硬碟數據恢復是什麼原理？

01-07

文件是保存在硬碟中的（當然還有其他儲存介質這裡不做討論了），這個地球人都知道，系統讀取文件時，從硬碟的目錄區DIR讀取了文件的相關信息，比如說吧文件名啦，文件的大小啦，文件的修改日期，文件的位置（數據區DATA的簇號）…….之後就可以知道數據的位置，再讀取就行了。而硬碟在記錄文件時，先要將文件的信息：文件名，文件的大小，文件的修改日期（不包括文件的位置）記錄到DIR區，之後在DATA區選一塊空地，放進去，順便往DIR區記錄位置。

而文件的刪除卻很簡單，只是把DIR區文件的第一個字元改為E5（常規刪除，如果你用軟體覆蓋了，就不是如此了，數據也不能恢復了）這也就是說，文件的數據並沒有被覆蓋，也就為為恢復創造了可能。

PS：各個文件系統都有不同的原理，這裡只是將的普遍原理，如要深究維基百科上有較詳細的解釋。

FAT文件系統原理：FAT - 維基百科，自由的百科全書

NTFS文件系統原理：NTFS - 維基百科，自由的百科全書

EXT3文件系統原理：ext3 - 維基百科，自由的百科全書

誤刪除，誤格式化，分區表丟失，病毒，誤分區……..造成的文件丟失

相比較而言在FAT32系統下文件刪除後目錄結構就不再完整了，碰到大的文件，因為文件在硬碟上不連續，恢復效果較差，而小文件則能較完美的恢。而NTFS文件系統在刪除文件後，目錄結構還是較完整的，即使數據不連續，仍能完美的恢復文件。

所以說為了安全，減少數據誤刪除的損失，用NTFS文件系統好些。（NTFS用WinHEX直接可以看到$MFT文件表等）

簡單來說就是，你所刪除的數據並沒有被刪除，只是標記為此處空閑，可以寫入數據。舉個簡單例子

存儲在你的硬碟裡面的數據大概是這個樣子的：

然後你刪除了第3區域的數據，那麼它就變成了這個樣子的：

明白了吧，數據還在那裡，只不過標記為這一塊可以重新寫入數據了。新寫入的數據就會覆蓋現有的tomato。

你和老王去開房，住了一晚（數據寫入），然後第二天就退房走了（數據刪除），賓館沒有再安排客人入住（標記為空閑），如果想找到你和老王搞基的痕迹，那就再去你們那間房間里找就能找到（刪除的數據可以被恢復），等賓館再安排客人入住了你們的房間，那就再也找不到你們的證據了（數據被覆蓋就沒有辦法恢復了）。

寫的極不嚴謹，不點贊的，老王馬上搬到你家隔壁。

只是說一下硬碟恢復的基本原理吧，我們用的機械硬碟都是磁碟，通過凹凸表示0和1，只要這個磁粉所表示的凹凸不消失（或者痕迹）都可以恢複數據。常見的刪除手段一般都是反覆的讀寫特定區域來消除數據痕迹，之前干過信息安全，有些敏感文件的銷毀都是有擦寫次數要求的，如果你看過越獄的話，馬洪在河裡找到的硬碟絕對是斯科菲爾德的失誤，這東西很容易恢復的（對於fbi來說），想要完全不能恢復可以純粹的物理損毀，比如粉碎，記得是粉碎，這樣就算是再牛的數據恢復也恢復不出來了。至於邏輯刪除你搜索一下就知道了，只是個形式沒有實際意義，也是最好恢復的，用普通軟體就可以。物理刪除就要麻煩得多，有時候還要用到隧道顯微鏡，這東西對技術要求和設備要求挺高的。

物理和邏輯！不要物理損害，邏輯還原都相對簡單！事物的過往必留痕迹，事物存在必有道理。

數據恢復原理

一般來說，存儲介質數據丟失主要有兩種情況：物理故障和邏輯故障。以硬碟為例，物理故障包括磁頭損壞、碟片劃傷等，邏輯故障則主要是文件系統出錯，文件誤刪及磁碟誤格式化。

數據恢復總的原理是將存儲設備存在的物理故障修復，或通過一定技術手段將邏輯故障的設備上未真正意義上完整刪除的數據還原到正常可見的狀態。

為什麼硬碟會出現物理故障？

硬碟出現物理故障的原因有很多種，最常見的是硬碟振動和意外斷電造成磁頭損壞及碟片劃傷，另外硬碟也會自然老化或固件受損。機械硬碟工作時，碟片高速旋轉，速度通常有5400/7200轉每分鐘，高性能機械硬碟碟片轉速甚至會超過10000轉每分鐘。而磁頭則一直懸浮在碟片上進行讀寫數據，與碟片距離僅僅幾微米。硬碟一旦遭到距離振動、跌落及意外斷電磁頭未及時收回，或者長時間在不平穩環境下工作，磁頭很容易碰到高速旋轉的碟片造成劃傷。

數據恢復的成功率

對於物理故障，可以嘗試開盤修復，但是由於硬碟非常精密，需要一定的環境及操作經驗，且並非所有物理故障都能成功解決。

如果僅僅是磁頭損壞或其他非碟片故障，可以通過更換配件的的形式搶救數據。如碟片輕微受損，可以通過專業的設備控制磁頭讀取未受損部分的數據，但是，如果碟片受損嚴重，則很難恢複數據，因為碟片劃傷產生的毛刺會很快把讀寫數據的磁頭再次磨壞，導致劃傷以外的那部分數據也不能讀取。

對於邏輯上的數據丟失，只要數據沒有被覆蓋，且結構相對完整，就存在被恢復的可能。硬碟上普通的文件刪除操作，並沒有真正地將文件刪除，而僅僅是刪除了文件系統中的某條記錄，這也是刪除一個文檔比複製一個同樣大小的文件速度快得多的原因。所以對於普通的文件刪除，只要文件數據部分沒有被新的數據覆蓋，還是可以恢復的；至於格式化，本質是重新創建文件系統，並沒有覆寫整塊硬碟，所以大部分數據還是能夠恢復的。

如果需要專業的硬碟數據恢復軟體，可以了解下美亞柏科的恢復大師，之前幫助不少人恢復了被勒索病毒感染的數據，可以說效果十分顯著了。

通常要恢複數據，一般是勿刪或硬碟邏輯損壞，數據可能還存在在硬碟上，只是無法訪問到而已

重建分區表能讓你找到還存在在硬碟上的文件，分區掃描能通過分析文件頭、組合掃描的數據來恢複數據

如果硬碟是物理損壞、安全擦除，數據不在硬碟上了，就永遠找不回來了

大多數據是底層數據，相當於一個東西放在一個房間里，雖然你人換了一個房間，但是你另一個房間的東西沒有動，所以你可以去那個房間里找你需要的東西

數據恢複本質是修改硬碟的文件系統

正常系統下對某個文件刪除，都是執行的快速刪除，就是將這個文件的文件頭刪除掉，實際文件其實還存在在硬碟上。如果這時候沒有對這一塊存儲區域進行覆蓋數據操作，是可以通過軟體對刪除的文件進行恢復操作的。這就是硬碟數據刪除了還能恢復的原因所在。

現在網上有多種多樣的刪除簡訊恢復軟體，任君選擇，只不過需要說明的是，這些軟體都是針對數據恢復來說的。雖然說答案是肯定的，但是現在的軟體大部分都是有自己針對的手機的，也就是說，很多手機品牌在生產手機的時候就考慮過這個問題，於是它們也會研發出類似的軟體，但是為了體現自己品牌的好處，所以只會針對自家品牌的手機。現在網上針對各種手機的刪除簡訊恢復軟體是很少的，在這裡有一款軟體比較好那就是頂尖手機恢復軟體。

軟體層面的數據恢復，通常是使用特殊的軟體穿過文件系統直接讀取底層數據，從而獲取正常情況下在操作系統中所看不到的一些數據。一般來說，多數文件系統的普通刪除操作都是通過更改文件分配表的記錄而達到類似的效果，而在文件原來的存儲位置，數據仍然是存在的，在這些數據沒有被覆蓋以前，理論上都是可以被恢復的。當然，一些經過了特殊加密處理或者是使用了保密級刪除處理的數據不在此列。也有一些軟體，可以自動的分析這些讀取到的底層數據，比如文件頭信息、文件特徵等，從而為恢復文件提供更大的便利。

硬體層面的數據恢復，通常是硬碟受到了極大損害或者是不可用時才會進行的。如果是硬碟的驅動電路遭到了一定的毀損，通常進行替換就可以解決；但如果是碟片本身或者是磁頭出了問題，則一般需要進行開盤才能找回數據。這些操作需要求助專業機構，一般的用戶是搞不定的。

硬碟數據想要恢復還不簡單，直接用easyrecovery數據恢復軟體就好了，電腦小白也都會