Aksidenteng pagpara nin file, naka-format na SD card, asin pagbawi nin retrato¶

An pagrealisar na ika nag-format sana kan salang SD card kan kamera, nag-empty kan Recycle Bin o Trash sa sarong panluwas na work drive, o aksidenteng napunas an sarong bilog na partisyon nin dai na mababago na mga retrato kan pamilya sarong grabeng krisis teknikal. Kun an sarong file nabura o an sarong storage medium marikas na na-format, an operating system bihirang paraon tulos an raw binary data sa laog kan mga memory cell. Imbes, hinahale kaini an file system directory pointer asin minamarkahan an mga lohikal na bloke bilang "libreng espasyo" na pwedeng i-overwrite. Kun baga mabawi mo an 100 porsyento kan saimong datos o mawara ini sagkod pa man depende sa kun ano an mangyayari sa laog kan enot na 60 segundo pagkatapos kan pagbura. Kada segundo an drive nagdadanay na nakabugtak sa read-write mode, background operating system indexing, swap files, browser caches, asin mga rutina sa pagkolekta nin basura sa Solid State Drive (SSD) (TRIM / UNMAP) pwedeng permanenteng i-zero out an mga nakatagong sektor.

Kun an aksidenteng pagpara o pag-format may kalabot na medikal na telemetry, legal na ebidensya sa sarong aktibong krimen, o sarong pagkabigo kan sistema nin kaligtasan sa buhay, apodan an saimong lokal na numero nin emerhensya (911 sa Estados Unidos asin Canada, 112 sa bilog na Unyon Europeo, 999 sa United Kingdom) o konsultahon an samong direktoryo nin internasyonal na mga numero nin emerhensya bago dutaan an hardware. Para sa gabos na insidente nin pagkawara nin datos kan mga konsumidor, potograpiko, akademiko, asin negosyo, pugulan tulos an gabos na aktibidad kan disk asin sundan an forensic recovery workflow sa ibaba.

Gibohon ini ngonyan¶

1. Iluwas tolos an pwedeng haleon na SD card, CFexpress card, o USB drive: Kun ika nag-format sana nin memory card nin kamera o nagbura nin mga file sa sarong panluwas na USB drive, i-off tulos an power switch kan kamera o i-unplug an panluwas na USB cable sa kompyuter. Dai magkua nin "sarong retrato nin pagprobar" tanganing mahiling kun an kard naggagana, asin dai pagtugutan an Windows (chkdsk) o macOS (fsck_apfs) tanganing "i-scan asin hirahayon" an drive.
2. Kun napara mo an mga file sa internal system drive kan saimong kompyuter (C: drive o macOS Macintosh HD), i-yank an kuryente o piriton an hard power-off: Dai pagsarahon an mga app nin normal, dai pag-download an data recovery software sa apektadong kompyuter, asin dai pag-click an "Shut Down" (na nagsusurat nin mga gigabyte nin mga file nin hibernation, pag-hive kan saimong mga file nin hibernation, asin pag-delog sa rehistro mga bloke). Kaputan an pisikal na buton nin kuryente sa laog nin 5 sagkod 10 segundo sagkod na an makina lubos na mawara, o i-unplug an desktop power cord kun ini sarong sistemang bakong baterya.
3. I-slide an pisikal na write-protect switch sa full-size SDHC/SDXC cards pasiring sa LOCK position: Hilingon an wala na gilid kan sarong pamantayan na 32 milimetro por 24 milimetro (1.26 pulgada por 0.94 pulgada) SD card asin itulod an sadit na plastik na tab pababa pasiring sa ibabang gilid (parayo sa bulawan na mga pin) tanganing dai aksidenteng makakontak an parabasa .DS_Store, System Volume Information, o mga file kan indeks kan Spotlight kun isaksak mo ini sa huri.
4. Saboton an SSD TRIM trap bago i-on giraray an sarong internal na SSD: An Modernong NVMe asin SATA Solid State Drives nag-eeksekutar sa lebel nin hardware TRIM (ATA) o Deallocate (NVMe) mga pagboot sa laog nin pirang segundo sagkod mga minuto nin paghale o pag-format kan sagunson. Kun an SSD controller nagpapadalagan nin pagkolekta nin basura sa likod sa mga pinutol na pahina, an raw carving software mabasa sana nin mga sero (0x00). An pagpadanay kan kuryente na naka-off minapondo sa panlaog na SSD microprocessor sa pagtapos kan pagkolekta nin basura sa likod.
5. Mag-andam nin separado, malinig na segundaryong kompyuter asin mas dakulang destinasyon na drive: Dai nanggad mag-instalar nin mga kasangkapan sa pagbawi sa drive na nawaran nin datos, asin dai nanggad ibalik an mga nabawi na file sa parehong source drive sa panahon kan pag-scan. Maggamit nin ikaduwang kompyuter (o mag-boot kan apektadong PC gikan sa sarong panluwas na Ubuntu Linux Live USB flash drive) asin magbugtak nin sarong blangko na panluwas na hard drive na may dai mababa sa doble kan kapasidad nin pagtipig kan apektadong drive.
6. Magmukna nin sektor-sa-sektor na hilaw na binaryong imahe (.img o .dd) bago magpadalagan nin anuman na file recovery parser: Bago magpadalagan nin PhotoRec, R-Studio, DMDE, o UFS Explorer, gamiton ddrescue o HDDSuperClone tanganing i-clone an lambang sektor kan SD card o drive sa sarong file nin imahe sa saimong backup drive. Dangan puede kang magpadalagan nin dakol na mga algorithm nin pagbawi na ligtas laban sa file nin imahe na dai nanggad namemeligro sa dugang pang pagkaguba o aksidenteng pagsurat sa orihinal na media.

Decision tree: pagpili kan tamang estratehiya sa pagbawi sa paagi nin storage media asin file system¶

Gamiton an forensic triage flowchart na ini tanganing madeterminaran kun baga an saimong napara na datos puedeng mabawi sa paagi nin lohikal na paghirahay kan file-table, pag-ukit nin pirma nin hilaw na file, o espesyalisadong pag-analisar nin chip-off:

flowchart TD
    A["Aksidenteng Pagpara kan File o Nadetektaran an Format kan Drive"] --> B["Tulos na Parongon an Aparato o Iluwas an Removable Media"]
    B --> C{"Anong klaseng pisikal na hardware sa pagtipig an apektado?"}
    C -->|"Camera SD / MicroSD / CFexpress / USB Flash"| D["Mag-engage nin Physical Write-Protect Switch o Maggamit nin Read-Only USB Blocker"]
    C -->|"Panluwas o Panlaog na Mekanikal na Hard Drive (HDD)"| E["Mayo nin Peligro sa TRIM: Halangkaw na Posibilidad nin Pagbawi kun Mayo nin Bagong Pagsurat an Nangyari"]
    C -->|"Panlaog o Panluwas na SSD / NVMe / Mac / Smartphone"| F{"Anong File System asin Koneksyon sa OS an Ginamit?"}
    F -->|"NTFS, APFS, o ext4 sa Internal NVMe/SATA SSD"| G["Halangkaw na Peligro sa TRIM: Mag-boot sa paagi kan Linux Live USB na may libata.force=noncqtrim"]
    F -->|"exFAT o FAT32 sa Standard USB Mass Storage"| H["Katamtaman/Hababang Peligro sa TRIM: Dakul na mga USB Bridge an Dai Nakapasar sa TRIM sa exFAT"]
    F -->|"iOS / Android Internal Storage"| I["Hardware File-Based Encryption (FBE): An mga Susi Nadestroso sa Pagbura, Hilingon Tulos an mga Cloud/Local Backup"]
    D --> J["Magmukna nin Bilog na Bitstream Clone (.img) Gamit an GNU ddrescue sa Separadong Drive"]
    E --> J
    G --> J
    H --> J
    J --> K{"An mga File daw Indibidwal na Pinabura o An Drive daw Na-format?"}
    K -->|"Indibidwal na Pagpara / Marikas na Pormat (Metadata Intact)"| L["Magpadalagan nin Lohikong Metadata Reconstruction (DMDE, R-Studio, UFS Explorer, TestDisk)"]
    K -->|"Nakasurat na Lamesa nin File / Format sa Laog kan Hawak kan Kamera"| M["Magpadalagan nin Raw File Signature Carving + Fragmented Video Rebuilder (PhotoRec, GoPro/MP4 Repair)"]

An pisika kan pagpara: HDD magnetic platters kumpara sa SSD NAND flash asin Camera SD cards¶

Tanganing maibitaran an pagkaraot kan mga datos na mababawi, dapat mong masabutan kun pano an manlaen-laen na arkitektura nin pagtipig inaasikaso an pagpara asin pag-format sa irarom kan hood.

1. Mga Mekanikal na Hard Disk Drive (HDD) asin Shingled Magnetic Recording (SMR)¶

Sa sarong tradisyonal na kombensyonal na magnetic recording (CMR) na nag-iikot na hard drive, an pagpara nin sarong file o pagpadalagan nin sarong "Quick Format" minaabot nin mas hababa sa duwang segundo huli ta an mga read/write head nagbabago sana kan master directory index, arog kan $MFT (Master File Table) sa NTFS, an Allocation Bitmap asin Catalog B-Tree sa HFS+/APFS, o an File Allocation Table sa FAT32/exFAT. An aktuwal na mga pagbaliktad kan magnetic flux na nagrerepresentar kan saimong mga JPEG, PDF, asin spreadsheet nagdadanay na dai nadudutaan sa mga platter na cobalt-alloy sagkod na an operating system magpili na magsurat nin sarong bagong marhay na file sa ibabaw kan eksaktong mga Logical Block Address (LBA) na iyan.

Alagad, kadakol na modernong halangkaw an kapasidad na mga panluwas na hard drive (parati 2 terabytes sagkod 5 terabytes sa 2.5-pulgada na mga portable enclosure) an naggagamit nin Shingled Magnetic Recording (SMR) kaiba an sarong panlaog na firmware translation layer na inaapod na Media Cache. An ibang modernong SMR hard drive talagang nagsusuportar sa TRIM pagboot arog kan sarong SSD. Kun buburaon mo an sarong dakulang folder sa sarong TRIM-enabled SMR hard drive asin pabayaan ining nakasaksak na daing gibo sa laog nin 20 minutos, an panlaog na firmware kan drive puwedeng mag-organisar giraray kan mga shingled band kaini asin permanenteng mag-zero out kan mga dai na-alokar na sektor sa background. An pagdisplug kan drive tulos na nakakaulang sa panlaog na siklo nin pag-ataman sa harong.

2. Solid State Drives (SSD), NVMe, asin an TRIM / Deallocate Bintana nin Pag-ekseher¶

An NAND flash memory sa laog kan mga SSD dai kayang i-overwrite an eksistidong datos nin direkta sa lugar. Bago an sarong NAND flash cell makaako nin bagong datos, an sarong bilog na flash block (tipikal na 4 megabytes sagkod 16 megabytes an kadakulaan) dapat ngunang mag-agi sa sarong maluway na elektrikal na Program/Erase (P/E) cycle. Kun an SSD naghalat sagkod na ika mag-save nin bagong file tanganing paraon an mga lumang bloke, an mga rikas nin pagsurat mababa.

Tanganing mapagdanay na marikas an mga SSD, an mga modernong operating system (Windows 7 sagkod Windows 11, macOS 10.10+, asin mga Linux kernel na may fstrim o discard) magpadara nin tulos TRIM (SATA) o Dataset Management: Deallocate (NVMe) na pagboot sa SSD controller sa oras na ika mag-empty kan Recycle Bin/Trash o mag-execute nin sarong Quick Format:

1. Deterministic Read Zero pagkatapos kan TRIM (DZAT / DRAT): Haros gabos na modernong konsumidor na NVMe asin SATA SSDs nagpapaotob nin Deterministic Zeroing pagkatapos kan TRIM. An eksaktong milisegundo na an SSD controller nag-aako kan TRIM pagboot para sa sarong hanay nin mga sektor, an panlaog na Flash Translation Layer (FTL) kaini nagbubukas kan mga lohikal na adres gikan sa pisikal na mga pahina nin NAND.
2. Immediate Zero Return: Bago pa man mapara an pisikal na karga sa kuryente sa mga silicon cell, kun igwa man nin software (kaiba an ddrescue, PhotoRec, o R-Studio) naghahagad sa SSD na basahon an mga pinutol na sektor sa paagi nin mga pamantayan na SATA o NVMe na mga pagboot, an SSD controller mina-intercept kan kahagadan asin minabalik nin purong hexadecimal zeros (00 00 00 00) na dai man lamang pig-check an mga pisikal na NAND chips.
3. Kun Pwede Pa an Pagbawi kan SSD:
   • Mga Panluwas na USB Enclosure na mayong UASP/TRIM pass-through: An mga lumang USB 3.0 bridge chips na naggagamit kan legacy BOT (Bulk-Only Transport) protocol imbes na UASP (USB Attached SCSI Protocol) dai makakatradusir kan operating system TRIM mga pagboot sa USB cable.
   • FAT32 asin exFAT na mga Volume sa nagkapirang Bersyon kan OS: Sa kasaysayan, an nagkapirang operating system build nagpapadara sana nin awtomatikong real-time TRIM mga pagboot sa mga katutubong journaled file system (NTFS, APFS, ext4) asin dai nagluwas tulos sa totoong-panahon TRIM sa pwedeng haleon FAT32 o exFAT mga partisyon.
   • Punasan an Lamesa nin Partisyon (diskpart clean o aksidenteng pagpara kan partisyon) na mayong Pag-format: An pagpara nin sarong partisyon na entry gikan sa GUID Partition Table (GPT) o Master Boot Record (MBR) minsan nagwawalat kan mga nakatagong sektor na dai na-trim sagkod na an sarong bagong file system na-format sa ibabaw kaini.

3. Pag-format kan Kamera sa Hawak asin an Sony / Canon / Nikon SD_ERASE Siod¶

An mga retratista asin videograpo parateng naghohona na an pag-format nin sarong SD, microSD, o CFexpress card sa laog nin sarong digital na kamera kapareho kan sarong "Quick Format" sa sarong desktop computer. Mantang totoo iyan sampulong taon na an nakaagi, an mga modernong kamera na daing salming iba-iba an gawi-gawi depende sa paragibo:

Yugto 1: Tulos na pagpugol kan OS asin pagbara sa mga awtomatikong pagsurat¶

Bago mo probaran na mabawi an mga file gikan sa sarong panlaog na drive o mag-attach nin sarong panluwas na drive sa sarong kompyuter, dapat mong i-neutralize an mga mekanismo kan operating system na silensio na nag-ooverwrite kan napara na espasyo.

1. Pagbawi gikan sa sarong Internal Windows Drive (C: Drive)¶

Kun napara mo an sarong importanteng folder sa saimong Windows Desktop, Documents, o Downloads na folder asin hinale an Recycle Bin:

1. DAI padagos na gamiton an Windows sa drive na iyan: Dawa an pagbaya sa Windows na nakatukaw na daing gibo sa Desktop nagtutugot SearchIndexer.exe, mga pag-scan kan background kan Windows Defender, mga pag-update kan cache kan Chrome/Edge, pag-ikot kan Volume Shadow Copy, asin an Windows Pagefile (pagefile.sys) tanganing magsurat nin ginatos na megabytes kada minuto direkta sa ibabaw kan saimong bagong pinatalingkas na mga cluster.
2. Kun dai ka tulos makakaparong (halimbawa, sa sarong harayong istasyon nin trabaho na mayong pisikal na access), i-disable TRIM tulos sa paagi kan Administrator Command Prompt:
   • Pinduton Win + X, i-click an Terminal (Admin) o Command Prompt (Admin), asin i-execute:

     fsutil behavior set DisableDeleteNotify 1
     

   • Ini minapundo sa Windows na magpadara nin ano man na dagdag pa TRIM mga notipikasyon para sa mga volume kan NTFS asin ReFS, dawa dai kaini pwedeng i-undo TRIM mga pagboot na ipinadara pirang segundo bago kaini.
3. Hilingon kun an sarong Volume Shadow Copy (Previous Versions) yaon na bago magsara (minaabot nin 15 segundo):
   • I-right-click an magurang na folder na igwa kan saimong mga napara na mga file, i-click an Properties -> Previous Versions.
   • O magdalagan vssadmin list shadows sa sarong Administrator Command Prompt. Kun an sarong snapshot nin anino yaon poon kan amay na aldaw o kasuodma, puede mong ibugtak an kopya nin anino na basahon sana (mklink /d C:\ShadowRestore \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\) asin kopyahon an saimong mga bilog na file direkta sa sarong panluwas na USB thumb drive.
4. Kun mayo nin Shadow Copy, magsara nin makusog asin mag-boot gikan sa sarong Linux Live USB: Maggibo nin Ubuntu o SystemRescue USB flash drive sa sarong ibang kompyuter, i-boot an apektadong PC gikan sa USB drive na iyan sa Probaran an Ubuntu (Live RAM mode) na dai pigbubugtak an internal drive rw, asin i-imahe o i-extract an mga file hale sa luwas kan Windows.

2. Pagbawi gikan sa sarong macOS System Drive (Apple Silicon M1/M2/M3/M4 & T2 Macs)¶

An mga modernong kompyuter kan Apple na nagpapadalagan nin macOS sa APFS (Apple File System) igwa nin duwang estriktong mga ulang sa arkitektura:

1. Agresibong APFS TRIM: nagpapadara an macOS TRIM mga pagboot tulos sa pag-empty kan Basura sa panlaog na Apple SSDs.
2. Hardware FileVault / Secure Enclave Encryption: Sa gabos na Mac na may Apple T2 chip o Apple Silicon (M1, M2, M3, M4), an panlaog na SSD naka-encrypt sa hardware sa paagi nin default gamit an mga susi na nakabugkos sa Secure Enclave, dawa kun an FileVault naka-"Off" sa Systems Settings.
   • Tulos na Pag-tsek 1: Mga Snapshot kan Lokal na Time Machine (tmutil): Dawa kun an saimong panluwas na Time Machine backup drive naka-unplug sa oras kan pagbura, an macOS awtomatikong naggigibo nin natatagong oras-oras na APFS Local Snapshots sa panlaog na SSD kun an Time Machine naka-configure. Buksan tulos an Terminal asin paandaron:

     tmutil listlocalsnapshots /
     

     Kun nahihiling mo an mga nakalista na snapshot (arog kan com.apple.TimeMachine.2026-10-31-091522.local), buksan an folder kun saen nakaistar an file asin ilunsar an Time Machine app gikan sa Applications tanganing ibalik an file sa laog nin pirang segundo.
   • Immediate Check 2: Cloud Sync Trash Bins (iCloud Drive, OneDrive, Dropbox, Google Drive): Huli ta an mga folder kan macOS Desktop asin Documents parateng naka-sync sa iCloud Drive, an pagpara nin sarong file sa saimong Mac Desktop minapara kaini sa paagi nin iCloud sync imbes na lokal sana. Magbukas nin browser sa saimong telepono o sa ibang PC, mag-log in icloud.com -> Drive -> Bago pa sanang Napara (sa ibaba sa too na kanto), kun saen an mga napara na mga file pinapagdanay sa laog nin 30 aldaw na biyong dai nadudutaan kan lokal na SSD TRIM.

3. Pagbara sa macOS asin Windows sa Pagdigta sa sarong Plug-in na SD Card o External Drive¶

Kun ika nagsasaksak nin sarong SD card nin kamera o panluwas na USB drive sa sarong kompyuter tanganing mabawi an mga file, an host operating system tulos na naghihingoang magsurat nin mga natatagong metadata file sa root kan drive (.DS_Store, .Spotlight-V100, .fseventsd, .Trashes sa macOS; System Volume Information asin $Recycle.Bin sa Windows). An saradit na mga pagsurat na iyan minaabot sa kapinunan kan bitmap kan libreng espasyo, na parati nakakaraot kan eksaktong mga header kan direktoryo na pighihingoa mong mabawi.

• Sa Linux (Pinakamaligtas na Paagi sa Forensic): An Linux dai nag-a-auto-write nin mga natatagong index folder kun pig-di-disable mo an auto-mounting o pig-mount an block device na estriktong read-only (ro,noload).
• Sa Windows (I-enable an Read-Only Disk Attribute sa paagi kan DiskPart BAGO ibugtak an drive, o gamiton an Registry WriteBlocker):
  • Bukas regedit.exe bilang Administrador, magduman sa HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies (gibohon an StorageDevicePolicies susi kun ini mayo), asin maggibo nin DWORD (32-bit) halaga na nginaranan WriteProtect ibugtak sa 1. Isaksak an saimong USB card reader pagkatapos, asin an Windows tatrataron an gabos na pwedeng haleon na USB storage bilang protektado sa pagsurat nin hardware.
• Sa macOS (Mount via Disk Arbitrator): I-download asin ilunsar an open-source utility na Disk Arbitrator bago isaksak an saimong SD card reader o panluwas na drive. Ibugtak an Disk Arbitrator sa Block Mounts o Mount Read-Only, tanganing an macOS dai makasurat .DS_Store o mga indeks kan Spotlight sa naraot na partisyon.

Ikaduwang Yugto: Pagmukna nin sarong forensic sector-by-sector clone (ddrescue) )¶

Dai nanggad magpadalagan nin mga pag-scan nin pagbawi nin file nin direkta sa sarong nagluluyang hard drive, sarong gurang nang microSD card, o an solong kopya kan sarong naka-format na partisyon. Pagmukna nin sarong hilaw na binary image file (.img o .dd) naggagarantiya na igwa ka nin nagyelo, bit-for-bit na snapshot kan lambang sektor siring kan pag-eksister kaini kan panahon na pig-unplug mo an drive.

Lakdang-sa-Lakdang na Pag-clone gamit an GNU ddrescue (Linux / macOS) o HDDSuperClone¶

1. Aramon an eksaktong identifier kan aparato kan saimong source card o drive:
   • Sa Linux, padalaganon lsblk -o NAME,SIZE,MODEL,RO,FSTYPE,MOUNTPOINT bago asin pagkatapos na isaksak an card reader. Ipamugtak na an saimong 64 gigabyte (59.6 gibibyte) na SD card kan kamera minalataw bilang /dev/sdc (siguraduhon na ini bakong nakabugtak; kun nakabugtak, padalaganon sudo umount /dev/sdc1).
   • Sa macOS, paandaron diskutil list tanganing hanapon an numero kan disk (halimbawa, /dev/disk4), dangan i-unmount an mga volume kaini na dai pigbubutas an hardware: diskutil unmountDisk /dev/disk4.
2. Ibugtak an saimong dakulang destinasyon na storage drive: Ipamugtak na an saimong panluwas na 2 terabyte na backup drive nakabugtak sa /mnt/backup (o /Volumes/BackupDrive sa macOS). Beripikaron na igwa ining supisyenteng libreng espasyo tanganing makalaog an bilog na hilaw na kapasidad kan source drive (an 64 gigabyte SD card nagpoprodusir nin 64 gigabyte .img file, dawa 10 gigabytes sana nin mga retrato an yaon diyan).
3. Ipaotob ddrescue na may mapfile (log file):

   sudo ddrescue -d -r3 /dev/sdc /mnt/backup/sdcard_raw_clone.img /mnt/backup/sdcard_rescue.map
   

   • -d naggagamit nin direktang pag-access sa disk (na piglilihisan an operating system kernel page cache para sa eksaktong mga pagbasa kan sektor; sa macOS gamiton /dev/rdisk4 imbes na -d).
   • -r3 nagsasabi ddrescue tanganing makopya an gabos na marahay na sektor sa bilog na drive sa enot na marikas na pag-agi, laktawan tolos an anuman na maluway o naraot na mga bloke nin flash tanganing an kard dai mag-init o mag-lock, dangan probaran giraray an mga maraot na sektor sagkod sa 3 beses sa katapusan.
   • sdcard_rescue.map nagtitipig kan saimong eksaktong pag-uswag kada pirang segundo. Kun an USB reader madiskonektar o an kuryente mawara, an pagpadalagan kan eksaktong parehong pagboot minapadagos nin daing kasalak gikan sa kun saen ini nagpondo na dai na binabasa giraray an mga naligtas nang sektor.
4. Maggibo nin sarong nagtatrabahong kopya o magbugtak kan .img file read-only: Sarong beses sdcard_raw_clone.img natapos sa 100.00% rescued, iluwas an saimong pisikal na SD card asin ibugtak ini sa sarong ligtas na drawer. Gigibohon mo an 100 porsyento kan saimong trabaho sa pagbawi sa sdcard_raw_clone.img.

Yugto 3: Pag-ekseher nin pagbawi nin sagunson (Lohical Metadata Reconstruction kumpara sa Raw Carving)¶

Kun igwa ka nang ligtas .img file (o sarong hardware write-blocked drive), igwa nin duwang biyong magkaibang teknikal na paagi tanganing makua an saimong napara na datos. Dapat mong probaran pirmi an Paagi A (Logical File System Reconstruction) bago magbalik sa Paagi B (Raw Signature Carving).

Lakdang-sa-Lakdang 1: Pagbalik kan sarong Napara na Partisyon o Naraot na Sektor nin Boot na may TestDisk¶

Kun an saimong panluwas na drive o SD card biglang maghapot "Kaipuhan mong i-format an disk sa drive E: bago mo ini magamit" o minalataw bilang RAW / Unallocated sa Disk Management pagkatapos na i-unplug na dai ligtas na iluwas, an saimong mga file dai nanggad napara. Imbes, an Master Boot Record (MBR), GUID Partition Table (GPT), o Boot Sector (BPB) naraot.

1. Padalaganon an TestDisk laban sa saimong pig-clone na file nin imahe:

   testdisk /mnt/backup/sdcard_raw_clone.img
   

2. Pilion an Ipadagos -> kumpirmaron an klase kan lamesa nin partisyon (Intel/PC para sa mga MBR SD card na mas hababa sa 2 terabytes, o EFI GPT para sa modernong darakulang pagmaneho).
3. Pilion an Analyze -> Quick Search.
4. An TestDisk mag-iscan para sa mga backup partition header (arog kan automatic backup NTFS boot sector na nakatago sa pinakahuring sektor kan sarong NTFS volume, o an backup FAT32 boot sector sa sector 6).
5. I-highlight an nadiskubreng partisyon asin pinduton an P (Listahan an mga File). Kun tulos mong mahihiling an gabos mong mga folder asin mga file na nakalista na bilog sa laog kan bintana kan terminal:
   • Dai na ngani mag-abala sa pagsurat giraray kan talaan nin partisyon kun an mga file sana an gusto mo. Pinduton sana an C sa mga folder na gusto mo asin kopyahon sinda direkta sa saimong healthy destination drive na may 100 porsyento na orihinal na mga pangaran nin file asin mga estruktura nin folder.

Lakdang-sa-Lakdang 2: Pag-scan nin Lohikal na Metadata Gamit an DMDE, R-Studio, o UFS Explorer¶

Kan an mga file napara sa paagi nin Shift + Delete, na hinale sa Recycle Bin, o pinunasan sa paagi nin sarong pamantayan na Quick Format:

1. Buksan an saimong .img file sa laog kan DMDE (an libreng edisyon nakakabawi nin sagkod sa 4,000 na mga file kada aksyon kan direktoryo; an bilog na lisensya barato), R-Studio, o UFS Explorer Standard Recovery.
2. Hilingon nguna an eksistidong Virtual File System Tree:
   • Sa mga NTFS drive, an lambang file igwa nin 1,024-byte (1 kilobyte) na rekord sa Master File Table ($MFT). Dawa kun an sarong sagunson napara, an $MFT an slot nagdadanay na minarkahan nin sarong bakong aktibong bandera (0x00 imbes na 0x01). $MFT ruwang. Dugang pa, an mga file na mas sadit pa sa ~700 bytes (arog kan halipot na mga nota sa teksto, mga susi sa crypto, o saradit na mga script) nakatago resident sa laog kan $MFT an rekord mismo asin bihirang marikas na ma-overwrite.
   • Hilingon sa $Root o Deleted / Found virtual folder na nagigibo sa laog kan enot na 5 segundo kan pagbukas kan partisyon. Kun an saimong mga file minalataw na may pula x o trash icon asin magpahiling nin marahay na sukol, pilion sinda asin i-click an Recover sa saimong separadong destinasyon na drive tulos.
3. Magpadalagan nin Full Volume Scan kun an Directory Header Na-overwrite:
   • Kun an sarong Quick Format nag-overwrite kan root directory o kan enot na pirang megabyte kan $MFT, magpadalagan nin Full Volume Scan. An software mag-i-scan kan bilog na imahe para sa mga natatadang subdirectory index node (INDX mga buffer sa NTFS, mga kadena nin cluster nin subdirectory sa FAT32/exFAT, o mga lumang checkpoint nin transaksyon sa APFS/ext4) asin pagsararoon an lohikal na metadata sa pagdetektar nin pirma kan hilaw na file.

Lakdang-sa-Lakdang 3: Pag-ukit nin Hilaw na File na may PhotoRec (Kun an Metadata Biyong Nadestroso)¶

Kun an Talaan nin Alokasyon nin Sagunson (FAT) o $MFT biyong na-zero out sa paagi nin sarong format, an mga logical directory pointer nawara na, na nawalat sana an mga laog kan raw file na nakatukaw sa mga dai na-alokar na mga data cluster. PhotoRec (na nakabugkos kaiba an TestDisk, biyong libre, open-source, asin magagamit para sa Windows, macOS, asin Linux) nag-eeksel sa pag-ukit nin labing 480 na mga format nin file (kaiba an Canon .CR2/.CR3, Sony .ARW, Nikon .NEF, Adobe .DNG/.PSD, .JPG, .PNG, .PDF, .DOCX/.XLSX mga lalagan nin zip, asin .SQLITE mga database):

1. Ilunsar an PhotoRec laban sa saimong disk image:

   photorec /mnt/backup/sdcard_raw_clone.img
   

2. Pilion an target na partisyon (o Whole disk kun an lamesa nin partisyon napunas).
3. Bago magpoon, magduman sa [File Opt] sa ibaba kan screen:
   • Pinduton s tanganing haleon an pagpili kan gabos na 480 na klase nin sagunson kun ika nagmamakulog sana sa mga partikular na sagunson (halimbawa, tsekan sana jpg, cr2/cr3, tif para sa mga hilaw na retrato, mov/mp4, asin zip/docx), na nagpaparikas nin marhay sa pagrahay asin nag-oolang sa mga falsong positibong mga pidaso nin basura.
4. Magpili [Options] -> magdanay Keep corrupted files : No apwera sana kun binabawi an mga naraot na video stream.
5. Magpili [Search], pilion an klase nin sistema nin sagunson [Other] (para sa FAT/exFAT/NTFS/HFS+), asin pilion an [Free] (kun pinara mo sana an mga file sa sarong aktibong partisyon) o [Whole] (kun an partisyon na-format).
6. Pumili nin destinasyon na folder sa saimong separadong dakulang backup drive asin pinduton an C sa pagpoon nin pag-ukit.
7. Post-Recovery Sorting para sa PhotoRec Output: Nin huli ta an PhotoRec nagtitipig nin mga file bilang f123456.jpg sa bilog na dinosena nin recup_dir mga folder, puede mong awtomatikong i-reorganisar an gabos na nabawi na mga retrato pasiring sa malinig YYYY/MM-Month/ mga folder na may eksaktong mga pangaran nin file kan timestamp kan kamera gamit an libreng command-line tool na ExifTool:

   exiftool "-Directory<DateTimeOriginal" -d "%Y/%Y-%m-%d" -r /mnt/backup/photorec_output/
   

Espesyalisadong pagbawi: mga fragmented camera MP4/MOV videos (GoPro, DJI Drones, Sony, Canon)¶

Saro sa mga pinakaparateng pagkadisganar pagkatapos na magpadalagan nin PhotoRec o standard na software sa pagbawi nin file sa sarong naka-format na camera card iyo an pagdiskubre na 100 porsyento kan mga nabawi .JPG asin .RAW an mga retrato nagbubukas nin perpekto, alagad an lambang saro nabawi .MP4 o .MOV an video file habong mag-play (0:00 na lawig o itom na screen).

Kun tano ta an Standard Recovery Software Pigbabaak an mga Modernong Video nin Kamera¶

1. Interleaved Stream Recording: An mga modernong kamerang aksyon (GoPro Hero series, DJI Air/Mavic/Mini drones, Insta360) asin mga kamerang daing salming sa sinehan dai nagsusurat nin sarong .MP4 sunod-sunod na file poon sa kapinunan sagkod sa katapusan. Mantang nagrerekord nin 4K o 5.3K na video, an kamera kasabay na nagsusurat nin halangkaw an resolusyon .MP4 stream, sarong low-resolution preview .LRV stream, sarong audio buffer, asin telemetry metadata sa mga alternating cluster sa exFAT/FAT32 card (halimbawa: 4 megabytes nin high-res video, na sinusundan nin 512 kilobytes nin .LRV preview, na sinusundan nin 4 megabytes nin high-res video).
2. Nawawara moov Atom sa mga Dai Natapos na Pagrekord: Kun an saimong drone nahulog sa tubig, an baterya kan saimong kamera nagadan sa tahaw kan pagrekord, o an SD card nadiskonekta bago mo pinindot an Stop Record button, an kamera dai nanggad nagsurat kan moov atom (an master index table na nakasurat sa pinakahuri kan sarong MP4/MOV file na nagsasabi sa mga media player kun saen yaon an lambang video frame asin audio chunk).

Kun Paano Magtogdok Liwat nin mga Video nin Kamera na Dai Napapatugtog o Nababaak¶

1. Kaso A: Dai Natapos na Video Pagkatapos nin Pagkawara o Pag-crash kan Baterya (An File Yaon sa Card, Nagpapahiling nin Multi-GB Size, Dai Ipapatugtog):
   • An mga kumpol bilog sa sistema nin sagunson, an moov mayo an payo kan indeks.
   • Gamiton an libre, bukas na pinaggikanan na kasangkapan untrunc (partikularmente an anthwlock/untrunc tinidor) o recover_mp4 (slydiman). Magtao untrunc na may sarong marahay, pwedeng tukaron na reperensya .MP4 na narekord sa eksaktong parehong kamera na may eksaktong parehong resolusyon asin mga setting nin framerate, kaiba an saimong putol .MP4:

     untrunc reference_working_video.MP4 corrupted_unfinalized_video.MP4
     

   • untrunc binabasa an mga parametro kan codec (avcC/hvcC asin mga layout kan audio track) gikan sa nagtatrabahong reperensya na video, nag-iiscan kan mga hilaw na H.264/H.265/HEVC NAL units sa saimong naraot na file, asin nag-synthesize nin sarong bagong marhay moov atomo sa mga segundo.
2. Kaso B: Naka-format na SD Card na may Interleaved / Fragmented na Video (GoPro, DJI, Sony, Canon):
   • Nin huli ta an FAT/exFAT cluster map napunas sa panahon nin pag-format, an sarong standard carver nagkukua kan ftyp/mdat header kan saimong 4K video dangan buta-buta na pigkokopya an .LRV mga preview cluster asin thumbnail cluster sa tahaw kan saimong video file, na nagraraot kan lambang segundo kan footage.
   • Imbes na mga ordinaryong paraukit, i-scan an saimong sdcard_raw_clone.img gamit an sarong fragmentation-aware video reconstructor na namimidbid an mga cadence nin alokasyon nin cluster na espesipiko sa kamera, arog kan SanDisk RescuePRO Deluxe (na kabali an mga espesipikong GoPro/drone fragmented video assembly algorithms), Klennet Carver, o Disk Drill 5+ (na kabali an dedikasyon na dedikado sa Progmented video/JD Progmented video pirma na rekonstruktor).

Pagpara kan retrato sa smartphone: mga realidad sa pag-encrypt kan hardware kan iOS (iPhone) asin Android¶

An sarong komun asin peligrosong salang paghona iyo na puede mong isaksak an sarong modernong iPhone o Android smartphone sa sarong laptop sa paagi nin USB asin padalaganon an tradisyonal na software sa pag-ukit nin disk (arog kan Recuva o PhotoRec) sa panlaog na pagtipig kan telepono.

Kun tano ta an tradisyonal na pag-ukit sa sektor dai nakakabasa kan mga modernong telepono¶

An lambang iPhone poon kan iPhone 3GS (asin an gabos na presenteng iOS devices) naggagamit nin Data Protection (File-Based Encryption) na pinapaandar nin sarong dedikado na hardware AES crypto engine sa pag-ultanan kan flash storage asin mayor na memorya kan sistema. Siring man, an lambang Android device na ipinadara poon kan Android 7.0+ (asin mandatory poon kan Android 10) naggagamit nin File-Based Encryption (FBE) na suportado kan hardware Keystore/Titan M/Knox chip.

Sa parehong mga plataporma, an lambang indibidwal na retrato asin file sa panlaog na pagtipig naka-encrypt gamit an sadiring kakaibang per-file cryptographic key. Kun an sarong file permanenteng hinahale sa sistema nin file kan telepono, an telepono dai na kaipuhan na buraon an mga multi-megabyte na bloke nin retrato; ini tulos na minaraot kan 256-bit kada-file na susi sa pag-encrypt sa metadata table. Kun mayo an susi na iyan, an mga hilaw na bloke nin NAND igwa nin dai mabari na random na ribok sa paagi nin kriptograpiya. Dawa an mga top-tier na forensic lab kan gobyerno dai kayang "mag-ukit" nin permanenteng napara na mga retrato gikan sa panlaog na flash kan sarong modernong iPhone o Android oras na an per-file key napara na.

An Aktwal na mga Dalan nin Pagbawi para sa mga Nabura na mga Litrato kan Smartphone¶

Nin huli ta an pag-encrypt kan hardware nag-uulang sa raw carving, an pagbawi kan mga napara na retrato gikan sa sarong iPhone o Android nakadepende sa pagbawi kan mga kopya bago mag-expire an mga retention timer o pagkua nin mga naka-cache na thumbnail database:

1. Hilingon tulos an On-Device na "Bagong Napara" na Album (30-Aldaw na Bintana):
   • iOS (iPhone / iPad): Buksan an Photos -> mag-scroll pababa sa Utilities -> i-tap an Recently Deleted (kaipuhan an Face ID / Touch ID / Passcode). An mga retrato nagdadanay digdi sa laog nin 30 aldaw bago an permanenteng pagkaraot kan susi.
   • Android (Google Photos / Samsung Gallery): Buksan an Google Photos -> Library / Collections -> Trash / Bin (itinatago sa laog nin 60 aldaw kun naka-backup, 30 aldaw kun device sana). Hilingon man an Samsung Gallery -> Menu (tulong linya) -> Trash (natitipig sa laog nin 30 aldaw), asin buksan an Files by Google o My Files app -> Trash, na nagmamantenir nin separadong 30-aldaw na basurahan.
2. Kun Napara Mo an mga Litrato gikan sa "Bagong Napara" sa iPhone, Mag-apod sa Apple Support para sa Emergency iCloud Server-Side Restore:
   • Dakul na mga paragamit an dai nakakaaram na dawa pagkatapos mong i-click an "Delete from All Devices" / "Empty Recently Deleted" sa iCloud Photos, an mga backend server kan Apple nagtitipig nin sarong soft-deleted server recovery buffer para sa halipot na bintana (sa parati sagkod sa 7 sagkod 14 aldaw pagkatapos kan permanenteng pagpara).
   • Kontakon tulos an Apple Support sa paagi nin telepono o chat, hagadon na makipag-olay sa sarong Senior Advisor, asin hagadon sa sainda na mag-trigger nin iCloud Photo Library Server-Side Recovery sa saimong Apple Account. Parati nindang pwedeng i-flip an sarong server switch na nag-dump kan mga bagong purge na iCloud Photos pabalik sa saimong album sa laog nin 15 minutos.
3. Ibalik gikan sa sarong Lumang Dai Naka-sync na Device o Naka-encrypt na Lokal na Backup:
   • Airplane Mode Trick sa Secondary iPad / Mac: Kun an saimong iPhone nag-sync nin sarong pagbura sa iCloud, kuanon an saimong iPad o MacBook bago ini magkonektar sa Wi-Fi (paraon an saimong Wi-Fi router sa harong na hinahale nguna an power cord kun an iPad nagtuturog sa saimong lamesa). I-on an iPad sa total na pagsolo sa radyo, kopyahon an mga yaon pa man giraray na retrato sa paagi nin USB cable o AirDrop sa ibang aparato bago maresibi kan iPad an iCloud deletion push command.
   • Hilingon an iCloud Backup kumpara sa iCloud Photos: Kun igwa ka nin iCloud Photos na naka-OFF (Settings -> [Your Name] -> iCloud -> Photos -> Off), an saimong Camera Roll kabali sa laog kan saimong banggi na iCloud Device Backup. Puede mong punasan an sarong lumang ekstrang iPhone (o pansamantalang i-back up asin i-reset an saimong presenteng iPhone) asin ibalik an banggi na iCloud Backup poon bago kan oras na hinale mo an retrato.
   • Hilingon an Local Finder / iTunes Backups sa Saimong PC o Mac: Hilingon ~/Library/Application Support/MobileSync/Backup/ sa macOS o %APPDATA%\Apple Computer\MobileSync\Backup\ sa Windows. Puede kang mag-browse asin mag-extract nin mga retrato gikan sa mga lumang lokal na backup na dai na pig-ooverwrite an saimong telepono gamit an iMazing o iBackup Viewer.
4. Hilingon an mga Lokal na Cache kan Messaging App (WhatsApp, iMessage, Telegram, Signal):
   • Na-text mo na daw an napara na retrato o video sa sarong agom, amigo, o grupo nin chat kan pamilya? An mga messaging app nagtitipig nin mga independienteng kopya kan media sa laog kan saindang sadiring mga sandbox kan aplikasyon (Media/WhatsApp Images/Sent sa Android, o sa laog kan mga attachment sa chat sa iMessage). Dawa kun buraon mo an sarong retrato sa saimong mayor na Camera Roll asin iluwas an Basurahan, an kopya sa laog kan saimong WhatsApp Sent an kasaysayan kan folder o iMessage thread nagdadanay na biyong dai nadudutaan.

Cloud drive asin enterprise accidental deletion recovery (Google Drive, OneDrive, Dropbox)¶

Kun an sarong bilog na pinag-iribang folder nawawara o nasusurat sa sarong cloud drive (o kun an ransomware o sarong glitch sa pag-sync nagbubura nin mga lokal na file asin nag-sync kan paghale sa panganoron), an lokal na pagbawi kan disk parateng dai kaipuhan huli ta an mga plataporma nin cloud nin negosyo asin konsumidor nagmamantenir nin mga kasaysayan nin multi-tier na bersyon:

1. Microsoft OneDrive & SharePoint Online:
   • Enot na Yugto nin Recycle Bin (onedrive.live.com): Nagtitipig kan mga napara na mga file sa laog nin 30 aldaw sa personal na mga account asin 93 aldaw sa mga account sa Trabaho/Eskwelahan.
   • Second-Stage Site Collection Recycle Bin (Trabaho/Eskwelahan): Dawa kun an sarong empleyado o hacker mag-empty kan mayor na OneDrive Recycle Bin, i-click an link sa ibaba kan pahina kan Recycle Bin na may tatak na "Second-stage recycle bin", kun saen an mga napurga na mga file nagdadanay na mababawi sa natatada pang **3-93 aldaw kan bintana.
   • Ibalik an Saimong OneDrive (Point-in-Time Rollback): An mga subscriber kan Microsoft 365 puedeng mag-click sa Mga Setting (gear icon) -> Mga Opsyon -> Ibalik an saimong OneDrive, na naggagamit nin sarong biswal na histogram slider tanganing i-roll an lambang file, liwaton an pangaran, asin pagpara sa bilog na cloud drive tanganing ibalik an eksaktong laog kan anuman na minuto 30 aldaw**.
2. Google Drive & Google Workspace:
   • Google Drive Trash (drive.google.com/drive/trash): Pinapagdadanay an mga napara na mga sagunson sa laog nin 30 aldaw.
   • Google Workspace Admin Post-Trash Recovery (25-Day Grace Window): Dawa pagkatapos na an sarong paragamit mag-click kan "Delete Forever" asin mag-empty kan saindang Google Drive Trash, an sarong Google Workspace Administrator (o indibidwal na paragamit na nakikipag-olay sa Google Drive Support sa personal na Google One account) pwedeng magbukas kan Sole Console kan Google Oneadmin.google.com) -> Directory -> Mga Paragamit -> [Pilion an Paragamit] -> Dugang na mga Opsyon -> Ibalik an Data, asin ibalik an permanenteng napurga na mga file sa Google Drive asin mga mensahe sa Gmail sagkod sa 25 dagdag na aldaw pagkatapos na an Basurahan nawara.
3. Dropbox:
   • Mga Pinara na mga Sagunson (dropbox.com/deleted_files): Nagtitipig kan mga napara na mga file asin folder sa laog nin 30 aldaw sa mga plano nin Basic/Plus/Pamilya, asin 180 aldaw sagkod 1 taon sa mga plano nin Propesyonal/Negosyo.
   • Dropbox Rewind (dropbox.com/rewind): Nagtutugot sa pagbalik kan bilog na folder o kan bilog na account tanganing i-undo an mga mass deletion, aksidenteng pag-drag-and-drop, o mga pangyayari sa pag-encrypt.

Mga parating pighahapot¶

An mga pinagkukuanan pig-tsek¶

• National Institute of Standards and Technology (NIST, Estados Unidos): Espesyal na Publikasyon 800-88 Rebisyon 1, Mga Giya para sa Media Sanitization (ATA TRIM, NVMe Deallocate, asin NAND Flash Translation Layer behavior) asin Computer Forensics Tool Testing (CFTT) Program Disk Imaging Specifications (Magingcsrc.nist.gov).
• Cybersecurity and Infrastructure Security Agency (CISA, Estados Unidos): Data Backup, Forensic Preservation, asin Mga Giya sa Pag-asikaso nin Insidente (cisa.gov).
• GNU Project / Antonio Diaz Diaz (International): Opisyal na GNU ddrescue Manual: Data Recovery Tool asin Block Device Mapfile Algorithms (gnu.org/software/ddrescue).
• CGSecurity / Christophe Grenier (International): TestDisk & PhotoRec Opisyal na Dokumentasyon: Pagbawi nin Partisyon asin Mga Pirma sa Pag-ukit nin File (cgsecurity.org).
• Seguridad kan Plataporma kan Apple (Estados Unidos): FileVault, Mga Klase nin Proteksyon sa Datos, Mga Susi sa Pag-encrypt nin Per-File, asin APFS Trim Architecture sa Apple Silicon asin T2 Systems (support.apple.com/guide/security).
• Android Open Source Project (AOSP, International): File-Based Encryption (FBE) asin Metadata Encryption Architecture (source.android.com/docs/security/features/encryption).
• SD Association (International): SD Specifications Part 1: Physical Layer Simplified Specification (Erase Commands CMD32, CMD33, CMD38 and Write-Protect Mechanical Switch) (sdcard.org).

Mga kaugnay na giya¶

• An pagkabigo kan hard drive asin pagbawi kan datos
• Mga backup sa kompyuter: 3-2-1 na estratehiya asin pagbangon sa kalamidad
• Ransomware asin malware
• Raot o naraot nin tubig na telepono
• An pagkabigo sa boot kan sistema nin Linux asin paghirahay kan GRUB
• Windows Blue Screen (BSOD) asin paghirahay kan boot