- Регистрация
- 12 Декабрь 2017
- Сообщения
- 422
- Реакции
- 451
- Баллы
- 193
Восстановление случайно удаленных данных.
Что делать, если ты случайно удалил важный файл? Могут ли спецслужбы получить доступ к тому, что ты удалил? Сегодня мы поговорим о восстановлении данных.
Что происходит с файлом после того, как ты нажимаешь "Delete"? Я не имею в виду очевидные и простые случаи, когда файл попадает в "Корзину". Что происходит с файлом, который ты удаляешь полностью - да практически ничего!
Как вообще хранятся файлы ?
Для начала, давай разберём, как файлы хранятся до удаления. Это понадобится для того чтобы понимать процедуру восстановления.
Файловая система выглядит приблизительно так:
Куча данных, записанных последовательно друг за другом, плюс немного системной информации. Её можно сравнить с книгой, а каждый файл сотдельной главой. В идеальном случае. На практике всё, конечно, гораздо менее аккуратно
Представь себе книгу, в которой все страницы расположены хаотично. Она может начинаться с 5-й страницы, затем будет идти 48-я, 30-я и так далее. И вот так как раз и выглядит файловая система на самом деле. Этот хаос называется фрагментацией и она возникает как раз из-за постоянного удаления старых файлов и появления новых.
Когда ты вставляешь в компьютер только что купленную флешку и записываешь на неё 100 фотографий, они запишутся на неё последовательно, в идеальном порядке. Но, стоит тебе удалить пару фоток -- предположим, 29-ю и 48-ю -- и ты создашь условия для возникновения фрагментации. Если после этого ты отправишь на флешку текстовый файл и ещё одну фотку, данные фрагментируются. Вот как это произойдёт.
Сначала текстовый файл ляжет на место, где лежала 29-я фотка. Но он займёт "свободное" место не целиком, а только частично, потому что текстовые файлы весят гораздо меньше и ему просто не нужно так много пространства. Затем файловой системе понадобится записать фотографию, и она пойдёт искать место для неё. Большая часть новой фотографии ляжет на остаток пространства от 29-й фотки, а конец новой фотки пойдёт в начало свободного места от 48-й. Вот такое вот разделение файла на несколько кусков и называется фрагментацией.
На самом деле, у современных файловых систем всё немного сложнее, но нам нет смысла рассматривать это подробнее, потому что результат будет тот же. Самое важное я уже рассказал и теперь можно переходить к интересному
< Восстановление удалённых данных >
Как можно было бы восстановить удалённые фотографии №29 и №48 из примера выше?
На самом деле, ничего сложного. Существует специальный софт, который анализирует файловую систему и ищет в ней все оставшиеся куски удалённых данных. В основном это мусор -- фрагменты данных, из которых уже невозможно ничего собрать. Но, если начать восстановление сразу же после нажатия на кнопку "Delete", ты практически гарантированно сумеешь восстановить свои файлы. До тех пор, пока "пустое" место, где раньше находились фотки, не окажется занято чем-нибудь новым, это будет всегда возможно. И даже когда удалённый файл окажется частично перезаписанным, иногда его можно будет частично восстановить. Разберёмся подробнее.
Когда ты просто нажал DELETE, файлы ещё абсолютно пригодны к восстановлению. Достаточно будет включить специальный софт и ты увидишь удалённые данные так же, как в файловом менеджере. Они будут доступны для просмотра и восстановления в один клик. Когда ты, как это было в примере, после удаления отправил на флешку текстовый документ, фотография №29 становится частично повреждена. Начало её файла перезаписывается, а середина и конец всё ещё могут быть прочтены. Фотография №48 в этом случае всё ещё целиком доступна для восстановления. После отправки на флешку новой фотографии, фотография №29 окажется окончательно удалена, а фотография №48 окажется повреждённой.
Повреждённые данные иногда тоже удаётся восстановить, но здесь очень многое зависит от случая. Некоторые форматы файлов устроены так, что данные становятся нечитаемыми, если из них удалить кусок. Другие читаются и после этого. Например, зашифрованный архив однозначно не получится восстановить, если из него удалили хотя бы маленький блок. Фотография может быть утрачена целиком, а может частично -- смотря какие блоки будут утрачены. Уцелевшие куски простого текстового документа можно будет прочесть всегда, сколько бы процентов файла не потерялось.
https://i.imgur.com/4vT1HGr.png
Программы для Mac:
Disk Drill -- да-да, та самая. Free Mac Data Recovery Software. Recover Files. Disk Drill
Программы для восстановления данных с мобильных:
Android Photo Recovery -- хотя в названии отчётливо выделяется слово "Photo", программа также умеет восстанавливать и другие форматы файлов, список контактов, SMS и кое-что ещё. Распространяется платно. Android Photo Recovery - Recover Deleted Photos/Videos/Music
PhoneRescue for iOS -- ещё одна платная программа, но уже для iPhone/iPad и остальных iУстройств. PhoneRescue® for iOS - Retrieve Your Lost iPhone and iPad Data
Ты можешь подключить мобильное устройство к компьютеру и воспользоваться обычной программой для восстановления данных. Ничего особенно уникального в специализированных восстановителях нет и здесь они приводятся скорее для того чтобы ты знал, что они бывают. Пожалуй, они могут быть чуть удобнее, потому что обладают заранее заготовленными функциями для восстановления данных конкретно с мобильных. Но принципиальных отличий никаких нет, так что если не хочешь платить ради восстановления одной случайно удалённой фотки -- просто воспользуйся обычной бесплатной программой и всё.
< Экспериментируем >
Итак, тестовые файлы созданы, программа загружена.
Удаляем всё "безвозвратно" -- обычно для этого используется комбинация Shift + Delete, если ты не перенастроил иначе. Запускаем программу. Я выбрал Recuva, но интерфейс и принцип действия для всех будет приблизительно одинаковый. Кроме Linux'а, для которого интерфейсы не главное :
Вот они, первые 4 файла, отмеченные зелёными кружками. Зелёные кружки означают, что файлы не побиты и их легко можно восстановить -- оно и понятно, поверх них ведь ещё ничего не успело записаться. Ниже, отмеченные красными кружками, идут файлы, которые были удалены давно. О них уже почти не осталось никаких сведений и восстановить их вряд ли удастся. К счастью, нам нужны не они. Выделяю все 4 файла, жму на кнопку "Recover"...
Готово! Для того чтобы продемонстрировать, что файлы восстановились в исходном виде, я открыл картинку. Всё открывается, никаких изменений нет, файлами можно продолжать пользоваться так же, как раньше.
< Подытожим >
Одного нажатия на кнопку "Delete" недостаточно, если ты хотел бы удалить файл надёжно. Если файлы были удалены недавно, их обычно можно восстановить хотя бы частично. Вот это исследование https://www.usenix.org/legacy/events/fast11/tech/full_papers/Wei.pdf содержит статистику: даже при попытке удалить файл, используя безопасные методы удаления, на SSD обычно остаётся от 4% до 75% исходных данных.
Что делать, если ты случайно удалил важный файл? Могут ли спецслужбы получить доступ к тому, что ты удалил? Сегодня мы поговорим о восстановлении данных.
Что происходит с файлом после того, как ты нажимаешь "Delete"? Я не имею в виду очевидные и простые случаи, когда файл попадает в "Корзину". Что происходит с файлом, который ты удаляешь полностью - да практически ничего!
Как вообще хранятся файлы ?
Для начала, давай разберём, как файлы хранятся до удаления. Это понадобится для того чтобы понимать процедуру восстановления.
Файловая система выглядит приблизительно так:
Куча данных, записанных последовательно друг за другом, плюс немного системной информации. Её можно сравнить с книгой, а каждый файл сотдельной главой. В идеальном случае. На практике всё, конечно, гораздо менее аккуратно
Представь себе книгу, в которой все страницы расположены хаотично. Она может начинаться с 5-й страницы, затем будет идти 48-я, 30-я и так далее. И вот так как раз и выглядит файловая система на самом деле. Этот хаос называется фрагментацией и она возникает как раз из-за постоянного удаления старых файлов и появления новых.
Когда ты вставляешь в компьютер только что купленную флешку и записываешь на неё 100 фотографий, они запишутся на неё последовательно, в идеальном порядке. Но, стоит тебе удалить пару фоток -- предположим, 29-ю и 48-ю -- и ты создашь условия для возникновения фрагментации. Если после этого ты отправишь на флешку текстовый файл и ещё одну фотку, данные фрагментируются. Вот как это произойдёт.
Сначала текстовый файл ляжет на место, где лежала 29-я фотка. Но он займёт "свободное" место не целиком, а только частично, потому что текстовые файлы весят гораздо меньше и ему просто не нужно так много пространства. Затем файловой системе понадобится записать фотографию, и она пойдёт искать место для неё. Большая часть новой фотографии ляжет на остаток пространства от 29-й фотки, а конец новой фотки пойдёт в начало свободного места от 48-й. Вот такое вот разделение файла на несколько кусков и называется фрагментацией.
На самом деле, у современных файловых систем всё немного сложнее, но нам нет смысла рассматривать это подробнее, потому что результат будет тот же. Самое важное я уже рассказал и теперь можно переходить к интересному
< Восстановление удалённых данных >
Как можно было бы восстановить удалённые фотографии №29 и №48 из примера выше?
На самом деле, ничего сложного. Существует специальный софт, который анализирует файловую систему и ищет в ней все оставшиеся куски удалённых данных. В основном это мусор -- фрагменты данных, из которых уже невозможно ничего собрать. Но, если начать восстановление сразу же после нажатия на кнопку "Delete", ты практически гарантированно сумеешь восстановить свои файлы. До тех пор, пока "пустое" место, где раньше находились фотки, не окажется занято чем-нибудь новым, это будет всегда возможно. И даже когда удалённый файл окажется частично перезаписанным, иногда его можно будет частично восстановить. Разберёмся подробнее.
Когда ты просто нажал DELETE, файлы ещё абсолютно пригодны к восстановлению. Достаточно будет включить специальный софт и ты увидишь удалённые данные так же, как в файловом менеджере. Они будут доступны для просмотра и восстановления в один клик. Когда ты, как это было в примере, после удаления отправил на флешку текстовый документ, фотография №29 становится частично повреждена. Начало её файла перезаписывается, а середина и конец всё ещё могут быть прочтены. Фотография №48 в этом случае всё ещё целиком доступна для восстановления. После отправки на флешку новой фотографии, фотография №29 окажется окончательно удалена, а фотография №48 окажется повреждённой.
Повреждённые данные иногда тоже удаётся восстановить, но здесь очень многое зависит от случая. Некоторые форматы файлов устроены так, что данные становятся нечитаемыми, если из них удалить кусок. Другие читаются и после этого. Например, зашифрованный архив однозначно не получится восстановить, если из него удалили хотя бы маленький блок. Фотография может быть утрачена целиком, а может частично -- смотря какие блоки будут утрачены. Уцелевшие куски простого текстового документа можно будет прочесть всегда, сколько бы процентов файла не потерялось.
https://i.imgur.com/4vT1HGr.png
Программы для Mac:
Disk Drill -- да-да, та самая. Free Mac Data Recovery Software. Recover Files. Disk Drill
Программы для восстановления данных с мобильных:
Android Photo Recovery -- хотя в названии отчётливо выделяется слово "Photo", программа также умеет восстанавливать и другие форматы файлов, список контактов, SMS и кое-что ещё. Распространяется платно. Android Photo Recovery - Recover Deleted Photos/Videos/Music
PhoneRescue for iOS -- ещё одна платная программа, но уже для iPhone/iPad и остальных iУстройств. PhoneRescue® for iOS - Retrieve Your Lost iPhone and iPad Data
Ты можешь подключить мобильное устройство к компьютеру и воспользоваться обычной программой для восстановления данных. Ничего особенно уникального в специализированных восстановителях нет и здесь они приводятся скорее для того чтобы ты знал, что они бывают. Пожалуй, они могут быть чуть удобнее, потому что обладают заранее заготовленными функциями для восстановления данных конкретно с мобильных. Но принципиальных отличий никаких нет, так что если не хочешь платить ради восстановления одной случайно удалённой фотки -- просто воспользуйся обычной бесплатной программой и всё.
< Экспериментируем >
Итак, тестовые файлы созданы, программа загружена.
Удаляем всё "безвозвратно" -- обычно для этого используется комбинация Shift + Delete, если ты не перенастроил иначе. Запускаем программу. Я выбрал Recuva, но интерфейс и принцип действия для всех будет приблизительно одинаковый. Кроме Linux'а, для которого интерфейсы не главное :
Вот они, первые 4 файла, отмеченные зелёными кружками. Зелёные кружки означают, что файлы не побиты и их легко можно восстановить -- оно и понятно, поверх них ведь ещё ничего не успело записаться. Ниже, отмеченные красными кружками, идут файлы, которые были удалены давно. О них уже почти не осталось никаких сведений и восстановить их вряд ли удастся. К счастью, нам нужны не они. Выделяю все 4 файла, жму на кнопку "Recover"...
Готово! Для того чтобы продемонстрировать, что файлы восстановились в исходном виде, я открыл картинку. Всё открывается, никаких изменений нет, файлами можно продолжать пользоваться так же, как раньше.
< Подытожим >
Одного нажатия на кнопку "Delete" недостаточно, если ты хотел бы удалить файл надёжно. Если файлы были удалены недавно, их обычно можно восстановить хотя бы частично. Вот это исследование https://www.usenix.org/legacy/events/fast11/tech/full_papers/Wei.pdf содержит статистику: даже при попытке удалить файл, используя безопасные методы удаления, на SSD обычно остаётся от 4% до 75% исходных данных.
