Пометить удаленные файлы как не удаленные

емкость жесткого диска составляет 500 Гб. 150 ГБ данных были случайно удалены. Я не записал байт на диск после этого инцидента, поэтому мои данные гарантированно будут там. Я пробовал приложения, такие как Recuva, все приложения показывают, что данные есть, и позволяют мне сохранять данные в другом месте, но проблема в том, что я не хочу этого делать.

Я просто хочу, чтобы файлы снова были помечены как не удаленные в MFT. Есть ли приложение для этой цели? Я искал много, но ничего не нашел, Можно ли снять пометку с файлов, удаленных в MFT, или мне что-то не хватает? Я мог бы написать приложение для этого, если бы знал, как сделать это вручную.

20
задан Elmo
30.03.2023 8:40 Количество просмотров материала 3235
Распечатать страницу

2 ответа

восстановление файлов на NTFS объем не так просто, как листать один бит. Это правда, что разница между удаленным и не удаленным файлом только одна немного в MFT, но нужно также восстановить содержимое файла, которое хранится в виде потоков, а также повторно отметить удаленные сектора как используемые в псевдо-файле $ Bitmap, который содержит один бит в участок, каждый бит указывает, используется (выделен) или свободен (доступен для распределение.)

сложность работы такова, что все инструменты восстановления предпочитают не писать в поврежденный объем. Например, пометка сектора в $Bitmap может привести к перекрестной цепочке если этот сектор уже используется другим файлом.

эта статья очень хорошо продемонстрировала проблему с шестнадцатеричными дампами:

Windows ‘File Recovery’ серия: Часть 5 вручную восстановить удаленный файл из файловой системы NTFS.

другая статья даже содержит исходный код программы, которая может быть изменена чтобы unflip "удаленные" бит : восстановить файл в NTFS.

есть довольно много NTFS дисковых редакторов, которые могут редактировать MFT, чтобы перевернуть этот бит. Некоторые, которые я нашел через Google (но, к счастью, никогда не нужно использовать) являются :

WinHex

NTFS Data Recovery Toolkit

DMDE

Бесплатный Активный Диск Editor

возможное решение, которое может даже работать было бы отменить удаленный бит в MFT, затем используйте утилиту chkdsk, чтобы попытаться восстановить содержимое. Эта утилита может восстановить секторы-цепочки файлов, сектора которых были ошибочно помечены как доступно для перераспределения и исправит $Bitmap.

тем не менее, всегда есть вероятность, что эта процедура может уничтожить ваш диск.

вот почему вы и все комментаторы выше (включая себя) не нашли ни одного продукта, который делает восстановление на месте. Возможности для привинчивать вверх ваш диск просто слишком много для тех, кто не является сотрудником Microsoft, работающим на NTFS.

мои самые лучшие рекомендации для вас, чтобы получить второй жесткий диск и восстановить файлы. Я считаю, что вы выяснили, что одного резервного диска недостаточно. У меня уже было несколько случаев, когда друзья просили меня восстановить их единственную резервную копию, и я всегда советую им (иногда тоже поздно) иметь два резервных диска.

кроме того, как минимум один из двух резервных дисков должен быть отключен от компьютера. Я советую это после слушания случая, когда компьютер поджарил себя и каждого подключенное USB-устройство, оставляя владельца без данных и без резервной копии в один удар.

5
отвечен harrymc 2023-03-31 16:28

как Я вчера сказал, вы всегда можете попробовать сделать это вручную с помощью hex / disk-editor, если есть только несколько файлов для восстановления, но я, конечно, не рекомендовал бы его.

через несколько минут исследования и тестирование, мне в конце концов удалось пометить файл как не-удаленные в $MFT, но проблема в том, что этого недостаточно, вы также должны отметить кластеры, которые он использует в использовании в $BITMAP. Эта задача оказалась слишком сложной и слишком много работы, чтобы найти и сделать так я в конце концов сдался. Я думал бежать chkdsk /f чтобы увидеть, если он будет обнаружить несоответствие и отметьте кластеры правильно, но это чувствовал себя слишком рискованно, чтобы сделать, потому что раздел NTFS я тестировал на было несколько других файлов, которые я не хочу потерять.

(кроме того, обратите внимание, что в отличие от FAT*, NTFS сохраняет цепочку кластеров для файла в $MFT, Это не гарантирует, что у вас будет доступ ко всей цепочке кластеров во время восстановления, поэтому фрагментированный файл может закончиться быть невозвратными. Даже если вы ничего не записали на диск после случайного стирания, это не означает, что Windows этого не сделала. Например, оно могло быть написано \System Volume Information, особенно если Shadow Copy/запущена служба предыдущих версий.)

очевидно, что ручное восстановление на самом деле не является решением, ни ответом на ваш вопрос, поэтому я опубликовал его только в качестве комментария. К сожалению, все поиски, которые я сделал, оказались пустыми и короткий ответ на ваш вопрос: нет, нет публичных программ, которые могут просто пометить файл как не удаленный на томе NTFS.

(есть-дорогие-судебно-медицинские программы, которые могут делать причудливые вещи с дисками и восстанавливать файлы и представлять необработанные данные через фильтр, чтобы показать структуры и тому подобное, но даже они не помогут, потому что они специально не изменяют исходный диск.)

2
отвечен Synetech 2023-03-31 18:45

Постоянная ссылка на данную страницу: [ Скопировать ссылку | Сгенерировать QR-код ]

Ваш ответ

Опубликуйте как Гость или авторизуйтесь

Имя
Вверх