我恢复数据以谋生,并开发了文件恢复并参与了文件恢复软件的开发。目前我主要做的是照片恢复(存储卡)和照片修复。
我想开始解释在某些情况下,像 PhotoRec 这样的原始扫描仪如何能够成功,而精美的商业工具却不能:
基于文件系统的恢复
大多数这些花哨的工具都会尝试重建一个“虚拟文件系统”,包括文件名和文件夹结构。所以大多数文件系统都有特定的结构来存储文件名、文件大小、“父”和指向实际文件数据的指针。找到这些不是火箭科学,因此只要存在这些文件系统结构,通常就可以创建一个包含文件名等的文件夹树。
如果找不到这些结构,那么只有雕刻师(如 PhotoRec)可以工作,但我稍后会谈到。
但是,为了使我提到的指针起作用,需要正确确定某些元参数!文件系统将文件系统划分为许多文件系统中的“块”,称为“集群”。这些簇具有一定的大小(例如 8 个扇区),因此我们可以将任何簇号转换为实际的 LBA 扇区地址。但要让它发挥作用,我们需要知道:
如果这两个中的一个被错误地确定,一个工具很可能能够构建一个文件夹文件列表,但是每次我们恢复一个文件时,恢复的文件都是损坏的。指针可能正确指向一个簇,但是如果我们从错误的点开始计数,或者我们得到错误的簇大小,我们会得到一些任意数据。
通常这些值(文件系统偏移量和簇大小)可以很容易地从引导扇区 BPB 中读取,但是文件恢复软件不应该依赖这种单点故障,它毕竟可能是引导扇区损坏导致的数据丢失。第一名!
即使我们有正确的簇大小和偏移量来开始计数,在基于 FAT 的文件系统的情况下,损坏的文件分配表可能会阻止使用这种基于文件系统的恢复工具来恢复文件,而像 PhotoRec 这样的原始扫描工具可以可能恢复文件。以下文件是使用基于文件系统的工具从 FAT 损坏的 FAT32 存储卡中恢复的。正如我们所见,所有文件都已损坏。使用原始扫描工具 95% 的文件被完整恢复!
RAW 或基于签名的恢复
PhotoRec 是一种基于文件签名检测文件的工具,并且在大多数情况下它会忽略文件系统参数。
在很大程度上是因为文件系统偏移量和集群大小仍然有用:
原始扫描仪扫描驱动器以查找签名,例如 FF D8 FF 以定位 JPEG 文件。这些签名往往接近文件的开头,并且由于文件从集群边界开始,如果我们知道集群大小和文件系统偏移量,我们可以减少寻找签名的位置。如果这些是未知的,我们可以查看扇区边界,但扫描会更慢。
我们立即遇到了该方法的缺点:
- FF D8 FF 不是排他的字节序列我们可能会看到误报
- 对于许多文件类型,我们无法可靠地确定文件结尾
- 碎片文件不容易恢复
像 PhotoRec 这样的工具可以扫描多种文件类型。现在假设它检测到 JPEG (FF D8 FF) 的开始,但现在运行到字节序列 49 44 33,这恰好是 MP3 文件的签名,但也可能是 JPEG 数据中的一些随机字节序列。
原始扫描仪现在可能会确定它已找到下一个文件,因此关闭未完全恢复的 JPEG。
所以我们看到基于文件系统的恢复有优点和缺点,但基于原始或签名的文件恢复也是如此。一般来说,我总是首先尝试基于文件系统的恢复,因为它提供了许多优点,例如恢复文件名和文件夹结构,并且根据文件系统,甚至碎片文件也可以轻松恢复。
所以,最好的文件恢复软件..
首先,最好的文件恢复软件是非常擅长文件系统重建但也提供原始恢复作为后备选项的软件。
我推荐的所有软件都被实验室中的实际数据恢复工程师用于逻辑文件恢复。因为它是,该软件极大地受益于基于许多真实世界数据丢失场景的反馈。此外,所有这些软件都是 64 位的,因此它可以处理数百万个文件并支持多磁盘配置(RAID 和 NAS)。
R-Studio 等工具的消费者版本与更昂贵的 TECH 版本完全相同,只是禁用了一些您可能不需要的功能。ReclaiMe 的消费者版使用与专业版相同的引擎,但界面经过完全重新设计,易于使用,并在专业版允许更多调整的地方自动做出决定。
R-Studio 和 ReclaiMe 都进行原始扫描,但处理结果略有不同:如果 ReclaiMe 通过文件系统和原始扫描检测到一个文件,它将删除该文件的原始扫描结果。R-Studio 允许您恢复两者。
我推荐的文件恢复软件:
[操作系统支持] {文件系统支持]
R-工作室。许多专业人士将其用于逻辑数据恢复。使用难度中等,网站是r-tt.com(否则您可能会发现完全不同的同名产品)。[Mac/Win/Lin]{FAT|NTFS|UFS|HFS|HFS+|APFS|EXT}
获取数据返回。对于一些问题和文件系统,很多数据恢复专家的 goto 工具。使用难度中等。[赢]{FAT|NTFS|HFS+|APFS|EXT}
回收我。这是基于专业人士使用的 Pro 版本的最终用户版本。超级容易使用。[赢]{FAT|NTFS|UFS|HFS|HFS+|APFS|EXT|BTFRS|XFS}
UFS 资源管理器。许多专业人士的 Goto 工具。使用难度中等。[赢]{FAT|NTFS|UFS|HFS|HFS+|APFS|EXT|BTFRS|XFS}
DMDE。一些专业人士的另一个最爱,但非常便宜!如果您对此不熟悉,则此工具可能会让人不知所措。请注意,此工具可以写入患者驱动器。[Mac/Win/Lin]{FAT|NTFS|HFS|HFS+|APFS|EXT}
文件清道夫。不经常提到,但绝对值得 IMO。在标准情况下使用非常简单。[赢]{FAT|NTFS|UFS|HFS|HFS+|APFS|EXT|BTFRS|XFS}