探访数据恢复的秘境——如何恢复被覆盖的文件?


您当前的位置:首页 > 解决方案

探访数据恢复的秘境——如何恢复被覆盖的文件?

时间:2022-04-18 10:44:58

客户经常会问我们这样的问题:是否可以恢复被覆盖的数据?如果可以,那么该如何执行这样的任务?

首先,让我们来看一下数据是如何存储在数据存储设备上的。目前,有两种主要的存储设备类型:传统硬盘驱动器 (HDD) 和较新的固态驱动器 (SSD)。

硬盘驱动器

硬盘驱动器使用磁存储来存储和检索数据。他们的磁头在旋转的盘片上磁化了一层薄薄的磁性薄膜。磁化方向的变化代表存储数据中的 0 和 1。当新数据覆盖旧数据时,磁化方向会根据新数据而改变,并且无法再检索以前的数据,至少在彻底拆开磁盘并仔细分析其盘片上的磁场之前,无法再查找以前的数据。所有这一切都超出了计算机用户的技能,哪怕是技术非常高级的计算机用户。

固态驱动器

SSD 使用另一种物理原理进行数据存储:它将电荷存储在内部单元中。必须将被占用的存储单元放电,然后才能将新的数据写入这个单元,这也就意味着先前的数据会丢失。SSD 使用了一种复杂的删除和写入方法,这就使得情况更为复杂了。在我们以前的有关SSD文件恢复的文章中(探访数据恢复的秘境——让我们去寻找那些被删除的文件!(二)),您可以了解更多相关信息。

虽然以上两种存储设备的工作原理不同,但它们有一个共同点:数据一旦被覆盖,就没有了。永远。

现在让我们看看这一切是如何影响文件恢复的。

被覆盖的文件

所有现代文件系统都将有关文件的信息(例如文件名、时间戳和其他服务信息)与其内容分开存储。这样做有几个原因,其中主要原因是灵活的可用空间管理。此外,为了更好地利用可用空间,可以将文件存储在片段中。图 1 显示了磁盘上典型的文件存储布局:

探访数据恢复的秘境——如何恢复被覆盖的文件?

图 1:文件存储布局

当现代操作系统删除文件时,它会部分或完全删除有关文件的信息,但文件的内容保持不变。因此,即使文件的信息被完全删除,文件也可以恢复,前提是文件没有碎片。

如果文件被覆盖,新数据会覆盖旧数据,这样的文件就无法恢复。新文件可能具有相同的名称和大小,但内容将是新的。这也就是文件擦除软件的工作原理,使文件被完全破坏,无法恢复。

被覆盖的分区

注意:不要将这种情况与重新格式化的分区混淆!被重新格式化的分区中只有文件和文件夹的信息会丢失,而文件的内容保持不变,并且可以在一定程度上进行恢复。

当整个分区被覆盖时,例如,当新的操作系统安装在错误的分区上,或者将镜像错误地进行恢复时,新分区的数据会覆盖前一个分区的数据。图 2 显示了这种情况:

探访数据恢复的秘境——如何恢复被覆盖的文件?

图 2:覆盖的分区布局

这样的过程几乎总会完全覆盖文件信息部分,但旧分区中的一些数据可能会保留无损。使用搜索已知文件(原始文件恢复)可以从未触及的区域恢复某些文件。