Skip to content

Atsitiktinis failo ištrynimas, suformatuota SD kortelė ir nuotraukų atkūrimas

Pagalbos numeriai skiriasi priklausomai nuo šalies. Šiame puslapyje naudojamas numeris 911, JAV ir Kanados numeris. Daugelis kitų šalių naudoja 112, 999 arba kitą numerį. Raskite savo šalies numerį.

Suvokimas, kad ką tik suformatavote netinkamą fotoaparato SD kortelę, ištuštinote šiukšliadėžę ar šiukšliadėžę išoriniame darbo diske arba netyčia išvalėte visą nepakeičiamų šeimos nuotraukų skaidinį, yra opi techninė krizė. Kai failas ištrinamas arba laikmena greitai suformatuojama, operacinė sistema retai iš karto ištrina neapdorotus dvejetainius duomenis atminties langeliuose. Vietoj to jis pašalina failų sistemos katalogo žymeklį ir tuos loginius blokų adresus pažymi kaip „laisvą vietą“, kurią galima perrašyti. Nesvarbu, ar atkursite 100 procentų savo duomenų, ar prarasite juos amžiams, visiškai priklauso nuo to, kas nutinka per pirmąsias 60 sekundžių po ištrynimo. Kas sekundę diskas lieka prijungtas skaitymo ir rašymo režimu, foninės operacinės sistemos indeksavimu, apsikeitimo failais, naršyklės talpyklomis ir kietojo kūno disko (SSD) šiukšlių surinkimo tvarka (TRIM / UNMAP) gali visam laikui panaikinti pagrindinius sektorius.

Jei atsitiktinis ištrynimas ar formatavimas susijęs su medicinine telemetrija, teisiniais įrodymais, susijusiais su aktyviu nusikaltimu arba gyvybės saugos sistemos gedimu, skambinkite vietiniu pagalbos numeriu (911 JAV ir Kanadoje, 112 visoje Europos Sąjungoje, 999 Jungtinėje Karalystėje) arba pasidomėkite mūsų tarptautinių žinynu pagalbos numeriai prieš liesdami aparatinę įrangą. Dėl visų vartotojų, fotografijos, akademinių ir įmonių duomenų praradimo incidentų nedelsdami sustabdykite visą disko veiklą ir vykdykite toliau pateiktą teismo ekspertizės atkūrimo darbo eigą.

Padarykite tai dabar

  1. Nedelsdami ištraukite išimamą SD kortelę, CFexpress kortelę arba USB diską: jei ką tik suformatavote fotoaparato atminties kortelę arba ištrynėte failus iš išorinio USB įrenginio, nedelsdami išjunkite fotoaparato maitinimo jungiklį arba atjunkite išorinį USB kabelį nuo kompiuterio. Nedarykite „vienos bandomosios nuotraukos“, kad pamatytumėte, ar kortelė veikia, ir neleiskite „Windows“ (chkdsk) arba macOS (fsck_apfs), norėdami „nuskaityti ir taisyti“ diską.
  2. Jei ištrynėte failus iš kompiuterio vidinio sistemos disko (C: diskas arba macOS Macintosh HD), ištraukite maitinimą arba priverstinai išjunkite maitinimą: įprastai neuždarykite programų, neatsisiųskite duomenų atkūrimo programinės įrangos į paveiktą kompiuterį ir nespustelėkite „Išjungti“ (kurie įrašomi gigabaitai užmigdymo failų, registro avilių ištrynimas ir seansų blokavimas). Laikykite nuspaudę fizinį maitinimo mygtuką 5-10 sekundžių, kol aparatas visiškai išsijungs, arba atjunkite stalinio kompiuterio maitinimo laidą, jei tai ne akumuliatoriaus sistema.
  3. Pastumkite viso dydžio SDHC / SDXC kortelių fizinį apsaugos nuo įrašymo jungiklį į LOCK padėtį: pažiūrėkite į standartinės 32 mm x 24 mm (1,26 colio x 0,94 colio) SD kortelės kairįjį kraštą ir stumkite mažytį plastikinį skirtuką žemyn link apatinio krašto (toliau nuo auksinių skaitytuvo kaiščių netyčia negalėtų rašyti). .DS_Store, System Volume Information, arba „Spotlight“ indekso failus, kai prijungsite jį vėliau.
  4. Supraskite SSD TRIM spąstus prieš vėl įjungdami vidinį SSD: Šiuolaikiniai NVMe ir SATA kietojo kūno diskai veikia aparatinės įrangos lygiu TRIM (ATA) arba Deallocate (NVMe) komandos per kelias sekundes ar minutes po failo ištrynimo arba formatavimo. Kai SSD valdiklis paleidžia foninį šiukšlių rinkimą apkarpytuose puslapiuose, neapdorota raižybos programinė įranga skaitys tik nulius (0x00). Išjungus maitinimą vidinis SSD mikroprocesorius nebebaigs rinkti šiukšlių fone.
  5. Paruoškite atskirą, švarų antrinį kompiuterį ir didesnį paskirties diską: niekada neįdiekite atkūrimo įrankių į diską, kuriame buvo prarasti duomenys, ir niekada neatkurkite atkurtų failų atgal į tą patį šaltinio diską nuskaitymo metu. Naudokite antrą kompiuterį (arba paleiskite paveiktą kompiuterį iš išorinės Ubuntu Linux Live USB atmintinės) ir pridėkite tuščią išorinį standųjį diską, kurio atminties talpa bent dvigubai didesnė nei paveikto disko.
  6. Sukurkite neapdorotą dvejetainį vaizdą pagal sektorių (.img arba .dd) prieš paleisdami bet kokį failų atkūrimo analizatorių: prieš paleisdami PhotoRec, R-Studio, DMDE arba UFS Explorer, naudokite ddrescue arba HDDSuperClone, norėdami klonuoti kiekvieną SD kortelės arba disko sektorių į vieną vaizdo failą atsarginiame diske. Tada galite saugiai paleisti kelis atkūrimo algoritmus vaizdo faile, nerizikuodami toliau nusidėvėti ar netyčia įrašyti pradinę laikmeną.

Danger

Niekada nebėgioti CHKDSK /F „Windows“ arba „Disk Utility“ Pirmoji pagalba „MacOS“, kai bandoma atkurti ištrintus failus arba sugadintą skaidinių lentelę. Failų sistemos taisymo įrankiai skirti operacinės sistemos struktūriniam nuoseklumui atkurti, o ne failams išsaugoti. Jie reguliariai sutrumpina našlaičių inodų grandines, perrašo sugadintas failų paskirstymo lenteles (FAT) ir visam laikui sunaikina tikslius metaduomenų nuorodas, kurių reikia profesionaliems duomenų atkūrimo įrankiams, kad būtų galima atkurti aplankų hierarchijas ir failų pavadinimus.

Sprendimų medis: tinkamos atkūrimo strategijos pasirinkimas pagal laikmeną ir failų sistemą

Naudokite šią teismo ekspertizės skirstymo schemą, kad nustatytumėte, ar ištrintus duomenis galima atkurti naudojant loginę failų lentelės atkūrimą, neapdoroto failo parašo iškirpimą arba specializuotą atskyrimo analizę:

flowchart TD
    A["Aptiktas atsitiktinis failo ištrynimas arba disko formatas"] --> B["Nedelsdami išjunkite įrenginį arba išimkite išimamą laikmeną"]
    B --> C{"Kokio tipo fizinės saugojimo aparatinė įranga turi įtakos?"}
    C -->|"Kamera SD / MicroSD / CFexpress / USB Flash"| D["Įjunkite fizinį rašymo apsaugos jungiklį arba naudokite tik skaitymo USB blokatorių"]
    C -->|"Išorinis arba vidinis mechaninis kietasis diskas (HDD)"| E["Nėra TRIM rizikos: didelė atkūrimo tikimybė, jei neatsirastų nulis naujų įrašų"]
    C -->|"Vidinis arba išorinis SSD / NVMe / Mac / išmanusis telefonas"| F{"Kokia failų sistemos ir OS ryšys buvo naudojamas?"}
    F -->|"NTFS, APFS arba ext4 vidiniame NVMe / SATA SSD"| G["Didelė TRIM rizika: paleiskite per Linux Live USB su libata.force=noncqtrim"]
    F -->|"exFAT arba FAT32 per standartinę USB atmintinę"| H["Vidutinė / maža TRIM rizika: daugelis USB tiltų nepraleidžia TRIM exFAT"]
    F -->|"„iOS“ / „Android“ vidinė atmintis"| I["Aparatinės įrangos failais pagrįstas šifravimas (FBE): raktai sunaikinami ištrynus, nedelsdami patikrinkite debesies / vietines atsargines kopijas"]
    D --> J["Sukurkite viso bitų srauto kloną (.img) naudodami GNU ddrescue atskirame diske"]
    E --> J
    G --> J
    H --> J
    J --> K{"Ar failai buvo ištrinti atskirai, ar diskas buvo suformatuotas?"}
    K -->|"Individualus ištrynimas / greitas formatavimas (nepažeisti metaduomenys)"| L["Vykdykite loginių metaduomenų atkūrimą (DMDE, R-Studio, UFS Explorer, TestDisk)"]
    K -->|"Perrašytų failų lentelė / fotoaparato korpuso formatas"| M["Paleiskite neapdoroto failo parašo drožyba + fragmentuoto vaizdo atkūrimo programa (PhotoRec, GoPro / MP4 taisymas)"]

Ištrynimo fizika: HDD magnetinės plokštelės ir SSD NAND blykstė ir fotoaparato SD kortelės

Kad nesugadintumėte atkuriamų duomenų, turite suprasti, kaip įvairios saugyklos architektūros tvarko ištrynimą ir formatavimą po gaubtu.

1. Mechaniniai standieji diskai (HDD) ir magnetinis įrašymas (SMR)

Įprasto įprasto magnetinio įrašymo (CMR) sukančiame kietajame diske failo ištrynimas arba greitojo formatavimo paleidimas trunka mažiau nei dvi sekundes, nes skaitymo / rašymo galvutės keičia tik pagrindinio katalogo indeksą, pvz., $MFT (Pagrindinio failo lentelę) NTFS, paskirstymo bitų schemą ir katalogo B medį HFS+/APFS arba failų paskirstymo lentelę FAT32/exFAT. Tikrieji magnetinio srauto pasikeitimai, atspindintys jūsų JPEG, PDF ir skaičiuokles, lieka nepakitę ant kobalto lydinio lėkštelių, kol operacinė sistema nenusprendžia įrašyti visiškai naują failą per tuos tikslius loginio bloko adresus (LBA).

Tačiau daugelis šiuolaikinių didelės talpos vartotojų išorinių standžiųjų diskų (paprastai nuo 2 terabaitų iki 5 terabaitų 2,5 colio nešiojamuose korpusuose) naudoja Shingled Magnetic Recording (SMR) kartu su vidiniu programinės įrangos vertimo sluoksniu, vadinamu Media Cache. Kai kurie šiuolaikiniai SMR standieji diskai iš tikrųjų palaiko TRIM komanda kaip SSD. Jei ištrinsite didelį aplanką SMR standžiajame diske, kuriame įgalintas TRIM, ir paliksite jį įjungtą 20 minučių, vidinė disko programinė įranga gali pertvarkyti savo juostas ir visam laikui panaikinti nepaskirstytus sektorius fone. Nedelsiant atjungus įrenginį nuo šio vidinio tvarkymo ciklo išvengiama.

2. Kietojo kūno diskai (SSD), NVMe ir kt TRIM / Deallocate Vykdymo langas

NAND „flash“ atmintis SSD diskuose negali perrašyti esamų duomenų tiesiai į vietą. Kad NAND „flash“ elementas galėtų priimti naujus duomenis, visam „flash“ blokui (paprastai nuo 4 megabaitų iki 16 megabaitų) pirmiausia turi būti atliktas lėtas elektrinis programavimo / ištrynimo (P/E) ciklas. Jei SSD lauktų, kol išsaugosite naują failą, kad ištrintumėte senus blokus, rašymo greitis sumažėtų.

Kad SSD diskai būtų greiti, modernios operacinės sistemos („Windows 7“ - „Windows 11“, „macOS 10.10+“ ir „Linux“ branduoliai su fstrim arba discard) atsiųskite nedelsiant TRIM (SATA) arba Dataset Management: Deallocate (NVMe) komandą SSD valdikliui, kai ištuštinate šiukšlinę / šiukšliadėžę arba vykdote greitąjį formatavimą:

  1. Deterministinis nulio nustatymas po TRIM (DZAT / DRAT): beveik visi šiuolaikiniai vartotojų NVMe ir SATA SSD diskai užtikrina deterministinį nulį po TRIM. Tikslią milisekundę, kurią gauna SSD valdiklis TRIM komandą įvairiems sektoriams, jos vidinis „Flash Translation Layer“ (FTL) atskiria tuos loginius adresus iš fizinių NAND puslapių.
  2. Immediate Zero Return: net prieš ištrinant fizinį elektros krūvį iš silicio elementų, jei yra programinė įranga (įskaitant ddrescue, PhotoRec arba R-Studio) prašo SSD nuskaityti tuos iškirptus sektorius naudojant standartines SATA arba NVMe komandas, SSD valdiklis perima užklausą ir grąžina grynus šešioliktainius nulius (00 00 00 00) net netikrindami fizinių NAND lustų.
  3. Kai SSD atkūrimas vis dar įmanomas:
    • Išoriniai USB korpusai be UASP/TRIM perdavimo: senesni USB 3.0 tilto lustai, naudojantys seną BOT (Bulk-Only Transport) protokolą, o ne UASP (USB Attached SCSI Protocol) negali išversti operacinės sistemos TRIM komandas per USB kabelį.
    • FAT32 ir exFAT tomai tam tikrose OS versijose: istoriškai kelios operacinių sistemų versijos buvo siunčiamos tik automatiškai realiuoju laiku TRIM komandos vietinėse žurnalų failų sistemose (NTFS, APFS, ext4) ir neišdavė iš karto realiuoju laiku TRIM ant nuimamo FAT32 arba exFAT pertvaros.
    • Perskirstymo lentelės valymas (diskpart clean arba atsitiktinis skaidinio ištrynimas) be formatavimo: ištrynus skaidinio įrašą iš GUID skaidinių lentelės (GPT) arba pagrindinio įkrovos įrašo (MBR), pagrindiniai sektoriai kartais neapkarpomi, kol viršuje suformatuojama nauja failų sistema.

3. Fotoaparato korpuso formatavimas ir Sony / Canon / Nikon SD_ERASE Spąstai

Fotografai ir vaizdo įrašų kūrėjai dažnai mano, kad SD, microSD arba CFexpress kortelės formatavimas skaitmeniniame fotoaparate yra identiškas „greitam formatavimui“ staliniame kompiuteryje. Nors tai buvo tiesa prieš dešimt metų, šiuolaikinės beveidrodinės kameros elgiasi labai skirtingai, priklausomai nuo gamintojo:

Kameros prekės ženklas ir laikmenos tipas Kas nutinka kameros „Formatavimo“ metu Poveikis „pasidaryk pats“ programinės įrangos atkūrimui Reikia nedelsiant imtis veiksmų
Canon (EOS R serija, DSLR) standartinis formatas Perrašo tik FAT/exFAT šakninį katalogą ir paskirstymo lenteles (0x00 antraštės sektoriuose). Neapdorotų vaizdų / vaizdo įrašų sankaupos nepaliestos. Labai sėkmingas (95%+): neapdoroti raižiniai ir suskaidyti MP4 atkūrimo įrenginiai gali išgauti CR2/CR3 nuotraukas ir MOV/MP4 vaizdo įrašus. Nedelsdami išimkite kortelę ir užrakinkite rašymo jungiklį. NESIRINKITE „Žemo lygio formato“.
Canon „žemo lygio formatas“ (pažymėtas žymimasis laukelis) Aparatinės įrangos problemos ERASE (CMD38) komandą SD kortelės valdikliui, atjungiant visus blykstės blokus visoje kortelėje. Beveik nulis per kortelių skaitytuvą: kortelė grąžinama 0x00 arba 0xFF visuose sektoriuose. Reikalingas laboratorinis monolitinis NAND pinout išmetimas, jei FTL tik nepriskirti blokai. Jei pastebėsite eigos juostos viduryje, atidarykite akumuliatoriaus dureles arba nedelsdami patraukite kortelę, kad išsaugotumėte neištrintą procentą.
Sony Alpha (a7 IV, a7S III, a9, FX3, FX6) Visas formatas Siunčia fizinį SD_ERASE / DISCARD komandą (CMD32/CMD33/CMD38) į SDXC ir CFexpress A/B tipo valdiklį standartinio formato metu. Nulis naudojant standartinę programinę įrangą: standartiniai atkūrimo įrankiai nuskaito visą kortelę per 30 sekundžių ir suranda 0 failų, nes kiekvienas sektorius skaito 0x00 arba 0xFF. Nedelsdami sustokite. Nerašykite į kortelę. Tik specializuotos teismo medicinos laboratorijos, galinčios nuskaityti neapdorotą NAND, apeinant valdiklį (ir tik tam tikruose valdikliuose), turi bet kokią galimybę.
Nikon (Z serija, DSLR) / Fujifilm / Panasonic Lumix Paprastai išvalo failų sistemos struktūras SD kortelėse; tačiau CFexpress Type B kortelės naudoja PCIe NVMe protokolus ir dažnai vykdo NVMe Format NVM / Deallocate komandas. ** Didelis SDXC; Mažai CFexpress**: SDXC kortelės paprastai atsikuria gerai; CFexpress B tipo kortelės dažnai nutrūksta per NVMe valdiklio šiukšlių surinkimą. Nedelsdami išimkite kortelę. Vaizdas su ddrescue ir patikrinkite šešiakampį vaizdą (0x00 palyginti su atsitiktiniais didelės entropijos duomenimis), kad patikrintų, ar blokai buvo panaikinti.
DJI dronai / GoPro veiksmo kameros / Insta360 Naudoja exFAT/FAT32 ir dažnai įrašo dvigubus srautus (.MP4 + .LRV mažos raiškos peržiūra + .THM miniatiūra) įterptose duomenų dalyse. Aukšta nuotraukoms; Specializuotas įrankis, reikalingas vaizdo įrašams: standartiniai drožėjai (PhotoRec) sukuria neatkuriamus vaizdo failus, nes didelės spartos MP4 srautai yra padalyti į negretimus grupes, susipynusius su .LRV duomenis. Pirmiausia atvaizduokite „microSD“ kortelę, tada naudokite klasterį suvokiančią fragmentuoto vaizdo kūrimo priemonę (recover_mp4, AeroQuartet Treasured arba SanDisk RescuePRO Deluxe).

Warning

Kaip per 10 sekundžių sužinoti, ar jūsų suformatuota SD kortelė arba SSD nukentėjo nuo aparatinės įrangos TRIM arba SD_ERASE? Atidarykite disko vaizdą (arba tik skaitomą kortelę) nemokamoje šešioliktainėje peržiūros priemonėje (pvz., HxD sistemoje „Windows“, 0xED „MacOS“ arba hexdump -C Linux) ir slinkite per pirmuosius 32 megabaitus (0,03 gigabaitus) į disko vidurį. Jei matote tūkstančius eilučių įvairių, atsitiktinai atrodančių šešioliktainių simbolių (A4 7F 2C 91 E0..), jūsų nuotraukos ir vaizdo įrašai vis dar yra fiziškai ir 100 procentų atkuriami. Jei visas disko vidurys yra ištisinės linijos 00 00 00 00 arba FF FF FF FF, blykstės valdiklis atskyrė sektorius per TRIM/ERASE, ir jokia komercinė programinė įranga negali jų nuskaityti per standartinį USB skaitytuvą.

1 etapas: neatidėliotinas OS sulaikymas ir automatinio rašymo blokavimas

Prieš bandydami atkurti failus iš vidinio disko arba prijungdami išorinį diską prie kompiuterio, turite neutralizuoti operacinės sistemos mechanizmus, kurie tyliai perrašo ištrintą vietą.

1. Atkūrimas iš vidinio „Windows“ disko (C: diskas)

Jei iš Windows darbalaukio, dokumentų arba atsisiuntimų aplanko ištrynėte svarbų aplanką ir ištuštinote šiukšlinę:

  1. NENAUDOKITE „Windows“ tame diske: netgi palikus „Windows“ nenaudojamą darbalaukyje, tai leidžia SearchIndexer.exe, „Windows Defender“ fono nuskaitymas, „Chrome“ / „Edge“ talpyklos naujinimai, „Volume Shadow Copy“ pasukimas ir „Windows“ puslapio failas (pagefile.sys), kad galėtumėte rašyti šimtus megabaitų per minutę tiesiai per naujai atlaisvintas grupes.
  2. Jei negalite iš karto išjungti maitinimo (pvz., nuotolinėje darbo vietoje be fizinės prieigos), išjunkite TRIM iš karto per administratoriaus komandų eilutę:
    • Paspauskite Win + X, spustelėkite Terminalas (administratorius) arba Komandų eilutė (administratorius) ir vykdykite: 
      fsutil behavior set DisableDeleteNotify 1
    • Tai neleidžia „Windows“ siųsti jokių toliau TRIM pranešimus apie NTFS ir ReFS tomus, nors to anuliuoti negalima TRIM sekundėmis anksčiau išsiųstos komandos.
  3. Patikrinkite, ar tūrinė šešėlinė kopija (Previous Versions) jau egzistuoja prieš išjungiant (užtrunka 15 sekundžių):
    • Dešiniuoju pelės mygtuku spustelėkite pagrindinį aplanką, kuriame buvo ištrinti failai, spustelėkite Ypatybės -> Ankstesnės versijos.
    • Arba bėgti vssadmin list shadows administratoriaus komandų eilutėje. Jei šešėlinis momentinis vaizdas egzistuoja anksčiau šiandien arba vakar, galite prijungti tą šešėlinę kopiją tik skaitymui (mklink /d C:\ShadowRestore \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\) ir nukopijuokite nepažeistus failus tiesiai į išorinį USB atmintinę.
  4. Jei nėra šešėlinės kopijos, išjunkite ir paleiskite iš „Linux Live USB“: sukurkite „Ubuntu“ arba „SystemRescue“ USB atmintinę kitame kompiuteryje, paleiskite paveiktą kompiuterį iš to USB įrenginio naudodami Išbandykite Ubuntu (tiesioginės atminties režimą) neprijungę vidinio disko rw ir atvaizduokite arba išskleiskite failus iš išorės.

2. Atkūrimas iš „macOS“ sistemos disko („Apple Silicon M1/M2/M3/M4“ ir „T2 Mac“)

Šiuolaikiniai „Apple“ kompiuteriai, kuriuose veikia „macOS“ su APFS („Apple“ failų sistema), turi dvi griežtas architektūrines kliūtis:

  1. Agresyvus APFS TRIM: siunčia „macOS“. TRIM komandas iškart ištuštinus vidinių Apple SSD diskų šiukšliadėžę.
  2. Aparatinės įrangos „FileVault“ / saugaus anklavo šifravimas: visuose „Mac“ kompiuteriuose, kuriuose yra „Apple T2“ lustas arba „Apple Silicon“ (M1, M2, M3, M4), vidinis SSD pagal numatytuosius nustatymus yra aparatinės įrangos užšifruotas ramybės būsenoje, naudojant raktus, susietus su saugiu enklavu, net jei „FileVault“ sistemos nustatymuose yra išjungta.
    • ** 1 neatidėliotinas patikrinimas: vietinės laiko mašinos momentinės nuotraukos (tmutil)**: net jei jūsų išorinis „Time Machine“ atsarginis diskas buvo atjungtas ištrynimo metu, „macOS“ automatiškai sukuria paslėptas valandines APFS vietines momentines nuotraukas vidiniame SSD diske, jei sukonfigūruota „Time Machine“. Nedelsdami atidarykite terminalą ir paleiskite: 
      tmutil listlocalsnapshots /
      Jei sąraše matote momentines nuotraukas (pvz., com.apple.TimeMachine.2026-10-31-091522.local), atidarykite aplanką, kuriame buvo failas, ir paleiskite Laiko mašinos programą iš programų, kad failas būtų atkurtas per kelias sekundes.
    • Skubus 2 patikrinimas: debesies sinchronizavimo šiukšliadėžės („iCloud Drive“, „OneDrive“, „Dropbox“, „Google“ diskas): „MacOS Desktop“ ir „Documents“ aplankai dažnai sinchronizuojami su iCloud Drive, ištrynus failą iš „Mac Desktop“, jis ištrinamas naudojant „iCloud“ sinchronizavimą, o ne tik vietoje. Telefone ar kitame kompiuteryje atidarykite naršyklę, prisijunkite icloud.com -> Diskas -> Neseniai ištrintas (apatiniame dešiniajame kampe), kur ištrinti failai saugomi 30 dienų visiškai nepaliesti vietinio SSD TRIM.

3. „MacOS“ ir „Windows“ blokavimas, kad jie neužterštų prijungtos SD kortelės arba išorinio disko

Kai prijungiate fotoaparato SD kortelę arba išorinį USB diską prie kompiuterio norėdami atkurti failus, pagrindinė operacinė sistema nedelsdama bando įrašyti paslėptus metaduomenų failus į disko šaknį (.DS_Store, .Spotlight-V100, .fseventsd, .Trashes „MacOS“; System Volume Information ir $Recycle.Bin sistemoje „Windows“). Tie smulkūs raštai patenka tiesiai į laisvos vietos bitmap pradžioje, dažnai sugadindami tikslias katalogo antraštes, kurias bandote atkurti.

  • „Linux“ (saugiausias teismo ekspertizės metodas): „Linux“ automatiškai neįrašo paslėptų indekso aplankų, jei išjungiate automatinį montavimą arba prijungiate blokinį įrenginį tik skaitomą (ro,noload).
  • „Windows“ sistemoje (įgalinkite tik skaitymo disko atributą naudodami „DiskPart“ PRIEŠ įdėdami diską arba naudokite registro WriteBlocker):
    • Atidaryti regedit.exe kaip administratorius, eikite į HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies (sukurkite StorageDevicePolicies raktą, jei jo nėra) ir sukurkite a DWORD (32-bit) pavadinta vertė WriteProtect nustatyti į 1. Po to prijunkite USB kortelių skaitytuvą ir „Windows“ laikys visą išimamą USB atmintinę kaip apsaugotą nuo aparatinės įrangos.
  • MacOS sistemoje (prijunkite per disko arbitrą): atsisiųskite ir paleiskite atvirojo kodo programą Disk Arbitrator prieš prijungdami SD kortelių skaitytuvą arba išorinį diską. Nustatykite Disk Arbitrator į Block Mounts arba Mount Read-Only, kad „macOS“ negalėtų rašyti .DS_Store arba Spotlight indeksai ant pažeistos skaidinio.

2 etapas: teismo ekspertizės klono sukūrimas pagal sektorių (ddrescue)

Niekada nevykdykite failų atkūrimo nuskaitymo tiesiogiai sugedusiame standžiajame diske, susidėvėjusioje „microSD“ kortelėje arba vienintelėje suformatuoto skaidinio kopijoje. Neapdoroto dvejetainio vaizdo failo kūrimas (.img arba .dd).

Žingsnis po žingsnio klonavimas naudojant GNU ddrescue („Linux“ / „MacOS“) arba „HDDSuperClone“.

  1. Nustatykite tikslų šaltinio kortelės arba disko įrenginio identifikatorių:
    • „Linux“ paleiskite lsblk -o NAME,SIZE,MODEL,RO,FSTYPE,MOUNTPOINT prieš ir po kortelių skaitytuvo prijungimo. Tarkime, kad jūsų 64 gigabaitų (59,6 gibibaitų) fotoaparato SD kortelė atrodo kaip /dev/sdc (įsitikinkite, kad jis ne sumontuotas; jei sumontuotas, paleiskite sudo umount /dev/sdc1).
    • „MacOS“ paleiskite diskutil list rasti disko numerį (pvz., /dev/disk4), tada atjunkite jo tomus neišimdami aparatinės įrangos: diskutil unmountDisk /dev/disk4.
  2. Sumontuokite didelį paskirties atminties diską: tarkime, kad išorinis 2 terabaitų atsarginis diskas yra sumontuotas /mnt/backup (arba /Volumes/BackupDrive „MacOS“ sistemoje). Įsitikinkite, kad joje yra pakankamai laisvos vietos visai neapdorotai šaltinio disko talpai (64 gigabaitų SD kortelė sukuria 64 gigabaitus .img failą, net jei jame buvo tik 10 gigabaitų nuotraukų).
  3. Vykdyti ddrescue su žemėlapio failu (žurnalo failas): 
    sudo ddrescue -d -r3 /dev/sdc /mnt/backup/sdcard_raw_clone.img /mnt/backup/sdcard_rescue.map
    • -d naudoja tiesioginę prieigą prie disko (apeina operacinės sistemos branduolio puslapio talpyklą, kad būtų tiksliai nuskaityti sektoriai; naudojant „macOS“ /dev/rdisk4 vietoj -d).
    • -r3 pasakoja ddrescue jei norite nukopijuoti visus sveikus sektorius visame diske per pirmąjį greitą praėjimą, nedelsdami praleiskite visus lėtus ar pažeistus blykstės blokus, kad kortelė neperkaistų ir neužsiblokuotų, o tada bandykite iš naujo sugadinti sektorius iki 3 kartų.
    • sdcard_rescue.map išsaugo tikslią pažangą kas kelias sekundes. Jei USB skaitytuvas atsijungia arba dingsta maitinimas, tos pačios komandos vykdymas sklandžiai tęsiamas iš tos vietos, kurioje ji buvo sustabdyta, neperskaitant jau išsaugotų sektorių.
  4. Padarykite darbinę kopiją arba prijunkite .img tik skaitomas failas: vieną kartą sdcard_raw_clone.img baigiasi val 100.00% rescued, išimkite fizinę SD kortelę ir laikykite ją saugiame stalčiuje. Jūs atliksite 100 procentų savo atkūrimo darbą sdcard_raw_clone.img.

Tip

Jei dirbate sistemoje „Windows“ ir negalite paleisti „Linux Live USB“, galite sukurti neapdoroto vaizdo failą pagal sektorių (sdcard_raw_clone.img arba .dsk) nemokamai, naudojant integruotą vaizdo gavimo įrankį DMDE (DM Disk Editor and Data Recovery Software) (Tools -> Copy Sectors -> Source: Physical Drive -> Destination: File), R-Studio (Create Image nemokamoje demonstracinėje versijoje) arba USB Image Tool. Visada rinkitės paprastą neapdorotą / baitų į baitą vaizdą (.img / .bin), o ne patentuotą suglaudintą atsarginės kopijos formatą, kad bet koks atkūrimo įrankis galėtų jį atidaryti.

3 etapas: failų atkūrimo vykdymas (loginių metaduomenų atkūrimas prieš neapdorotą raižymą)

Kai turėsite seifą .img failą (arba aparatūros įrašymo blokuotą diską), yra du visiškai skirtingi techniniai būdai, kaip išgauti ištrintus duomenis. Prieš grįždami prie B metodo (neapdoroto parašo drožyba), visada turėtumėte išbandyti A metodą (loginės failų sistemos atkūrimas).

Funkcija A metodas: loginės failų sistemos atkūrimas B metodas: neapdorotas parašo drožyba (antraštės / poraštės nuskaitymas)
Kaip tai veikia Išanalizuoja likusias failų sistemos struktūras ($MFT įrašai NTFS, FAT/exFAT katalogų įrašai, APFS B medžiai, ext4 žurnalas / inodes), kad surastumėte ištrintas nuorodas. Visiškai nepaiso failų sistemos. Skaito kiekvieną 512 arba 4096 baitų sektorių, ieškodamas stebuklingų baitų antraščių (pvz., FF D8 FF JPEG, 89 50 4E 47 PNG, %PDF PDF).
Aplanko struktūra ir failų pavadinimai Išsaugotas: atkuria originalius aplankų medžius (/DCIM/100CANON/), originalūs failų pavadinimai (IMG_4821.CR3) ir kūrimo laiko žymes. Pamiršta: sukuria tūkstančius bendrųjų sunumeruotų failų (f0012842.jpg, f0019200.pdf) plokščiuose atkūrimo kataloguose (recup_dir.1/), nors EXIF datas galima išanalizuoti vėliau ir pervadinti nuotraukas.
Suskaidytų failų tvarkymas Puikiai: jei klasterio paleidimai išlieka $MFT įrašas arba FAT lentelė, atkuria failus, suskirstytus į negretimus disko gabalus. Prastas suskaidytam vaizdo įrašui: daroma prielaida, kad kiekvienas failas saugomas viename ištisiniame bloke nuo antraštės iki poraštės. Sugenda suskaidžius MP4/MOV vaizdo įrašus arba labai suskaidytus diskus.
Geriausi įrankiai DMDE, R-Studio, UFS Explorer, ReclaiMe, TestDisk (visiems prarastiems skaidiniams). PhotoRec (100 % nemokama / atvirojo kodo), Disk Drill / SanDisk RescuePRO Deluxe (suskaldytam GoPro / drone vaizdo įrašui).

1 žingsnis po žingsnio: ištrinto skaidinio arba sugadinto įkrovos sektoriaus atkūrimas naudojant TestDisk

Jei jūsų išorinis diskas arba SD kortelė staiga klausia "Privalote suformatuoti diską E diske: kad galėtumėte jį naudoti" arba disko tvarkyme rodomas kaip RAW / Nepaskirstytas, kai buvo atjungtas saugiai neišėmus, failai iš viso nebuvo ištrinti. Vietoj to, pagrindinis įkrovos įrašas (MBR), GUID skaidinių lentelė (GPT) arba įkrovos sektorius (BPB) buvo sugadintas.

  1. Paleiskite TestDisk savo klonuoto vaizdo faile: 
    testdisk /mnt/backup/sdcard_raw_clone.img
  2. Pasirinkite Tęsti -> patvirtinkite skaidinio lentelės tipą (Intel/PC MBR SD kortelėms iki 2 terabaitų arba EFI GPT šiuolaikiniams dideliems diskams).
  3. Pasirinkite Analizuoti -> Greita paieška.
  4. „TestDisk“ nuskaitys atsarginių skaidinių antraštes (pvz., automatinės atsarginės kopijos NTFS įkrovos sektorių, saugomą paskutiniame NTFS tomo sektoriuje, arba atsarginį FAT32 įkrovos sektorių 6 sektoriuje).
  5. Pažymėkite aptiktą skaidinį ir paspauskite P (Failų sąrašas). Jei iš karto pamatysite visus aplankus ir failus, pateiktus nepažeistus terminalo lange:
    • Net nesivarginkite perrašydami skaidinių lentelės, jei norite tik failų. Tiesiog paspauskite C norimuose aplankuose ir nukopijuokite juos tiesiai į tinkamą paskirties diską su 100 procentų originaliais failų pavadinimais ir aplankų struktūromis.

2 žingsnis po žingsnio: loginis metaduomenų nuskaitymas naudojant DMDE, R-Studio arba UFS Explorer

Kai failai buvo ištrinti per Shift + Delete, ištuštintas iš šiukšliadėžės arba nuvalytas naudojant standartinį greitąjį formatą:

  1. Atidarykite savo .img failas, esantis DMDE (nemokamas leidimas atkuria iki 4 000 failų vienam veiksmui kataloge; visa licencija yra nebrangi), R-Studio arba UFS Explorer Standard Recovery.
  2. Pirmiausia patikrinkite esamą virtualių failų sistemos medį:
    • NTFS diskuose kiekvienas failas turi 1 024 baitų (1 kilobaito) įrašą pagrindinėje failų lentelėje ($MFT). Net kai failas yra ištrintas, jo $MFT lizdas lieka pažymėtas neaktyvia vėliava (0x00 vietoj 0x01), kuriame yra tikslus failo pavadinimas, pirminio katalogo ID ir tiksli pradinė grupė bei ilgis, kol naujas failas jį pakartotinai panaudos. $MFT lizdas. Be to, failai, mažesni nei ~700 baitų (pvz., trumpos teksto pastabos, šifravimo raktai ar maži scenarijai) yra saugomi rezidentu visiškai $MFT pats įrašas ir retai greitai perrašomas.
    • Pažiūrėk į $Root arba Deleted / Found virtualus aplankas, sugeneruotas per pirmąsias 5 sekundes atidarius skaidinį. Jei jūsų failai rodomi raudonai x arba šiukšliadėžės piktogramą ir parodykite tinkamą dydį, pasirinkite juos ir nedelsdami spustelėkite Atkurti į atskirą paskirties diską.
  3. Paleiskite viso tomo nuskaitymą, jei katalogo antraštė buvo perrašyta:
    • Jei greitasis formatas perrašė šakninį katalogą arba kelis pirmuosius megabaitus $MFT, paleiskite Viso tūrio nuskaitymą. Programinė įranga nuskaitys visą vaizdą, ieškodama išlikusių pakatalogio indekso mazgų (INDX buferius NTFS, pakatalogių grupių grandines FAT32/exFAT arba senesnius operacijų patikros taškus APFS/ext4) ir derinti loginius metaduomenis su neapdoroto failo parašo aptikimu.

Žingsnis po žingsnio 3: neapdoroto failo drožyba su PhotoRec (Kai metaduomenys visiškai sunaikinti)

Kai failų paskirstymo lentelė (FAT) arba $MFT Formatas visiškai panaikintas, dingo loginių katalogų rodyklės, todėl nepaskirstytose duomenų grupėse lieka tik neapdorotas failo turinys. PhotoRec (su komplektu su TestDisk, visiškai nemokama, atvirojo kodo ir pasiekiama Windows, macOS ir Linux) puikiai sukuria daugiau nei 480 failų formatų (įskaitant Canon). .CR2/.CR3, Sony .ARW, Nikon .NEF, Adobe .DNG/.PSD, .JPG, .PNG, .PDF, .DOCX/.XLSX konteineriai su užtrauktuku ir .SQLITE duomenų bazės):

  1. Paleiskite PhotoRec prieš savo disko vaizdą: 
    photorec /mnt/backup/sdcard_raw_clone.img
  2. Pasirinkite tikslinį skaidinį (arba Whole disk jei skaidinių lentelė buvo nuvalyta).
  3. Prieš pradėdami eikite į [File Opt] ekrano apačioje:
    • Paspauskite s jei norite panaikinti visų 480 failų tipų pasirinkimą, jei jums rūpi tik konkretūs failai (pvz., tik pažymėkite jpg, cr2/cr3, tif neapdorotoms nuotraukoms, mov/mp4, ir zip/docx), kuris drastiškai pagreitina atsigavimą ir apsaugo nuo klaidingai teigiamų šiukšlių fragmentų.
  4. Pasirinkite [Options] -> laikyti Keep corrupted files : No nebent atkurti pažeistus vaizdo srautus.
  5. Pasirinkite [Search], pasirinkite failų sistemos tipą [Other] (skirta FAT/exFAT/NTFS/HFS+) ir pasirinkite [Free] (jei ištrynėte tik aktyviame skaidinyje esančius failus) arba [Whole] (jei skaidinys buvo suformatuotas).
  6. Pasirinkite paskirties aplanką savo atskirame dideliame atsarginiame diske ir paspauskite C pradėti drožti.
  7. PhotoRec išvesties rūšiavimas po atkūrimo: nes „PhotoRec“ išsaugo failus kaip f123456.jpg per dešimtis recup_dir aplankus, galite automatiškai pertvarkyti visas atkurtas nuotraukas į švarias YYYY/MM-Month/ aplankai su tiksliais fotoaparato laiko žymų failų pavadinimais, naudojant nemokamą komandų eilutės įrankį ExifTool: 
    exiftool "-Directory<DateTimeOriginal" -d "%Y/%Y-%m-%d" -r /mnt/backup/photorec_output/

Specializuotas atkūrimas: suskaidyti fotoaparato MP4 / MOV vaizdo įrašai („GoPro“, „DJI Drones“, „Sony“, „Canon“)

Vienas iš dažniausiai pasitaikančių nusivylimų paleidus „PhotoRec“ arba standartinę failų atkūrimo programinę įrangą suformatuotoje fotoaparato kortelėje yra pastebėjimas, kad 100 proc. .JPG ir .RAW nuotraukos atsidaro puikiai, bet kiekviena atsigavo .MP4 arba .MOV vaizdo failas atsisako paleisti (0:00 trukmės arba juodas ekranas).

Kodėl standartinė atkūrimo programinė įranga sulaužo šiuolaikinius fotoaparato vaizdo įrašus

  1. Interleaved Stream Recording: šiuolaikinės veiksmo kameros („GoPro Hero“ serija, „DJI Air“ / „Mavic“ / „Mini“ dronai, „Insta360“) ir kino kameros be veidrodžių neįrašo nė vieno .MP4 failą paeiliui nuo pradžios iki pabaigos. Įrašant 4K arba 5,3K vaizdo įrašą, fotoaparatas tuo pačiu metu įrašo didelės raiškos .MP4 srautas, mažos raiškos peržiūra .LRV srautas, garso buferis ir telemetrijos metaduomenys į kintamus grupes exFAT/FAT32 kortelėje (pavyzdžiui, 4 megabaitų didelės raiškos vaizdo įrašo, po kurio seka 512 kilobaitų .LRV peržiūra, po kurios - 4 megabaitų didelės raiškos vaizdo įrašas).
  2. Trūksta moov Atomas nebaigtuose įrašuose: jei dronas nukrito į vandenį, fotoaparato akumuliatorius išsikrovė įrašymo metu arba SD kortelė buvo atjungta prieš paspaudžiant mygtuką Sustabdyti įrašymą, fotoaparatas niekada neparašė moov atomas (pagrindinė rodyklės lentelė, parašyta pačiame MP4/MOV failo gale, kuri nurodo medijos leistuvai, kur yra kiekvienas vaizdo kadras ir garso dalis).

Kaip atkurti neleistinus arba suskaidytus fotoaparato vaizdo įrašus

  1. A atvejis: nebaigtas vaizdo įrašas po akumuliatoriaus praradimo arba gedimo (failas yra kortelėje, rodomas kelių GB dydis, nebus leidžiamas):
    • Klasteriai failų sistemoje yra nepažeisti, tik moov trūksta indekso antraštės.
    • Naudokite nemokamą atvirojo kodo įrankįuntrunc (konkrečiai anthwlock/untrunc šakutė) arba recover_mp4 (slydiman). Pateikti untrunc su viena sveika nuoroda .MP4 įrašyta ta lygiai ta pačia kamera su lygiai tokia pačia skiriamąja geba ir kadrų dažnio nustatymais, kartu su sugedusiu .MP4: 
      untrunc reference_working_video.MP4 corrupted_unfinalized_video.MP4
    • untrunc nuskaito kodeko parametrus (avcC/hvcC ir garso takelių išdėstymus) iš darbinio informacinio vaizdo įrašo, nuskaito neapdorotus H.264/H.265/HEVC NAL įrenginius sugadintame faile ir sintezuoja visiškai naują moov atomas per sekundes.
  2. B atvejis: suformatuota SD kortelė su interleaved / fragmentuotu vaizdo įrašu („GoPro“, DJI, „Sony“, „Canon“):
    • Kadangi FAT / exFAT klasterio žemėlapis buvo nuvalytas formatuojant, standartinis drožėjas paima jį ftyp/mdat 4K vaizdo įrašo antraštę ir tada aklai nukopijuoja .LRV peržiūrėti grupes ir miniatiūrų grupes tiesiai į vaizdo failo vidurį, sugadindami kiekvieną filmuotos medžiagos sekundę.
    • Vietoj standartinių drožėjų nuskaitykite savo sdcard_raw_clone.img naudojant suskaldymą atpažįstantį vaizdo atkūrimo įrenginį, kuris atpažįsta kamerai būdingas klasterio paskirstymo kadencijas, pvz., SanDisk RescuePRO Deluxe (kuris apima specifinius „GoPro“ / drone suskaidytų vaizdo įrašų surinkimo algoritmus), Klennet Carver arba Disk Drill 5+ fragmentuotą vaizdo įrašą arba Concon/J.

Išmaniojo telefono nuotraukų ištrynimas: iOS (iPhone) ir Android aparatinės įrangos šifravimo realybės

Įprasta ir pavojinga klaidinga nuomonė yra ta, kad galite prijungti modernų „iPhone“ arba „Android“ išmanųjį telefoną prie nešiojamojo kompiuterio per USB ir paleisti tradicinę disko raižybos programinę įrangą (pvz., „Recuva“ ar „PhotoRec“) vidinėje telefono atmintyje.

Kodėl tradicinis sektoriaus raižinys negali skaityti šiuolaikinių telefonų

Kiekviename „iPhone“ nuo „iPhone 3GS“ (ir visuose dabartiniuose „iOS“ įrenginiuose) naudojama duomenų apsauga (failu pagrįsta šifruotė), kurią maitina specialus aparatinės įrangos AES šifravimo variklis tarp „flash“ saugyklos ir pagrindinės sistemos atminties. Panašiai kiekviename „Android“ įrenginyje, kuris pristatomas nuo 7.0 ar naujesnės versijos „Android“ (ir privalomas nuo 10 versijos „Android“), naudojamas Failų šifravimas (FBE), palaikomas aparatinės įrangos Keystore / Titan M / Knox lusto.

Abiejose platformose kiekviena atskira nuotrauka ir failas vidinėje atmintyje yra užšifruotas naudojant unikalų failo kriptografinį raktą. Kai failas visam laikui išvalomas iš telefono failų sistemos, telefonui net nereikia ištrinti kelių megabaitų nuotraukų blokų; ji iš karto sunaikina 256 bitų vieno failo šifravimo raktą metaduomenų lentelėje. Be šio rakto neapdorotuose NAND blokuose yra kriptografiškai nepalaužiamas atsitiktinis triukšmas. Net aukščiausios klasės vyriausybinės teismo ekspertizės laboratorijos negali „iškirpti“ visam laikui ištrintų nuotraukų iš šiuolaikinio „iPhone“ ar „Android“ vidinės blykstės, kai nuvalomas failo raktas.

Tikrieji ištrintų išmaniojo telefono nuotraukų atkūrimo būdai

Kadangi aparatinės įrangos šifravimas blokuoja neapdorotą raižymą, ištrintų nuotraukų atkūrimas iš „iPhone“ ar „Android“ priklauso nuo kopijų atkūrimo prieš pasibaigiant saugojimo laikmačių galiojimo laikui arba talpykloje esančių miniatiūrų duomenų bazių ištraukimu:

  1. Nedelsdami patikrinkite įrenginyje esantį albumą „Neseniai ištrintas“ (30 dienų langas):
    • iOS („iPhone“ / „iPad“): atidarykite Nuotraukos -> slinkite žemyn iki Utilities -> palieskite Neseniai ištrinta (reikia veido ID / Touch ID / slaptažodžio). Nuotraukos čia lieka 30 dienų, kol raktas sunaikinamas visam laikui.
    • Android („Google“ nuotraukos / „Samsung“ galerija): atidarykite „Google“ nuotraukas -> Biblioteka / Kolekcijos -> Šiukšliadėžė / Šiukšliadėžė (saugoma 60 dienų, jei atsarginė kopija sukurta, 30 dienų, jei tik įrenginyje). Taip pat pažymėkite Samsung Gallery -> Meniu (trys eilutės) -> Šiukšliadėžė (saugoma 30 dienų) ir atidarykite programą Files by Google arba Mano failai -> Šiukšliadėžė, kurioje yra atskiras 30 dienų šiukšliadėžės aplankas.
  2. Jei ištrynėte nuotraukas iš „Neseniai ištrintų“ „iPhone“, skambinkite „Apple“ palaikymo tarnybai dėl skubios „iCloud“ serverio atkūrimo:
    • Daugelis vartotojų nesuvokia, kad net ir rankiniu būdu spustelėjus „Ištrinti iš visų įrenginių“ / „Išvalyti neseniai ištrintus“, „Apple“ užpakaliniai serveriai trumpą langą išlaiko švelniai ištrintą serverio atkūrimo buferį (paprastai iki 7-14 dienų po nuolatinio ištrynimo).
    • Nedelsdami susisiekite su Apple palaikymo tarnyba telefonu arba pokalbyje, paprašykite pasikalbėti su vyresniuoju patarėju ir paprašykite suaktyvinti iCloud nuotraukų bibliotekos serverio pusės atkūrimą jūsų Apple paskyroje. Jie dažnai gali perjungti serverio jungiklį, kuris per 15 minučių grąžina neseniai išvalytas „iCloud Photos“ tiesiai į jūsų albumą.
  3. Atkurti iš senesnio nesinchronizuoto įrenginio arba šifruotos vietinės atsarginės kopijos:
    • Lėktuvo režimo triukas antriniame „iPad“ / „Mac“: jei „iPhone“ sinchronizavo ištrynimą su „iCloud“, paimkite „iPad“ arba „MacBook“ prieš prisijungdami prie „Wi-Fi“ (jei „iPad“ miega ant stalo, pirmiausia išjunkite namų „Wi-Fi“ maršruto parinktuvą ir atjunkite maitinimo laidą). Įjunkite iPad visiškai radijo izoliacija, nukopijuokite nuotraukas per USB kabelį arba AirDrop į kitą įrenginį, kol iPad gaus iCloud trynimo stūmimo komandą.
    • Patikrinkite „iCloud Backup“ ir „iCloud Photos“: jei iCloud nuotraukos buvo išjungtos (Settings -> [Your Name] -> iCloud -> Photos -> Off), jūsų fotoaparato ritinys yra įtrauktas į jūsų naktinę iCloud įrenginio atsarginę kopiją. Galite nuvalyti seną atsarginį iPhone (arba laikinai sukurti atsarginę kopiją ir iš naujo nustatyti dabartinį iPhone) ir atkurti naktinę iCloud atsarginę kopiją nuo prieš tą akimirką, kai ištrynėte nuotrauką.
    • Patikrinkite „Local Finder“ / „iTunes“ atsargines kopijas savo kompiuteryje arba „Mac“: patikrinkite ~/Library/Application Support/MobileSync/Backup/ „MacOS“ arba %APPDATA%\Apple Computer\MobileSync\Backup\ sistemoje Windows. Galite naršyti ir išgauti nuotraukas iš senų vietinių atsarginių kopijų neperrašydami telefono naudodami iMazing arba iBackup Viewer.
  4. Patikrinkite pranešimų programos vietines talpyklas (WhatsApp, iMessage, Telegram, Signal):
    • Ar kada nors rašėte žinutę su ištrinta nuotrauka ar vaizdo įrašu sutuoktiniui, draugui ar šeimos grupės pokalbiui? Pranešimų siuntimo programos saugo nepriklausomas medijos kopijas savo programų smėlio dėžėse (Media/WhatsApp Images/Sent „Android“ arba „iMessage“ pokalbių prieduose). Net jei ištrinsite nuotrauką iš pagrindinio fotoaparato ritinio ir ištuštinate šiukšliadėžę, kopiją „WhatsApp“. Sent aplanko arba „iMessage“ gijų istorija lieka visiškai nepaliesta.

Danger

Saugokitės apgaulingos „iPhone / Android Data Recovery“ darbalaukio programinės įrangos, kuri reklamuojama paieškos sistemų viršuje (programos, teigiančios, kad gali „atkurti visam laikui ištrintas iPhone nuotraukas ir tekstus be jokios atsarginės kopijos“). Dėl iOS ir Android failais pagrįsto šifravimo (FBE), šios programos gali nuskaityti tik esamas nešifruotas SQLite miniatiūrų talpyklas arba išgauti duomenis iš esamos iTunes atsarginės kopijos jūsų kompiuteryje. Dar blogiau, kai paleisdami foninius scenarijus, įrašančius laikinus žurnalus į telefono atmintį, daugelis reikalauja, kad telefone atrakintumėte ir suteiktumėte visus USB Trust leidimus. Niekada nemokėkite 60-100 USD už mobiliojo telefono atkūrimo programinę įrangą, kol patikrinsite, ką ji iš tikrųjų gali matyti nemokamoje peržiūroje.

Debesis diskas ir įmonės netyčinio ištrynimo atkūrimas („Google“ diskas, „OneDrive“, „Dropbox“)

Kai visas bendrinamas aplankas išnyksta arba perrašomas debesies diske (arba kai išpirkos reikalaujančios programos arba sinchronizavimo triktis ištrina vietinius failus ir sinchronizuoja ištrynimą su debesimi), vietinio disko atkūrimas dažnai yra nereikalingas, nes įmonės ir vartotojų debesies platformos palaiko kelių pakopų versijų istorijas:

  1. Microsoft OneDrive ir SharePoint Online:
    • Pirmojo etapo šiukšliadėžė (onedrive.live.com): ištrintus failus išsaugo 30 dienų asmeninėse paskyrose ir 93 dienas darbo / mokyklos paskyrose.
    • Antrojo etapo svetainių rinkimo šiukšliadėžė (darbas / mokykla): net jei darbuotojas ar įsilaužėlis ištuština pagrindinę „OneDrive“ šiukšliadėžę, spustelėkite šiukšlinės puslapio apačioje esančią nuorodą, pažymėtą "Antrojo etapo šiukšlinė", kur išvalyti failus galima atkurti likusią lango dalį**9.
    • Atkurkite „OneDrive“ (atkurti tašką): „Microsoft 365“ prenumeratoriai gali spustelėti Nustatymai (krumpliaračio piktograma) -> Parinktys -> Atkurti „OneDrive“, kuri naudoja vaizdinės histogramos slankiklį, kad kiekvieną failą pervadintų, pervadintų ir ištrintų visame debesies diske per 0 minučių ** iki bet kurios paskutinės minutės.**
  2. „Google“ diskas ir „Google Workspace“:
    • ** „Google“ disko šiukšliadėžė (drive.google.com/drive/trash)**: ištrintus failus išsaugo 30 dienų.
    • „Google Workspace“ administratoriaus atkūrimas po šiukšliadėžės (25 dienų atidėjimo langas): net vartotojui spustelėjus „Ištrinti visam laikui“ ir ištuštinus „Google“ disko šiukšliadėžę, „Google Workspace“ administratorius (arba individualus naudotojas, susisiekęs su „Google“ disko palaikymo tarnyba asmeninėse „Google One“ paskyrose) gali atidaryti „Google“ administratoriaus pultą (admin.google.com) -> Katalogas -> Vartotojai -> [Pasirinkite naudotoją] -> Daugiau parinkčių -> Atkurti duomenis ir atkurkite visam laikui išvalytus „Google“ disko failus ir „Gmail“ pranešimus iki 25 papildomų dienų po to, kai bus ištuštinta šiukšliadėžė.
  3. Dropbox:
    • Ištrinti failai (dropbox.com/deleted_files): ištrintus failus ir aplankus išsaugo 30 dienų pagal pagrindinį / plius / šeimos planą ir ** nuo 180 dienų iki 1 metų** pagal profesionalų / verslo planus.
    • ** „Dropbox“ atsukimas atgal (dropbox.com/rewind)**: leidžia grąžinti visą aplanką arba visą paskyrą, kad būtų galima anuliuoti masinius trynimus, atsitiktinius nuvilkimus ar šifravimo įvykius.

Dažnai užduodami klausimai

Can I recover files if I accidentally executed `rm -rf` on a Linux ext4 or XFS server?

If you ran `rm -rf` on an `ext4` or `XFS` partition, your very first command within 2 seconds must be to remount that partition strictly read-only (`sudo mount -o remount,ro /dev/sda1` or `sudo lsof | grep deleted` before closing running processes). First, check if any running application still holds an open file descriptor to the deleted file: run `sudo lsof +L1`; if a process still has the deleted file open in memory, you can copy it intact right out of `/proc//fd/` to another drive. If no process holds it open, unmount the partition immediately so cron jobs and `fstrim.timer` cannot run. On an non-trimmed HDD or RAID array, use `ext4magic` (which parses the `ext4` journal to restore recent deletions with original filenames) or `photorec` / `UFS Explorer` against a sector-by-sector disk image.

What is the difference between a Quick Format and a Full Format in Windows, Mac, and Linux?

A **Quick Format** only writes a brand-new, empty file system index (such as a blank `$MFT` or FAT table) taking less than 5 percent of the drive's sectors and finishes in a few seconds; on non-TRIM mechanical hard drives and many standard camera SD cards, 95 to 100 percent of the underlying files remain recoverable. A **Full Format** (unchecking "Quick Format" in Windows since Windows Vista through Windows 11, or selecting security erase level 2+ in macOS Disk Utility) physically writes hexadecimal zeros (`0x00`) across every single sector from the start of the partition to the end (and sends hardware `TRIM`/`Deallocate` on SSDs). Once a true Full Format finishes 100 percent on any modern drive, the data is permanently overwritten and cannot be recovered by any software or laboratory.

Why did my recovered JPEG photos or Word documents open with half the picture grayed out or scrambled text?

When a recovered JPEG displays the top portion of the image clearly and the bottom half is solid gray, shifted colors, or a piece of a completely different photo, the file was **fragmented** on the drive or partially overwritten before you powered it off. If you used a raw signature carver like PhotoRec, it assumed the entire JPEG occupied consecutive clusters from header (`FF D8`) to footer (`FF D9`), when in reality the middle clusters belonged to another file. First, retry the recovery on your `.img` file using a metadata-aware tool (**DMDE**, **R-Studio**, or **UFS Explorer**) to see if a surviving directory entry still holds the real cluster fragmentation map. If the header or quantization tables are slightly damaged, tools like **JPEG-Repair Toolkit** can sometimes realign shifted MCU blocks, though overwritten sectors cannot be recreated.

My SD card or USB flash drive shows "0 Bytes / No Media" in Disk Management or does not light up at all. Can software fix it?

No. If an SD card, microSD card, or USB flash drive shows `0 MB` physical capacity in Windows Disk Management (`diskmgmt.msc`) or Linux `lsblk` / `dmesg`, the card has suffered an **electrical or firmware controller failure**, not an accidental deletion. No recovery software can scan a device whose hardware controller refuses to report its LBA capacity to the computer. Unplug it immediately; leaving a failed flash controller powered on can burn out the internal voltage lines on a monolithic microSD chip. You must send the card to a specialized **Monolithic Flash / Chip-Off Data Recovery Lab** where technicians sand down the epoxy coating under a microscope, solder ultra-fine micro-wires directly to the internal NAND flash pads (bypassing the dead controller), dump the raw NAND pages, and reconstruct the proprietary ECC and XOR scrambling algorithms.

If I accidentally started installing Windows or macOS onto the wrong backup drive and canceled it at 10 percent, can I get my files back?

Yes, a large portion of your data is often still recoverable if you stopped the OS installer early and the backup drive is a mechanical Hard Disk Drive (HDD). When an OS installer begins partitioning and copying an `install.wim` or base system image, it overwrites the partition table and the first 5 to 20 gigabytes at the start of the drive. If your backup drive is a 1 terabyte to 4 terabyte HDD containing 800 gigabytes of family archives, the remaining 780 gigabytes sitting in the middle and upper Logical Block Addresses were never touched by the aborted installation. Furthermore, NTFS often places a backup copy of directory structures and files deep into the drive. Image the drive immediately and run a full scan in **R-Studio**, **UFS Explorer**, or **DMDE** to reconstruct the upper-sector directory trees and carve remaining files.

Is it ever safe to put a clicking or unrecognized hard drive in the freezer?

**Never put a hard drive in the freezer.** The "freezer trick" is an outdated myth from the 1990s that permanently destroys modern high-density hard drives. Modern hard drive read/write heads fly on an air bearing just 1 to 3 nanometers (less than 0.0000001 inches) above platters spinning at 5,400 to 7,200 RPM. Placing a drive in a freezer causes microscopic water vapor inside the drive enclosure to condense into solid ice crystals directly on the magnetic platters. The instant you plug the cold drive in and the platters spin up, the read/write heads slam into those frost crystals at 120 kilometers per hour (75 miles per hour), causing a catastrophic head crash that scrapes the magnetic coating into metallic dust and makes cleanroom recovery impossible. For physical drive failures, see our guide on [hard drive failure and data recovery](hard-drive-failure-and-data-recovery.md).

Šaltiniai patikrinti

  • Nacionalinis standartų ir technologijų institutas (NIST, Jungtinės Amerikos Valstijos): specialus leidinys 800-88, 1 redakcija, Laikmenos valymo gairės (ATA TRIM, NVMe išskyrimo ir NAND Flash Translation Layer elgsena) ir Kompiuterinės ekspertizės įrankio testavimo (CFTT) programos disko vaizdo specifikacijos (csrc.nist.gov).
  • Kibernetinio saugumo ir infrastruktūros saugumo agentūra (CISA, Jungtinės Valstijos): duomenų atsarginės kopijos, teismo ekspertizės išsaugojimo ir incidentų valdymo gairės (cisa.gov).
  • GNU projektas / Antonio Diaz Diaz (tarptautinis): oficialus GNU ddrescue vadovas: duomenų atkūrimo įrankis ir blokų įrenginio žemėlapio failo algoritmai (gnu.org/software/ddrescue).
  • CGSecurity / Christophe'as Grenier (Tarptautinis): Oficiali „TestDisk“ ir „PhotoRec“ dokumentacija: skaidinių atkūrimas ir failų raižybos parašai (cgsecurity.org).
  • Apple Platform Security (Jungtinės Amerikos Valstijos): FileVault, duomenų apsaugos klasės, vieno failo šifravimo raktai ir APFS Trim architektūra Apple Silicon ir T2 sistemose (support.apple.com/guide/security).
  • Android atvirojo kodo projektas (AOSP, tarptautinis): Failų šifravimas (FBE) ir metaduomenų šifravimo architektūra (source.android.com/docs/security/features/encryption).
  • SD asociacija (tarptautinė): SD specifikacijos 1 dalis: supaprastinta fizinio sluoksnio specifikacija (trinimo komandos CMD32, CMD33, CMD38 ir rašymo apsaugos mechaninis jungiklis) (sdcard.org).

Susiję vadovai