Cofanie usuwania plików na woluminie NTFS nie jest tak proste jak przerzucanie o jeden bit. Prawdą jest, że różnica między plikiem usuniętym a nieusuniętym w MFT jest tylko jeden bit, ale należy również odzyskać zawartość pliku, który jest przechowywany jako strumienie, a także ponownie oflagować usunięte sektory, jak zastosowano w pseudoplik $ Bitmap, który zawiera jeden bit na sektor, każdy bit wskazuje, czy odpowiadający mu klaster jest używany (przydzielony) czy wolny (dostępny do przydzielenia).
Złożoność zadania jest taka, że wszystkie narzędzia do odzyskiwania wolą nie pisać na uszkodzonym woluminie. Na przykład oznaczenie sektora w używanej bitmapie $ może powodować krzyżowanie, jeśli sektor ten był już używany przez inny plik.
W tym artykule bardzo dobrze zademonstrowano problem ze zrzutami szesnastkowymi:
seria Windows „File Recovery”: część 5 Ręcznie odzyskaj usunięty plik z systemu plików NTFS .
Kolejny artykuł zawiera nawet kod źródłowy programu, który można zmodyfikować w celu odpięcia „usuniętego” bitu: Cofnąć
usunięcie pliku w systemie plików NTFS .
Istnieje wiele edytorów dysków NTFS, które mogą edytować MFT, aby odwrócić ten bit. Niektóre, które znalazłem za pośrednictwem Google (ale na szczęście nigdy nie musiałem używać) to:
WinHex
NTFS Data Recovery Toolkit
DMDE
Freeware Active Disk Editor
Możliwym rozwiązaniem, które mogłoby nawet zadziałać, byłoby cofnięcie usuniętego bitu w MFT, a następnie użycie narzędzia chkdsk w celu odzyskania zawartości. To narzędzie może odzyskać łańcuchy sektorów plików, których sektory zostały błędnie oznaczone jako dostępne do realokacji i naprawi $ Bitmap.
Jednak zawsze istnieje szansa, że ta procedura może zniszczyć dysk.
To dlatego ty i wszyscy komentatorzy powyżej (w tym ja) nie znaleźliście żadnego produktu, który przywróciłby na miejscu. Możliwości zepsucia dysku są po prostu zbyt duże dla każdego, kto nie jest pracownikiem Microsoftu pracującym w NTFS.
Moim najlepszym zaleceniem jest zdobycie drugiego dysku twardego i odzyskanie na nim plików. Wierzę, że dowiedziałeś się, że jeden dysk zapasowy nie wystarczy. Miałem już kilka przypadków znajomych proszących mnie o odzyskanie ich jedynej kopii zapasowej i zawsze doradzam im (czasem za późno), aby mieli dwa dyski z kopią zapasową.
Ponadto co najmniej jeden z dwóch dysków kopii zapasowych powinien zostać odłączony od komputera. Radzę to po wysłuchaniu sprawy, w której komputer sam się usmażył i każde podłączone urządzenie USB, pozostawiając właściciela bez danych i kopii zapasowej za jednym razem.
undelete
aunerase
robił dokładnie to, ale programy Windows zwykle kopiują pliki. Nie sądzę, że widziałem dosłownie cofanie usuwania plików.I didn't write any byte to the drive after that incident, so my data is guaranteed to be there.
Może, ale to nie znaczy, że można je odzyskać; wszelkie pofragmentowane pliki zapewnią tylko odzyskanie pierwszej części pliku.