętnie), tak więc pierwszy rekord zaczyna się od 17 bajtu, a kończy na 816 bajcie. Wynika z tego, że w rekordzie 4 pierwsze bajty zawierają bliżej nieokreślone informacje, a nazwa ASCII usuniętego pliku (folderu) zaczyna się od 5 bajtu rekordu.

2.1. Nagłówek pliku Info2

    Moim zdaniem na początku pliku Info2 znajduje się 20-bajtowy nagłówek, którego zawartość można opisać za pomocą poniższej struktury:

Private Type INFO2_HEADER
End Type

gdzie:

• Version - najprawdopodobniej nr wersji, zazwyczaj równy 0x00 00 00 05, w starszej wersji równy 0x00 00 00 04,
• RemovedObjects - ilość usuniętych plików i folderów w Koszu, które zostały oznaczone wg schematu [D]  [?]  [#]  [.ext]
• LastIndex - ostatni najwyższy indeks, który został wykorzystany do oznaczenia pliku (folderu) w Koszu,
• RecordSize - wielkość w bajtach rekordu zawierającego dane o usuniętym pliku (folderze), wynosi 0 x 00 00 30 20, czyli (dziesiętnie) 800 bajtów, lub 0 x 00 00 01 18, czyli (dziesiętnie) 280 bajtów,
• OccupiedSpace - sumaryczna wielkość w bajtach wszystkich plików w Koszu (także tych znajdujących się w folderach i podfolderach),

    W trakcie pracy systemu Windows elementy struktury INFO2_HEADER takie jak RemovedObjects, LastIndex, OccupiedSpace nie są aktualizowane podczas operacji usuwania lub przywracania plików i folderów.
    Elementy te są aktualizowane podczas wybrania przez użytkownika w menu Start polecenia Wyloguj lub polecenie Zamknij system. Anulowanie wybranego polecenia nie wstrzymuje aktualizacji pliku Info2. Jeżeli system zostanie zamknięty nieprawidłowo (reset komputera, zanik napięcia) to plik Info2 nie zostaje zaktualizowany. Podczas startu systemu plik ten także nie jest aktualizowany, ale podczas usuwania pliku (folderu) system zna prawidłowy indeks dla usuwanego pliku (folderu).
    Nagłówek w trakcie pracy systemu zostanie zmieniony także wtedy, gdy użytkownik uruchomi polecenie "Opróżnij Kosz" z menu podręcznego, lub z menu Plik. Wtedy wszystkie pliki (foldery) są usuwane z Kosza, a plik Info2 jest resetowany tzn. z całego pliku Info2 pozostaje tylko 20-bajtowy nagłówek z domyślnymi wartościami dla Wersion = 0x00 00 00 05 oraz RecordSize = 0 x 00 00 30 20, pozostałe elementy struktury nagłówka zostają wyzerowane. Ale w trakcie wylogowywania się użytkownika lub zamykania systemu element struktury LastIndex zostanie nadpisany aktualną (pamiętaną) przez system wartością indeksu.

2.2. Rekord w pliku Info2

    Za 20-bajtowym nagłówkiem pliku znajdują się zazwyczaj 800-bajtowe rekordy zawierające informacje o kolejno usuwanych plikach (folderach). Pierwszy rekord zaczyna się od 21 bajtu, a kończy na 820 bajcie. Dalej, aż do końca pliku, co 800 bajtów zapisane są kolejne rekordy. Strukturę 800-bajtowego rekordu, możemy przedstawić następująco:

Private Type INFO2_RECORD_W
End Type

gdzie:

• FilePathA - oryginalna nazwa usuniętego pliku (folderu) zapisana w wersji ASCII (maksymalnie 259 znaków),
• FileIndex - przyrostowo generowany indeks usuniętego pliku (folderu), odpowiada identyfikatorowi # w nazwie pliku (folderu) w Koszu,
• DriveIndex - liczbowy odpowiednik litery dysku, z którego usunięty został plik (folder) zgodnie ze schematem 1 => a, 2 => b, 3 => c itd. Odpowiada on drugiej literze w nazwie pliku (folderu) w Koszu,
• ftRemoved - data i czas usunięcia pliku (folderu) zapisana w 64-bitowej strukturze FILETIME (patrz FILETIME Structure) określająca ilość 100 nanosekundowych okresów, które upłynęły od 1 stycznia 1601 roku.
  Strukturę tę możemy zadeklarować następująco:
  
  
  Private Type FILETIME
  

  dwLowDateTime As Long
  dwHighDateTime As Long
  

  End Type
• BytesCluster - liczba określająca ilość bajtów zajętych przez klastry, które zajmuje na dysku usunięty plik (folder),
• FilePathW - oryginalna nazwa usuniętego pliku (folderu) zapisana w Unicode (maksymalnie 259 szerokich znaków),

    Rekord może być mniejszy i zawierać tylko 280 bajtów. Różnica wielkości wynika z braku w takim rekordzie obszaru, odpowiadającego zmiennej FilePathW o długości 520 bajtów, zawierającego oryginalną lokalizację pliku w wersji Unicode. W takim przypadku pierwszy rekord będzie zaczynał się od 21 bajtu, a kończył na 300 bajcie.
Strukturę takiego rekordu, możemy przedstawić następująco:

Private Type INFO2_RECORD_A
End Type

gdzie poszczególne składowe są takie same jak w strukturze INFO2_RECORD_W.

2.3. Zawartość Kosza, a zmiany w rekordach w pliku Info2 ?

•     Gdy w trakcie usuwania plików (folderów) do Kosza przekroczony zostanie limit miejsca w Koszu (określony we właściwościach Maksymalny rozmiar Kosza) to znajdujące się już w Koszu pliki (foldery) są usuwane, a na zwolnione miejsce przenoszone są nowsze pliki (foldery). W pliku Info2 w rekordzie odpowiadającemu usuwanemu z Kosza plikowi pierwszy znak (oznaczenie literowe dysku) pełnej ścieżki pierwotnej lokalizacji pliku (zapisanej w ASCII) zostaje nadpisany znakiem vbNullChar.
• Taka sama operacja nadpisania pierwszego znaku w elemencie FilePathA struktury INFO2_RECORD zostanie wykonana, jeżeli w systemowym Koszu zaznaczymy pliki (foldery) i uruchomimy polecenie "Przywróć" z menu podręcznego, lub z menu Plik, albo zaznaczone obiekty usuniemy klawiszem DELETE, bądź przeciągniemy i opuścimy te obiekty do innej lokalizacji.
      Praktycznie, w każdym przypadku usunięcia (przeniesienia) plików i folderów z systemowego Kosza, w pliku Info2 w odpowiadających tym plikom (folderom) rekordach, pierwszy znak (oznaczenie literowe dysku) pełnej ścieżki pierwotnej lokalizacji pliku (zapisanej w ASCII) zostanie nadpisany znakiem vbNullChar.
• Jeżeli użytkownik uruchomi polecenie "Opróżnij Kosz" z menu podręcznego, lub z menu Plik to wtedy wszystkie pliki i foldery zostają usunięte z Kosza, a z pliku Info2 pozostanie jedynie 20 bajtów zresetowanego nagłówka pliku bez jakichkolwiek rekordów.
• Można powiedzieć, że w pliku Info2 znajduje się (w pewnym, dość ograniczonym zakresie) historia usuwania i przywracania plików. Historia ta jest mocno ulotna i dość nieprecyzyjna, ale czasami jej znajomość może przynieść korzyści.

3.1 Deklaracje niezbędnych funkcji API, struktur oraz pomocnicza funkcja konwertująca:

Private Declare Function FileTimeToSystemTime _ Private Declare Function FileTimeToLocalFileTime _ Private Declare Sub CopyMemory Lib "kernel32" _ Private Declare Function lstrlen Lib "kernel32" _ Private Type SYSTEMTIME
End Type

Private Type FILETIME
End Type

Private Type INFO2_HEADER
End Type

Private Type INFO2_RECORD_A
End Type

Private Type INFO2_RECORD_W
End Type



' pomocnicza funkcja konwertującą strukturę FILETIME na datę
Private Function zbConvertFiletimeToDate( _
ft As FILETIME) As Date
Dim ftLocal As FILETIME
Dim st As SYSTEMTIME

' konwertuj czas do lokalnej strefy czasowej
FileTimeToLocalFileTime ft, ftLocal
' konwertuj czas do formatu SYSTEMTIME
FileTimeToSystemTime ftLocal, st
' konwertuj elementy struktury SYSTEMTIME na datę
zbConvertFiletimeToDate = CDate( _
CDbl(DateSerial( _
st.wYear, st.wMonth, st.wDay)) + _
CDbl(TimeSerial( _
st.wHour, st.wMinute, st.wSecond)))
End Function

' 3.2 Deklaracje zmiennych i stałych w funkcji czytającej dane z pliku Info2:

Private Function zbReadDataFromInfo2( _
sPathInfo2A As String) As Long

Dim ifH As INFO2_HEADER	' struktura nagłówka pliku Info2
Dim ifRA As INFO2_RECORD_A	' struktura rekordu pliku Info2 (tylko ASCII)
Dim ifRW As INFO2_RECORD_W	' struktura rekordu pliku Info2 (ASCII + Unicode)
Dim sFilePathA As String	' pomocnicza zmienna dla ASCII
Dim sFilePathW As String	' pomocnicza zmienna dla Unicode
Dim sPathRecycledA As String	' ścieżka folderu, w którym znajduje się plik Info2
Dim sNameInRecycledA As String	' nazwa pliku (folderu) w Koszu
Dim sExtA As String	' ciąg znaków (ASCII) występujący po kropce
Dim fExistInRecycled As Boolean	' czy plik (folder) istnieje fizycznie w Koszu
Dim fIsDirectory As Boolean	' czy obiekt jest folderem, czy plikiem
Dim lInStr As Long	' położenie szukanego ciągu w innym ciągu
Dim ff As Integer	' uchwyt pliku
Dim i As Long	' licznik
Const MY_ATTRIB As Integer = vbSystem +           vbHidden + vbReadOnly + vbArchive	' pełny atrybut pliku (folderu)
Const SIZE_HEADER As Long = 20	' wielkość nagłówka pliku Info2
Const SIZE_RECORD_A As Long = 280	' wielkość rekordu w pliku Info2 (tylko ASCII)
Const SIZE_RECORD_W As Long = 800	' wielkość rekordu w pliku Info2 (ASCII + Unicode)

' [FileIndex] - liczbowy indeks usuniętego pliku (folderu),
Debug.Print "[FileIndex] - Indeks pliku:", , , .FileIndex

' [DriveIndex] - liczbowy odpowiednik litery dysku z którego usunięto plik (folder),
' indeks ten możemy przekonwertować na oznaczenie literowe w poniższy sposób:
Debug.Print "[DriveIndex] - " & _
"Oznaczenie literowe napędu:", _
Chr$(Asc("A") + .DriveIndex) & ":\"

' [ftRemoved] - data usunięcia pliku (folderu) zapisana w strukturze FILETIME,
' do konwersji struktury FILETIME na datę musimy użyć własnej funkcji:
Debug.Print "[ftRemoved] - " & _
"Data usunięcia pliku (folderu):", _
zbConvertFiletimeToDate(.ftRemoved)

' [BytesCluster] - ilość bajtów w zajmowanych klastrach na dysku,
Debug.Print "[BytesCluster] - " & _
"ilość zajmowanych bajtów w klastrach:", _
.BytesCluster

' [FilePathW] - oryginalna lokalizacja pliku (folderu), wersja UNICODE,
' sprawdź wielkość rekordu, oryginalna lokalizacja [FilePathW] występuje tylko w 800-bajtowych rekordach
If ifH.RecordSize = SIZE_RECORD_A Then
    Debug.Print "[FilePathW] - " & _
"rekordy 280-bajtowe nie zawierają lokalizacji " & _
"pliku (folderu) zapisanej w wersji Unicode"
Else
    sFilePathW = Left$(.FilePathW, 2 * lstrlen(.FilePathW))
    Debug.Print "[FilePathW] - " & _
"oryginalna lokalizacja (Unicode):", sFilePathW
    sFilePathA = StrConv(sFilePathW, vbFromUnicode)
End If