PC-3000 DE.删除的文件恢复

JDCTS5

PC-3000 DE.删除的文件恢复

删除的文件恢复是一项非常流行的任务。所以，如何操作与硬盘驱动器和恢复删除文件。让我们在这篇文章中讨论一下。

文件删除后驱动器修改后了文件系统的元数据，但不直接影响文件的主体。这些文件仍然位于驱动器上，但（！）文件系统认为这些块是空的，可以写入，文件系统可以用新用户数据覆盖这些块。

客户端将驱动器带到DR实验室的速度越快，恢复已删除的文件.的可能性就越大。

第一种方法。文件系统元数据的搜索和分析。

此解决方案基于已删除文件的可用文件系统元数据，因此我们可以找到这些值。

看看这个带有NTFS文件系统分区的图片。这里我们有几个文件夹，然后我们删除了其中一个。

删除之前：

删除后：

如您所知，NTFS中的每个文件都有“MFT记录”。它包含文件名、创建数据、修改数据等。这些值用于文件系统对文件的识别。所有这些记录都具有相同的大小（基本上为1024字节），并保存在驱动器的特殊区域中——在MFT表（主文件表）中。该区域分配有保留，因此该区域内可以是未使用的扇区。

因此，在删除“图片”文件夹后，我们有以下内容：

§ 链接到“图片”文件夹已被删除；

§ “Pics”文件夹的记录和该文件夹中每个文件的记录在MFT表中标记为免费；

§ 已经用于这些文件的空间像免费的一样，可以用于新用户的数据。

（这不是完整的更改列表，但对本文来说已经足够了）

因此，文件及其MFT记录仍在驱动器上，但这些文件及其MFTs记录的空间标记为新文件.可用。

如果我们按原样打开分区，我们将看不到此文件夹和已删除的文件，但如果我们扫描MFT记录，我们可以将此文件夹和文件返回到原始分区。

此过程可通过“扫描MFT”选项在数据提取程序(Data Extractor)中执行。不要忘记标记“显示已删除的文件”选项。

«扫描MFT»选项--不是NTFS文件系统的唯一逻辑扫描：

§ «扫描MFT»和«扫描MFT+INDX»方法-读取驱动器的一小部分，因此此过程需要一点时间。但两者都带来了一个好的结果，如果文件系统不是一个很坏的。

§ «分区分析»和«搜索NTFS结构»方法-对复杂情况有效（然后损坏整个分区）。它们读取整个分区，需要花费大量时间进行扫描，但会带来最高质量和最完整的结果。

在我们的示例中，这些选项中的每一个都会带来相同的良好结果，并且文件将被恢复。

第二种方法。当删除的文件元数据没有找到时。

数据提取程序(Data Extractor)为每个文件系统提供逻辑扫描选项。例如，XFS可以使用«分区数据分析»选项。但在我们的示例中，它并没有带来结果，因为XFS文件系统在删除文件后会清除元数据记录。

如果删除用户后继续操作，NTFS分区上也会出现同样的情况。已删除文件的记录可以用新数据重写。对于这种情况，可以使用RAW恢复方法，但我们可以尝试通过以下方法加快过程：

建立未使用空间的数据位图，然后在此数据位图上启动RAW恢复过程。

这个过程可以节省大量的时间，也可以获得良好的扫描结果。

有些情况需要应用这两种方式来进行恢复，我们的TS部门随时准备为您提供帮助。