Восстановление удаленных файлов

Причины

Справедливости ради стоит отметить, что далеко не всегда хозяин диска виноват в исчезновении своей информации с диска, если она удалена. Доброжелателями могут оказаться:

• Домочадцы. Они просто хотели освободить место на диске и удалили лишнее. По их мнению.
• Коллеги по работе. Они просто хотели посмотреть на выражение Вашего лица, когда обнаружится пропажа.
• Вирусы. Они ничего не хотели. Просто такова их природа. Их такими сделали.
• Высшие силы неизвестного происхождения. В этом случае полезно повторять такое заклинание: «Оно само пропало». Тогда, возможно, «оно» само восстановится.

Советы

Какими бы не были причины удаления файлов с вашего диска или флешки, результат один — их нет. Но удаленные файлы можно восстановить. Для начала дадим несколько советов, которыми не стоит пренебрегать, если не хотите потерять информацию безвозвратно:

• Ничего не записывайте на носитель с которого пропали данные. Если новая информация будет перезаписана в секторы, в которых находились ценные файлы, их уже никто не восстановит. Что бы там не говорили любители мифов и параноики.
• Если данные пропали на системном диске (то есть на нем была еще и установлена операционная система), то компьютер лучше выключить. ОС, как и другие работающие на компьютере программы постоянно пишут на диск различную информацию, об объемах которой пользователь может даже не подозревать. То есть см. предыдущий абзац.
• Даже если диск не системный, его все-же лучше отключить от компьютера и в дальнейшем работать с ним только в режиме чтения.

Процесс восстановления данных

Вообще, восстановление удаленных файлов считается одним из простых случаев в нашей работе, однако имеет свои особенности. Следует учесть с какой файловой системы были удалены данные: методы восстановления с различных ФС отличаются. Кроме того не стоит забывать о характере потерянной информации и о типе носителя. Одно дело восстанавливать удаленные с карты памяти фотографии и совсем другое — базу данных предприятия, которая строго структурирована по своим критериям.

В общем случае (в самом общем случае) процесс восстановления можно описать так:

Восстановление по записям файловой системы

Сканируем записи файловой системы на предмет обнаружения удаленных. Тут все сильно зависит от типа файловой системы и иногда приходится основательно повозиться, но этот способ имеет самый «красивый» результат: все файлы будут аккуратно разложены по тем же папочкам, в которых они хранились до удаления и имеют те же имена и атрибуты. К сожалению этот способ не всегда возможен. Если он не сработал, то вариант №2:

Восстановление по структурам файловых систем

Строим карту незанятых секторов (по мнению файловой системы) и сканируем их на предмет потерянных структур. Результат будет уже не так хорош, как в предыдущем абзаце, но найденные файлы все-же называются своими именами, структура дочерних каталогов в целом сохраняется, но могут потеряться каталоги-родители. Чашка кофе и пара-тройка часов убитого времени помогут навести порядок. Бывает, однако, что и этот вариант не проходит. Тогда последний шанс:

Восстановление файлов по сигнатурам

Также известно как «черновое восстановление». Большинство файлов пользователя имеют не только расширение, по которым их идентифицирует файловая система, чтобы связать их с приложением (doc, jpg, xls, rar…), но и так называюмую «сигнатуру»: последовательность байт в начале файла, которая характерна именно для этого типа фалов и ни для какого другого. Для примера, если открыть любой файл jpeg (то есть фотографию или картинку) в шестнадцатиричном редакторе, то в начале мы всегда увидим DD F8 DD. Это и есть сигнатура jpeg. Зная сигнатуру для каждого из разыскиваемых типов файлов и обозначив область поиска по все тем же незанятым секторам, чтобы отсечь лишнее, мы можем найти файлы, которые когда-то хранились на диске даже до его последнего форматирования.

У этого метода восстановления файлов есть весьма существенные минусы:

• помимо нужных файлов найдется много лишнего «хлама», который прийдется потом отсортировать «вручную»
• после восстановления данных таким способом мы не имеем ни малейшего представления о том, в каких каталогах лежали эти файлы, как они назывались, и какие имели атрибуты (двумя чашками кофе уже не обойтись)
• ну и в довершении всех этих приятностестей, не забудем сказать о дефрагментации. Как известно, во время работы диска, данные на него записываются, удаляются, снова записываются и снова удаляются с каждым циклом все хаотичнее. То есть наполовину заполненный диск занят не «от начала до середины», а информация на нем равномерно распределена по всему пространству и разрежена «пустыми секторами». Поэтому, когда на такой дефрагментированных диск записывается файл достаточно большого объема (например видео), то происходит это так: ищется незанятое пространство и туда записывается начало файла, пока это пространство не будет заполнено. Затем продолжение файла пишется в следующий «незанятый кусок» диска. И так далее, пока файл не будет записан полностью. Информация о том, в каких секторах размещены части такого разбитого на куски файла, хранится в файловой системе, но в нашем случае, увы… Алгоритм чернового восстановления файлов не умеет находить продолжение дефрагментированных файлов. А значит к неприятностям поиска по сигнатурам добавляется еще одна: вроде бы файл найден, но он «битый» и не открывается.

Разумеется, сотрудники лаборатории восстановления данных всегда стараются восстановить удаленные файлы в наиболее полноценном варианте. Но если это по объективным причинам невозможно, приходится прибегать к «черновому восстановлению» просто потому что «кое-что» все-же лучше, чем «ничего».

Удачи Вам. Берегите себя и свою информацию.