也許是影視劇或許小說的巨大影響，在一般人眼中，電子數(shù)據(jù)恢復(fù)取證的重點(diǎn)便是“恢復(fù)數(shù)據(jù)”，并且技能非常高深莫測。然而在真實(shí)的電子數(shù)據(jù)恢復(fù)取證中，“數(shù)據(jù)恢復(fù)”卻是相對比較客觀單一的進(jìn)程，恢復(fù)概率的巨細(xì)與介質(zhì)自身密切相關(guān)，除了硬件故障需求專業(yè)設(shè)備進(jìn)行“開盤”等操作，一般的數(shù)據(jù)恢復(fù)都經(jīng)過軟件層面來處理。
本期重點(diǎn)選擇了幾個常被問及的“高頻問題”，期望經(jīng)過問答的形式，以一種通俗易懂的描繪，撥開電子數(shù)據(jù)恢復(fù)恢復(fù)神秘的面紗。
結(jié)合目前技能和工業(yè)發(fā)展的現(xiàn)狀，最廣泛運(yùn)用的電子數(shù)據(jù)恢復(fù)存儲介質(zhì)主要是磁盤（如機(jī)械硬盤）和閃存（如固態(tài)硬盤、U盤等）這兩種，本期以機(jī)械硬盤為例加以闡明，閃存的數(shù)據(jù)存儲恢復(fù)機(jī)理在以后推送中另行介紹。
1什么是電子數(shù)據(jù)恢復(fù)恢復(fù)？
電子數(shù)據(jù)恢復(fù)恢復(fù)便是把遭受損壞導(dǎo)致丟掉的數(shù)據(jù)復(fù)原成正常數(shù)據(jù)的進(jìn)程。數(shù)據(jù)丟掉有很多原因，其間包括硬件故障（如硬盤故障無法讀?。④浖栴}（程序反常致數(shù)據(jù)丟掉）、黑客侵略、病毒損壞（如某種病毒會導(dǎo)致U盤文件反常丟掉）、反常斷電（如處理到一半的文檔遭遇斷電）、人為操作（包括誤操作和故意損壞）等。
以上這些都或許需求數(shù)據(jù)恢復(fù)，乃至從某種程度講，用戶因?yàn)楦鞣N原因忘掉自己把文件保存在哪里了，由技能人員經(jīng)過專業(yè)的檢索辦法幫用戶找到目標(biāo)文件，也算是一種數(shù)據(jù)恢復(fù)。
2我的數(shù)據(jù)被刪去了還能恢復(fù)么？
這個沒頭沒腦的問題有點(diǎn)難以答復(fù)，因?yàn)閿?shù)據(jù)恢復(fù)不是一個正向進(jìn)程，從恢復(fù)到完好的原始狀態(tài)，到僅僅只是恢復(fù)部分?jǐn)?shù)據(jù)碎片乃至毫無所獲，這兩個極點(diǎn)成果之間的任何情況都有或許發(fā)生。
恢復(fù)的概率和介質(zhì)的實(shí)際情況嚴(yán)密相關(guān)，以下羅列幾個判別數(shù)據(jù)能否恢復(fù)的必要不充分條件：
1、原始數(shù)據(jù)存儲在哪里？
2、數(shù)據(jù)是怎樣刪去的？
3、數(shù)據(jù)刪去后存儲介質(zhì)是否仍在運(yùn)用過？
4、數(shù)據(jù)刪去后是否有新數(shù)據(jù)寫入？
所以，要想搞清楚數(shù)據(jù)能否恢復(fù)，就要先了解一下數(shù)據(jù)是如何存儲的。
3數(shù)據(jù)在介質(zhì)上是怎樣存儲的？
以機(jī)械硬盤為例，在硬盤的磁片上規(guī)整擺放著很多磁性單元，就像一個個永磁鐵，這些磁性單元“S”極和“N”的朝向別離代表電子數(shù)據(jù)恢復(fù)最基本的單位“0”和“1”。
當(dāng)硬盤寫入數(shù)據(jù)時，盤片高速旋轉(zhuǎn)，磁頭精確定位在需求修正數(shù)據(jù)的一個個磁性單元上，經(jīng)過施加電壓，磁性單元的磁極被逆轉(zhuǎn)，實(shí)現(xiàn)從“0”到“1”的改變。
原理上便是這么簡略！
但是這么多的0和1，操作體系是如何知道詳細(xì)是哪個數(shù)據(jù)存在硬盤的什么位置呢？這就引入了現(xiàn)代硬盤上一個重要的概念：分區(qū)表。下面打個比如解釋一下：
把整個硬盤比作一個圖書館，不同的分區(qū)就像不同的圖書室，文件夾就好像一個個書架，詳細(xì)數(shù)據(jù)則是一本本書。分區(qū)表就像圖書館的檢索卡片，它包含了一切圖書室（分區(qū)）、書架（文件夾目錄）、書本（數(shù)據(jù)）的信息，操作體系經(jīng)過讀取分區(qū)表，就能夠?qū)⑽募幍倪壿嬑恢茫衬撤謪^(qū)某某文件夾）和硬盤上的物理位置對應(yīng)起來。
想想以前去圖書館檢索圖書，就能明白體系是怎樣找數(shù)據(jù)的了。
4數(shù)據(jù)在介質(zhì)上是怎樣刪去的？
了解了數(shù)據(jù)的寫入，咱們再來看一個有趣的現(xiàn)象，平時在運(yùn)用電腦時，你一定會注意到：寫入文件的時間和文件巨細(xì)成份額改變，大文件時間長，小文件時間短；但刪去文件的時分，不管文件巨細(xì)，簡直都是一瞬間就完結(jié)了，時間上沒有明顯的差別。
你有沒有想過這是為什么？
這種現(xiàn)象是由體系刪去文件的機(jī)理決議的，寫入進(jìn)程與時間成份額是因?yàn)閿?shù)據(jù)中的每個“0”和“1”都要在磁盤上進(jìn)行校驗(yàn)，共同的就“放行”，相反的就“逆轉(zhuǎn)”，每個磁性單元都如此地遍歷一次，其表象便是寫入時間與文件巨細(xì)成份額。
而刪去的進(jìn)程，體系只是在分區(qū)表里將文件標(biāo)注成了“不存在”，卻根本沒有鏟除數(shù)據(jù)自身，也就比如在圖書館中把圖書檢索卡片拿走，卻沒有真實(shí)在對應(yīng)書架上拿走那本書！這樣做大大提高刪去文件的速度，改進(jìn)了用戶體會，并且因?yàn)橛脖P上的“磁極”只要SN之分，當(dāng)下次有其他文件要寫入的時分，實(shí)際上未必需求修正一切的磁極指向——這也變相延長了硬盤的壽數(shù)。
5數(shù)據(jù)是怎樣恢復(fù)的？
介紹到這兒，或許你現(xiàn)已能猜了，正因?yàn)闄C(jī)械硬盤特別的刪去機(jī)制，才給數(shù)據(jù)恢復(fù)提供了時機(jī)。咱們經(jīng)過專用軟件將一切沒被新數(shù)據(jù)掩蓋的部分進(jìn)行掃描，對分區(qū)表進(jìn)行重建，比如圖書館的索引卡片都丟掉了，只需重新清點(diǎn)一遍庫存，就能找到尚存的一切書本，并且建立起新的索引，數(shù)據(jù)便是這么簡略就被恢復(fù)了。
絕大多數(shù)民用級其他數(shù)據(jù)恢復(fù)軟件在恢復(fù)剛剛刪去的文件時都能應(yīng)對自如，便是基于這個原理。
6硬盤格式化了能夠恢復(fù)數(shù)據(jù)么？
硬盤格式化與刪去文件的機(jī)理是相同的，差異僅僅在于，刪去文件時體系只是刪去分區(qū)表中對應(yīng)文件信息，而格式化則是把整個分區(qū)表重建成空白磁盤的狀態(tài)，所以原始的數(shù)據(jù)沒有受到影響，經(jīng)過掃描磁盤，簡直能夠完好重建本來的分區(qū)表，恢復(fù)一切數(shù)據(jù)。
但如果格式化后很多寫入新文件，或許長期頻頻運(yùn)用電腦，那就無法保證原始數(shù)據(jù)不被損壞，恢復(fù)相應(yīng)文件的概率也就逐漸降低了。
看完這些，是不是覺得數(shù)據(jù)恢復(fù)一會兒就不神秘了呢？
7數(shù)據(jù)恢復(fù)真的這么簡略而沒技能含量么？
數(shù)據(jù)恢復(fù)根底原理確實(shí)很簡略，但實(shí)際情況千差萬別，要想盡或許的恢復(fù)目標(biāo)數(shù)據(jù)，遠(yuǎn)遠(yuǎn)不止上述情形這么容易。
比如，原始文件被刪去后，硬盤又重新寫入很多新數(shù)據(jù)，如果新數(shù)據(jù)就寫在原始數(shù)據(jù)存儲的磁盤位置上，掩蓋了原始數(shù)據(jù)，使原始數(shù)據(jù)自身遭到損壞，那就只能對文件未被掩蓋的數(shù)據(jù)殘留部分進(jìn)行復(fù)原恢復(fù)。
這樣恢復(fù)后的文件一定是一種受損殘缺的狀態(tài)，或許丟掉了文件頭，也或許丟掉了內(nèi)容數(shù)據(jù)，所以正常的“打開”操作是無法完結(jié)的，要讀取原始文件恢復(fù)出的部分?jǐn)?shù)據(jù)，就必須憑借其他工具進(jìn)行數(shù)據(jù)讀取、轉(zhuǎn)換和拼接，這就需求技能人員具備較高的電子數(shù)據(jù)恢復(fù)恢復(fù)常識水平，了解各類文件底層代碼，如果是針對案件查詢的電子數(shù)據(jù)恢復(fù)恢復(fù)取證，乃至還需求查詢?nèi)藛T有滿足的案情敏感度和豐厚的辦案經(jīng)驗(yàn)才干完結(jié)。
能夠說，數(shù)據(jù)恢復(fù)入門非常簡略，而深入則具有相當(dāng)難度。
8未雨綢繆仍是亡羊補(bǔ)牢？
簡略介紹了一些數(shù)據(jù)恢復(fù)最根底的常識，在最終覺得仍是有必要做個提醒：
有果必有因，數(shù)據(jù)不會自己消失，只需及時采納措施，亡羊補(bǔ)牢的舉動仍能夠最大極限的減少丟失。
但，靠譜的辦法仍是備份，硬盤有價數(shù)據(jù)無價，只要未雨綢繆，才干真實(shí)確保數(shù)據(jù)的滿有把握。
關(guān)注神州，了解更多