人们如何从ram中恢复数据？

我只是好奇。我已经阅读了有关执法的内容，以及如何不从ram中获取重要数据以获取证据的内容，但是如何完成呢？从一根公羊棍中恢复文件将需要哪种设备？

冻结芯片，将其弹出到另一台计算机中，然后运行linux命令dd将原始数据复制到磁盘。

获取原始数据后，再次使用dd将其复制到新分区，然后在该分区上运行一个取消删除程序。取消删除应拉出任何属于可识别格式的文件（例如图片等）。其余的可以进一步处理，但不容易，除非您知道要查找的内容。

我不能说我自己完成了此操作，但不难想象它是如何完成的。

观看此视频，Daniel Beck在评论中发布了该视频，以演示如何使用此方法破解硬盘加密。

您不能（实际上）。RAM需要不断刷新以保持“记忆”，当计算机关闭后一分钟左右，电荷就会泄漏出去。

表格维基百科

动态随机存取存储器（DRAM）是一种随机存取存储器，它将数据的每一位存储在集成电路内的单独电容器中。由于实际电容器会泄漏电荷，因此除非电容器电荷定期刷新，否则信息最终会消失。由于存在刷新要求，因此它是动态存储器，而不是SRAM和其他静态存储器。

个人计算机中的主内存（“ RAM”）是动态RAM（DRAM），家用游戏机（PlayStation，Xbox 360和Wii），笔记本电脑，笔记本电脑和工作站计算机的“ RAM”也是如此。

DRAM的优点是结构简单：与SRAM中的六个晶体管相比，每位仅需要一个晶体管和一个电容器。这允许DRAM达到很高的密度。与闪存不同，它是易失性存储器（参见非易失性存储器），因为在断电时会丢失数据。所使用的晶体管和电容器非常小-数百万个可以装在一个存储芯片上。

DRAM单元存储电荷。它们是泄漏的，因此如前所述，它们需要刷新。

存在制造公差，以及温度和部件使用年限的影响，这将定义DRAM单元在未刷新的情况下不再可靠读取所需的实际时间。给定DRAM芯片的刷新规范实际上将是最坏的情况-可以使星期一生产的芯片在最高温度下运行20年或更短的时间使您的数据可读。在大多数情况下，单元可以使数据保留更长的时间。

另外，DRAM芯片内部的电路决定将给定单元中的电荷量读取为“ 0”还是“ 1”（在某些设计中，可能会相反-低电荷表示“ 1”）。电荷含量还不够高，无法读取为“ 1”-在某些情况下，通过以不合规格的工作电压运行DRAM芯片（这可能会使其承受压力，或者使其运行速度慢得多） ，但不会破坏该阈值），可以暂时操纵从0决定1的阈值电压，因此某些或所有单元都可以再次读取。

此外，除非实际有输出寄存器，否则即使在量化（切换为1或0）输出信号中也可能存在细微的电压或波形差异，从而可以提示您电池中实际有多少电荷-比较器（读取放大器很少是完美的量化器，特别是如果它们是为速度而不是精度而构建的。

同样，如果一个单元读取不可靠，则坚定的攻击者或法医仍然可以利用统计数据来发挥其优势（计算读取0或1的次数并进行关联）...