有没有办法恢复可能已被覆盖的已删除文件?


0

我删除了笔记本电脑上的大量文件和文件夹,然后将新文件放在相同的文件夹中。我需要恢复已删除的文件。我尝试了很多恢复软件,但无法恢复旧文件。

我读到如果你在删除旧文件后用新文件重新填充文件夹,那么我无法再次恢复它们。真的吗?

我该怎么办?


1
对不起,我们不是技术支持。您需要与熟悉操作系统文件系统的人员交谈。
schroeder 2015年

2
不,没有经过验证的方法来恢复已被覆盖的数据。
摩押2015年

4
只是将文件放在同一个文件夹中并不能保证旧文件被覆盖。
摩押2015年

2
没有; 如果覆盖了数据,则无法恢复被覆盖的数据。
Ramhound 2015年

3
@BillOer那篇文章是BS!如果它已被覆盖,它将永远消失。
摩押2015年

Answers:


7

如果数据实际上已被覆盖,则无法恢复。

以下是1996年的论文,它引用了可能的说法:Peter Gutmann:“ 从磁性和固态存储器中安全删除数据 ”(也在这里)。

公平地说,古特曼博士在论文的第一个结语中指出:

许多读者似乎错过的另一点是,本文没有提供数据恢复解决方案,而是提供数据删除解决方案。换句话说,它在问题陈述中指出存在潜在风险,然后本文正文探讨了降低风险的方法。

换句话说,该文件并未声称可以证明可以恢复覆盖数据。他只是表明有理由认为这似乎是合理的, 并提出了足以阻止这种复苏的覆盖模式。(虽然,由于他显然从未真正证明任何覆盖数据的恢复,他无法测试这些模式,因此他们的功效仍未得到证实,因为他们的必要性。)

然而,下面链接的论文表明风险远远小于声称的风险。

(我不得不提到Gutmann博士也因声称Windows Vista的反盗版,DRM强制执行功能会耗费大量能源而引起全球变暖而闻名.George Ou:“ 声称Vista DRM会导致全部CPU负载全球变暖被揭穿! “(2007)。)

在接下来的部分中,我将引用几篇不同于Gutmann博士关于恢复覆盖数据的可能性的论文。


国家经济研究局的Daniel Feenberg:“ 情报机构可以阅读覆盖数据吗? ”(2003年,2013年)彻底分析了Gutmann的主张并发现它们“过于紧张”。该演示文稿相当非技术性,为后续论文提供了一个很好的“起点”。(注意,此链接之前已在Moab的问题评论中发布。请注意:在下面的引文中,在本答案的其余部分中,“MFM”指的是“磁力显微镜”,一种显示非常磁化模式的显微镜高分辨率,而不是“修改频率调制”,现在已经过时的技术,用于在硬盘上记录数据。“MFM” 用于Gutmann'的后一种情况

Gutmann提到,在简单设置MFM设备后,这些位在几分钟内开始流动。这可能是真的,但他引用的位不是来自磁盘文件,而是来自磁盘表面图片中的像素。Charles Sobey [...]建议使用最新的MFM技术扫描单个盘片需要一年多的时间,并且必须处理数十TB的图像数据。

和:

如果覆盖是真正随机的,单次写入就足够了,即使STM显微镜的功率远大于参考中的显微镜。事实上,在寻求恢复的数据之前写入磁盘的数据将干扰恢复,就像之后写入的数据一样--STM显微镜无法判断产生磁矩的顺序。它不像墨水,后来的应用程序实际上在早期标记之上。

和:

最近,Wright,Kleiman和Sundhar(2008)发送了一篇精彩的文章,展示了恢复图像数据准确性的实际数据。虽然图像包含有关基础位的一些信息,但错误率非常高,以至于难以想象对结果有任何用处。虽然偶尔的单词可能会从数千个中恢复,但绝大多数明显恢复的单词都是虚假的。

(Wright 等人的论文是我在下一个+ 1部分介绍的论文。)

另一个需要思考的事实是,任何人都没有读到罗斯玛丽伍兹在尼克松的录音带上创造的“18分钟差距”,讨论水门事件的闯入。尽管20世纪60年代模拟记录器的数据密度比当前的驱动技术低大约一百万倍,并且音频恢复不需要高精度,但没有一个音素被恢复。


Feenberg链接到Charles Sobey撰写的一篇论文:“ 恢复不可恢复的数据 ”。(他使用的链接是陈旧的;此时此链接正在运行。)但Sobey的论文是关于从故障驱动器恢复数据,而不是覆盖的驱动器:

如果磁盘没有物理损坏,则用户的数据仍然存在, 除非它已被覆盖。(emph。补充 - jeh)


Craig Wright,Dave Kleiman和Shyaam Sundhar RS:“ 覆盖硬盘数据:伟大的擦除争议 ”(2008)是一篇更为技术性的论文。作者测试了 Gutmann使用磁力显微镜的理论(Gutmann显然从未做过,从未声称拥有过),并发现它不起作用。

他们的论点的要点是:旧数据确实会对新数据覆盖时产生的磁场产生影响; 然而,他们(用实际数据)显示效果非常弱。它与信号变化的顺序相同 - 噪声 - 在读取原始驱动器时“自然地”遇到,并且两者不能可靠地分离。即,由于在硬盘驱动器的操作中正常的噪声引起的磁场强度的变化,以及由旧数据引起的噪声的变化不能彼此区分。

事实上,随着现代驱动器(甚至可以追溯到1990年),整个过程主要是一个猜测游戏,在测试时显着失败。

此外,他们还指出,覆盖数据恢复背后的基础理论是不可支持的:

这个论点产生于这样的说法,即“每个轨道都包含了所有写入其中的所有内容的图像,但是每个”层“的贡献逐渐变得越来越小。” 这是对驱动物理学的误解功能和磁共振。实际上没有时间成分,图像没有分层。它是一个密度图。[emph.addly - jeh]

当呈现完美图像时,即使在低密度原始驱动器(在任何实际环境中也不存在)上,恢复水平太低而无法使用。

因此,我们可以断言,在具有单个原始擦除通道(甚至不是低级格式)的新且未使用的驱动器上恢复任何数据的最小值(少于0.01%的可能性)。在使用驱动器(甚至格式化使用)的情况下,无法恢复信息 - 位恢复的可能性很小,但获得整个单词的几率很小。


Gordon Hughes和Tom Coughlin:“ 安全擦除磁盘驱动器数据 ”(2004)得出了类似的结论,用于对从磁头恢复的信号进行“异乎寻常的”模拟分析。

他们表明,恢复信号和旧数据之间可能存在弱相关性,但前提是您已经知道旧数据是什么。这显然在法律上毫无用处。如果你没有什么可以尝试与之相关联,那么旧数据对信号的残余影响与噪声无法区分。这与Wright,Kleiman和Sundhar先前引用的论文中得出的结论相同,但是通过分析电信号而不是MFM图像得出结论。

他们得出结论:

一次擦除似乎足以使旧数据无法恢复。

此外,关于磁畴的MFM“图片”:

很容易获得看起来显示未删除的轨道边缘数据的图片。但是没有人显示数据扇区的完全恢复,包括数据同步前同步码,比特去随机化器,部分响应和调制码,以及纠错码。


我将添加一个我自己的最终想法:如果可以将两组不同的数据写入驱动器的同一物理区域并可靠地恢复,那么硬盘驱动器制造商将在几年前就已经存在。他们本来可以使用驱动器的明显能力在同一个地方存储两个不同的数据项,以增加驱动器的可用容量。这显然没有发生过。


-2

他们进垃圾桶了吗?现代操作系统使用垃圾桶范例。文件不会在现场删除,而只是移动到特殊的存储库。

如果文件占用的空间已被释放,操作系统可能会在第一时间重用该空间。这意味着,无法回收此空间以重建已删除的文件。

这就像教室里的黑板。如果内容已被删除,您可以仔细查看电路板重建内容。如果它已被擦除非常干净或已被覆盖,则以前的数据会丢失。如果它已被部分覆盖,您可能能够部分重建丢失的数据。


-4

我不知道你提到哪个操作系统,但是,是的,你可以恢复文件,如果他们在硬盘中。

由于磁性,磁盘可以将其表面(从磁盘的最顶层)的信息传播到更深的层。一个好的程序可以读取所有这些层中的信息(每个扇区数百和数千次),比较所有这些扇区读数并尝试恢复原始信息,这将是每个扇区最常见的统计信息。

如果文件通常被删除(不是DoD 5220-22M方法),您可以尝试使用SpinRite来恢复它们。

但是,由于其特性,它的操作非常慢,并且可能消耗大量时间,具体取决于HDD速度(磁盘和控制器)。


1
这是不正确的。在历史记录中没有包含来自不同时间的跟踪的“层”,并且没有可以恢复实际被覆盖的数据的软件。已经讨论了基于硬件的恢复方法,但结果也不可行。
Jamie Hanrahan 2015年

1
如果它已被覆盖,它将永远消失。
摩押

2
SpinRite不会恢复被覆盖的文件,只是修复了受损的扇区。
cybernard 2015年

3
实际上,表面上的任何扩散都是微不足道的,软件无法检测到它。从理论上讲,对于使用隧道微处理器来恢复一些数据的资金非常充足,但即使这样做可行,但巨大的成本错误率可能会使任何不是非政府组织试图获得极有价值的人成为非首发。秘密。您应该从备份还原数据。如果你没有备份,你应该踢自己。如果你没有被告知备份的重要性,那么你应该追求任何教你的人。
davidgo 2015年

thx所有你的答案,现在我永远丢失了我的数据:( ,,我会踢自己
Abdo Hamoud 2015年
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.