數(shù)據(jù)恢復(fù)

當(dāng)存儲(chǔ)介質(zhì)出現(xiàn)損傷或由于人員誤操作、操作系統(tǒng)本身故障所造成的數(shù)據(jù)看不見(jiàn)、無(wú)法讀取、丟失。工程師通過(guò)特殊的手段讀取卻在正常狀態(tài)下不可見(jiàn)、不可讀、無(wú)法讀的數(shù)據(jù)。

數(shù)據(jù)恢復(fù)（Data recovery）是指通過(guò)技術(shù)手段，將保存在臺(tái)式機(jī)硬盤(pán)、筆記本硬盤(pán)、服務(wù)器硬盤(pán)、存儲(chǔ)磁帶庫(kù)、移動(dòng)硬盤(pán)、U盤(pán)、數(shù)碼存儲(chǔ)卡、Mp3等等設(shè)備上丟失的電子數(shù)據(jù)進(jìn)行搶救和恢復(fù)的技術(shù)。

數(shù)據(jù)恢復(fù)的基本原理

當(dāng)前WINDOWS操作系統(tǒng)中主要的文件系統(tǒng)是NTFS。其刪除操作后數(shù)據(jù)恢復(fù)的原理是：首先查找出MFT表中做刪除標(biāo)記的表項(xiàng)，依據(jù)MFT表中提供的文件數(shù)據(jù)流屬性列表信息，找出數(shù)據(jù)區(qū)中文件內(nèi)容所在簇空間（即運(yùn)行位置），從而實(shí)現(xiàn)恢復(fù)操作。其中MFT 是一個(gè)映射磁盤(pán)中儲(chǔ)存的所有對(duì)象的索引文件。在 MFT 中，NTFS 磁盤(pán)上的每個(gè)文件（包括 MFT 自身）至少有一個(gè)映射項(xiàng)。MFT 中的各項(xiàng)包含如下數(shù)據(jù)：大小、時(shí)間及時(shí)間戳、安全屬性和數(shù)據(jù)位置。

這種數(shù)據(jù)恢復(fù)方式有一個(gè)重要前提，就是保證被刪除文件數(shù)據(jù)沒(méi)有被覆蓋。因?yàn)楦鶕?jù)磁盤(pán)的存儲(chǔ)特性，一個(gè)文件被標(biāo)記上刪除標(biāo)志后，他所占用的空間在有新文件寫(xiě)入時(shí)，將有可能被新文件占用覆蓋寫(xiě)上新內(nèi)容。這時(shí)刪除的文件名雖然還在，但其指向數(shù)據(jù)區(qū)的空間內(nèi)容已經(jīng)被覆蓋改變，恢復(fù)出來(lái)的將是錯(cuò)誤內(nèi)容。

格式化操作和刪除相似，并沒(méi)有對(duì)數(shù)據(jù)區(qū)做任何操作，數(shù)據(jù)還存在，因此借助數(shù)據(jù)恢復(fù)知識(shí)和相應(yīng)工具，數(shù)據(jù)仍然能夠被恢復(fù)回來(lái)。對(duì)于克隆、系統(tǒng)還原等造成的數(shù)據(jù)丟失也是這樣，只要重要數(shù)據(jù)區(qū)未被覆蓋，就可能被恢復(fù)。