最近筆者做了幾回面向企業(yè)法務(wù)、監(jiān)察人員的電子數(shù)據(jù)取證同享鍛煉，同享內(nèi)容從電子數(shù)據(jù)根本概念、取證辦法到概括的案例分析都有觸及，而常常幾個(gè)小時(shí)講下來，究竟溝通互動(dòng)環(huán)節(jié)發(fā)問最多的卻是——“假設(shè)數(shù)據(jù)被刪了，還有沒有或許恢復(fù)?”、“職工出借電腦時(shí)把硬盤格式化了怎樣辦?
或許是影視劇或許小說的宏大影響，在普通人眼中，電子數(shù)據(jù)取證的要點(diǎn)就是“恢復(fù)數(shù)據(jù)”，而且技藝非常不可捉摸。但是在真實(shí)的電子數(shù)據(jù)取證中，“電子數(shù)據(jù)恢復(fù)”卻是相比照較客觀單一的進(jìn)程，恢復(fù)概率的大小與介質(zhì)自身親密相關(guān)，除了硬件缺陷需求專業(yè)設(shè)備停止“開盤”等操作，普通的電子數(shù)據(jù)恢復(fù)都經(jīng)過軟件層面來處置。
本文筆者要點(diǎn)選擇了幾個(gè)常被問及的“高頻問題”，希冀經(jīng)過問答的方式，以一種淺顯易懂的描畫，撥開電子數(shù)據(jù)恢復(fù)奧妙的面紗。
分離如今技藝和產(chǎn)業(yè)展開的現(xiàn)狀，最普遍運(yùn)用的電子數(shù)據(jù)存儲(chǔ)介質(zhì)主要是磁盤(如機(jī)械硬盤）和閃存(如固態(tài)硬盤、U盤等）這兩種，本文以機(jī)械硬盤為例加以說明，閃存的數(shù)據(jù)存儲(chǔ)恢復(fù)機(jī)理在今后推送中另行引見。
1什么是電子數(shù)據(jù)恢復(fù)?
電子數(shù)據(jù)恢復(fù)就是把遭受損壞招致丟掉的數(shù)據(jù)恢復(fù)成正常數(shù)據(jù)的進(jìn)程。
數(shù)據(jù)丟掉有許多緣由，其中包含硬件缺陷(如硬盤缺陷無法讀取)、軟件問題（程序失常致數(shù)據(jù)丟掉)、黑客侵略、病毒損壞(如某種病毒會(huì)招致U盤文件失常丟掉)、失常斷電(如處置到—半的文檔遭受斷電)、人為操作(包含誤操作和成心損壞)等。
以上這些都或許需求電子數(shù)據(jù)恢復(fù)，以至從某種水平講，用戶由于各種緣由忘掉本人把文件保管在哪里了，由技藝人員經(jīng)過專業(yè)的檢索辦法幫用戶找到方針文件，也算是一種電子數(shù)據(jù)恢復(fù)。
2我的數(shù)據(jù)被刪去了還能恢復(fù)么?
這個(gè)呆若木雞的問題有點(diǎn)難以回答，由于電子數(shù)據(jù)恢復(fù)不是一個(gè)正向進(jìn)程，從恢復(fù)到無缺的原始狀況，到僅僅僅僅恢復(fù)局部數(shù)據(jù)碎片以至毫無所獲，這兩個(gè)極點(diǎn)成果之間的任何狀況都有或許產(chǎn)生。
恢復(fù)的概率和介質(zhì)的實(shí)踐狀況嚴(yán)密相關(guān)，以下羅列幾個(gè)判別數(shù)據(jù)能否恢復(fù)的必要不充沛條件:
1、原始數(shù)據(jù)存儲(chǔ)在哪里?
2、數(shù)據(jù)是怎樣刪去的?
3、數(shù)據(jù)刪去后存儲(chǔ)介質(zhì)能否仍在運(yùn)用過?
4、數(shù)據(jù)刪去后能否有新數(shù)據(jù)寫入?
所以，要想搞分明數(shù)據(jù)能否恢復(fù)，就要先理解一下數(shù)據(jù)是怎樣存儲(chǔ)的。
3數(shù)據(jù)在介質(zhì)上是怎樣存儲(chǔ)的?
以機(jī)械硬盤為例，在硬盤的磁片上劃一擺放著許多磁性單元，就像一個(gè)個(gè)永磁鐵，這些磁性單元“S”極和“N”的朝向分別代表電子數(shù)據(jù)最根本的單位“O”和“1”。
當(dāng)硬盤寫入數(shù)據(jù)時(shí)，盤片高速旋轉(zhuǎn)，磁頭精確定位在需求修正數(shù)據(jù)的一個(gè)個(gè)磁性單元上，經(jīng)過施加電壓，磁性單元的磁極被回轉(zhuǎn)，完成從“O”到“1”的改動(dòng)。
原理上就是這么簡單!
但是這么多的O和1，操作系統(tǒng)是怎樣曉得細(xì)致是哪個(gè)數(shù)據(jù)存在硬盤的什么方位呢?這就引入了現(xiàn)代硬盤上—個(gè)重要的概念:分區(qū)表。下面打個(gè)比如解釋一下:
把整個(gè)硬盤比作一個(gè)圖書館，不同的分區(qū)就像不同的圖書室，文件夾就仿佛一個(gè)個(gè)書架，細(xì)致數(shù)據(jù)則是一本本書。分區(qū)表就像圖書館的檢索卡片，它包含了全部圖書室(分區(qū))、書架(文件夾目錄)、書本（數(shù)據(jù))的信息，操作系統(tǒng)經(jīng)過讀取分區(qū)表，就能夠?qū)⑽募诘倪壿嫹轿?/span>(某某分區(qū)某某文件夾)和硬盤上的物理方位對應(yīng)起來。
想想以前去圖書館檢索圖書，就能理解系統(tǒng)是怎樣找數(shù)據(jù)的了。
4數(shù)據(jù)在介質(zhì)上是怎樣刪去的?
理解了數(shù)據(jù)的寫入，我們再來看一個(gè)幽默的現(xiàn)象，平常在運(yùn)用電腦時(shí)，你一定會(huì)留意到:寫入文件的時(shí)辰和文件大小成比例改動(dòng)，大文件時(shí)辰長，小文件時(shí)辰短;但刪去文件的時(shí)分，不論文件大小，簡直都是—霎時(shí)就完畢了，時(shí)辰上沒有明顯的不同。
你有沒有想過這是為什么?
這種現(xiàn)象是由系統(tǒng)刪去文件的機(jī)理決議的，寫入進(jìn)程與時(shí)辰成比例是由于數(shù)據(jù)中的每個(gè)“O”和“1”都要在磁盤上停止校驗(yàn)，分歧的就“放行”，相反的就“回轉(zhuǎn)”，每個(gè)磁性單元都如此地遍歷—次，其表象就是寫入時(shí)辰與文件大小成比例。
而刪去的進(jìn)程，系統(tǒng)僅僅在分區(qū)表里將文件標(biāo)明成了“不存在”，卻基本沒有肅清數(shù)據(jù)自身，也就比如在圖書館中把圖書檢索卡片拿走，卻沒有真實(shí)在對應(yīng)書架上拿走那本書!這樣做大大進(jìn)步刪去文件的速度，改良了用戶領(lǐng)會(huì)，而且由于硬盤上的“磁極”只需SN之分，當(dāng)下次有別的文件要寫入的時(shí)分，實(shí)踐上一定需求修正全部的磁極指向——這也變相延長了硬盤的壽數(shù)。
5數(shù)據(jù)是怎樣恢復(fù)的?
引見到這兒，或許你曾經(jīng)能猜了，正由于機(jī)械硬盤特別的刪去機(jī)制，才給電子數(shù)據(jù)恢復(fù)供應(yīng)了機(jī)遇。我們經(jīng)過專用軟件將全部沒被新數(shù)據(jù)掩蓋的局部停止掃描，對分區(qū)表停止重建，比如圖書館的索引卡片都丟失了，只需重新清點(diǎn)一遍庫存，就能找到尚存的全部書本，而且樹立起新的索引，數(shù)據(jù)就是這么簡單就被恢復(fù)了。
絕大多數(shù)民用等級的電子數(shù)據(jù)恢復(fù)軟件在恢復(fù)剛剛刪去的文件時(shí)都能應(yīng)對自若，就是根據(jù)這個(gè)原理。
6硬盤格式化了能夠恢復(fù)數(shù)據(jù)么?
硬盤格式化與刪去文件的機(jī)理是相同的，差別僅僅在于，刪去文件時(shí)系統(tǒng)僅僅刪去分區(qū)表中對應(yīng)文件信息，而格式化則是把整個(gè)分區(qū)表重建成空白磁盤的狀況，所以原始的數(shù)據(jù)沒有遭到影響，經(jīng)過掃描磁盤，簡直能夠無缺重建原本的分區(qū)表，恢復(fù)全部數(shù)據(jù)。
但假設(shè)格式化后許多寫入新文件，或許長期一再運(yùn)用電腦，那就無法保證原始數(shù)據(jù)不被損壞，恢復(fù)相應(yīng)文件的概率也就逐步降低了。
看完這些，是不是覺得電子數(shù)據(jù)恢復(fù)—下子就不奧妙了呢?
7電子數(shù)據(jù)恢復(fù)真的這么簡單而沒技藝含量么?
電子數(shù)據(jù)恢復(fù)根本原理的確很簡單，但實(shí)踐狀況千差萬別，要想盡或許的恢復(fù)方針數(shù)據(jù)，遠(yuǎn)遠(yuǎn)不止上述現(xiàn)象這么簡單。
比如，原始文件被刪去后，硬盤又重新寫入許多新數(shù)據(jù)，假設(shè)新數(shù)據(jù)就寫在原始數(shù)據(jù)存儲(chǔ)的磁盤方位上，掩蓋了原始數(shù)據(jù)，使原始數(shù)據(jù)自身遭到損壞，那就只能對文件未被掩蓋的數(shù)據(jù)殘留局部停止恢復(fù)恢復(fù)。
這樣恢復(fù)后的文件一定是一種受損殘損的狀況，或許丟掉了文件頭，也或許丟掉了內(nèi)容數(shù)據(jù)，所以正常的“翻開”操作是無法完畢的，要讀取原始文件恢復(fù)出的局部數(shù)據(jù)，就必需憑仗其他東西停止數(shù)據(jù)讀取、轉(zhuǎn)化和拼接，這就需求技藝人員具備較高的電子數(shù)據(jù)恢復(fù)常識程度，理解各類文件底層代碼，假設(shè)是針對案子查詢的電子數(shù)據(jù)恢復(fù)取證，以至還需求查詢?nèi)藛T有滿足的案情敏感度和豐厚的辦案閱歷才氣完畢。
能夠說，電子數(shù)據(jù)恢復(fù)入門非常簡單，而深化則具有恰當(dāng)難度。
簡單引見了一些電子數(shù)據(jù)恢復(fù)最根本的常識，在究竟覺得仍是有必要做個(gè)提示:
有果必有因，數(shù)據(jù)不會(huì)本人消逝，只需及時(shí)采用辦法，亡羊補(bǔ)牢的行動(dòng)仍能夠最大極限的削減損失。但，靠譜的辦法仍是備份，硬盤有價(jià)數(shù)據(jù)無價(jià)，只需未雨綢繆，才氣真實(shí)保證數(shù)據(jù)的萬無一失。
關(guān)注神州，了解更多