即使被覆蓋,刪除的資料如何恢復?

即使被覆蓋,刪除的資料如何恢復?

這會使檔案無法恢復(Windows 作業系統)嗎?

  1. 刪除檔案(即將其發送到回收站)。
  2. 清空回收站(即刪除資料在記憶體中儲存位置的參考)。
  3. 用不同的資料覆蓋記憶體(假設您知道使用的記憶體區塊,並強制將它們與新資料一起使用)。

我讀過,只有一旦被覆蓋幾次,數據就真正無法恢復。真的嗎?如果儲存資料的記憶體中儲存有其他數據,如何恢復資料?

答案1

對於磁性驅動器,每個磁碟都由一個分割區(大容器)組成,每個分割區都有一種格式(較小的容器),這些較小的容器確實有不同的大小,但是一個分割區只能有一個單一大小的小容器。選擇是: 512、1024、2048、4096 等位元組。

每個小容器都有一個位置(扇區),每個扇區存在於一個簇中,每個簇存在於一個磁軌上。這些磁區(小容器 ID)中的每一個都被索引,大多數時候該索引存在於 MBR(主開機記錄)的最內部磁軌上。

當刪除一個檔案時,索引 id 被標記為可寫,該檔案實際上並沒有被刪除,只是被遺忘了。假設一個人寫入了一個新文件,並且它已寫入該扇區,這將是(第一遍)技術上該文件不會被刪除,僅刪除了一個扇區。人們可以輕鬆地重建檔案並找出遺失的位元組,就像 RAID 磁碟機一樣。

假設每個扇區都被覆蓋,這將被視為完整的第一遍,因為每個扇區都被覆蓋一次。每個磁區的讀取/寫入次數都是有限的,一旦達到此限制,該磁區將變壞並被索引鎖定。磁區會變壞,因為將磁場從正變為負(在單一磁區上設定 1 到 0 位元)最終會極化磁碟上的區域,從而形成不可讀磁區。

大多數面向大眾的商業資料復原軟體都可以讀取幾遍深度(想像一下透過筆記本查看其下面的頁面),而取證軟體可以讀取硬碟磁頭靈敏度的限制。專業的資料復原作業會將磁碟從磁碟機中取出,並將它們放入具有更敏感磁頭的機器中,作為最後的手段磁力掃描穿隧顯微鏡可以讀取高達 10-20nm 的場變化。

以上都是儲存虛擬文件的實體方面。仍然有組成作業系統和程式的檔案。微軟的作業系統程式之一是卷影複製;它是一個儲存資料扇區通道的資料庫。它允許您朝一個方向移動並恢復到特定時間段以恢復檔案。

因此,答案是檔案永遠不會被刪除,它只會被遺忘並慢慢消失。

相關內容