Pemadaman fail secara tidak sengaja, kad SD yang diformatkan dan pemulihan foto¶

Menyedari bahawa anda baru sahaja memformat kad SD kamera yang salah, mengosongkan Tong Kitar Semula atau Sampah pada pemacu kerja luaran, atau secara tidak sengaja memadam keseluruhan partition foto keluarga yang tidak boleh diganti adalah krisis teknikal yang teruk. Apabila fail dipadamkan atau medium storan diformatkan dengan cepat, sistem pengendalian jarang memadamkan data binari mentah di dalam sel memori serta-merta. Sebaliknya, ia mengalih keluar penunjuk direktori sistem fail dan menandakan alamat blok logik tersebut sebagai "ruang kosong" yang tersedia untuk ditimpa. Sama ada anda memulihkan 100 peratus data anda atau kehilangannya selama-lamanya bergantung sepenuhnya pada apa yang berlaku dalam 60 saat pertama selepas pemadaman. Setiap saat pemacu kekal dipasang dalam mod baca-tulis, pengindeksan sistem pengendalian latar belakang, swap fail, cache penyemak imbas, dan rutin pengumpulan sampah Solid State Drive (SSD) (TRIM / UNMAP) boleh memusnahkan sektor asas secara kekal.

Jika pemadaman atau pemformatan secara tidak sengaja melibatkan telemetri perubatan, bukti undang-undang dalam jenayah aktif, atau kegagalan sistem keselamatan nyawa, hubungi nombor kecemasan tempatan anda (911 di Amerika Syarikat dan Kanada, 112 merentasi Kesatuan Eropah, 999 di United Kingdom) atau rujuk direktori antarabangsa kami nombor kecemasan sebelum menyentuh perkakasan. Untuk semua insiden kehilangan data pengguna, fotografi, akademik dan perusahaan, hentikan semua aktiviti cakera serta-merta dan ikuti aliran kerja pemulihan forensik di bawah.

Lakukan ini sekarang¶

1. Cabut kad SD boleh tanggal, kad CFexpress atau pemacu USB serta-merta: Jika anda baru sahaja memformatkan kad memori kamera atau fail yang dipadamkan pada pemacu USB luaran, matikan suis kuasa kamera dengan segera atau cabut kabel USB luaran daripada komputer. Jangan ambil "satu foto ujian" untuk melihat sama ada kad berfungsi, dan jangan benarkan Windows (chkdsk) atau macOS (fsck_apfs) untuk "mengimbas dan membaiki" pemacu.
2. Jika anda memadamkan fail daripada pemacu sistem dalaman komputer anda (C: drive atau macOS Macintosh HD), cabut kuasa atau paksa padam kuasa: Jangan tutup apl seperti biasa, jangan muat turun perisian pemulihan data ke komputer yang terjejas dan jangan klik "Shut Down" (yang menulis gigabait fail hibernasi, sarang pendaftaran dan log sesi yang dipadamkan ke atas anda yang dipadamkan). Pegang butang kuasa fizikal selama 5 hingga 10 saat sehingga mesin dimatikan sepenuhnya, atau cabut palam kord kuasa desktop jika ia bukan sistem bateri.
3. Gelongsorkan suis pelindung tulis fizikal pada kad SDHC/SDXC bersaiz penuh ke kedudukan KUNCI: Lihat pada tepi kiri standard 32 milimeter kali 24 milimeter (1.26 inci kali 0.94 inci) kad SD dan tolak tab plastik kecil ke bawah ke arah tepi bawah (jauh dari pin sesentuh emas secara tidak sengaja) supaya tiada pembaca boleh menulis secara tidak sengaja .DS_Store, System Volume Information, atau fail indeks Spotlight apabila anda memasangkannya kemudian.
4. Fahami perangkap SSD TRIM sebelum menghidupkan SSD dalaman semula: Pemacu Keadaan Pepejal NVMe dan SATA moden melaksanakan tahap perkakasan TRIM (ATA) atau Deallocate (NVMe) arahan dalam beberapa saat hingga minit selepas pemadaman atau pemformatan fail. Setelah pengawal SSD menjalankan pengumpulan sampah latar belakang pada halaman yang dipangkas, perisian ukiran mentah akan membaca sifar sahaja (0x00). Mematikan kuasa menghalang mikropemproses SSD dalaman daripada menyelesaikan pengumpulan sampah latar belakang.
5. Sediakan komputer kedua yang berasingan dan bersih dan pemacu destinasi yang lebih besar: Jangan sekali-kali memasang alat pemulihan pada pemacu yang kehilangan data dan jangan sekali-kali memulihkan fail yang dipulihkan kembali ke pemacu sumber yang sama semasa imbasan. Gunakan komputer kedua (atau but PC terjejas daripada pemacu kilat USB Live Ubuntu Linux Live) dan pasangkan pemacu keras luaran kosong dengan sekurang-kurangnya dua kali kapasiti storan pemacu yang terjejas.
6. Buat imej binari mentah sektor demi sektor (.img atau .dd) sebelum menjalankan sebarang penghurai pemulihan fail: Sebelum menjalankan PhotoRec, R-Studio, DMDE atau UFS Explorer, gunakan ddrescue atau HDDSuperClone untuk mengklon setiap sektor kad SD atau memandu ke dalam satu fail imej pada pemacu sandaran anda. Anda kemudiannya boleh menjalankan berbilang algoritma pemulihan dengan selamat terhadap fail imej tanpa mengambil risiko lebih lanjut haus atau menulis secara tidak sengaja pada media asal.

Pohon keputusan: memilih strategi pemulihan yang betul oleh media storan dan sistem fail¶

Gunakan carta alir triage forensik ini untuk menentukan sama ada data anda yang dipadamkan boleh dipulihkan melalui pembinaan semula jadual fail logik, ukiran tandatangan fail mentah atau analisis cip-off khusus:

flowchart TD
    A["Pemadaman Fail Tidak Sengaja atau Format Pemacu Dikesan"] --> B["Matikan Peranti dengan serta-merta atau Keluarkan Media Boleh Alih"]
    B --> C{"Apakah jenis perkakasan storan fizikal yang terjejas?"}
    C -->|"Kamera SD / MicroSD / CFexpress / USB Flash"| D["Libatkan Suis Perlindungan Tulis Fizikal atau Gunakan Penyekat USB Baca Sahaja"]
    C -->|"Pemacu Keras Mekanikal Luaran atau Dalaman (HDD)"| E["Tiada Risiko TRIM: Kebarangkalian Pemulihan Tinggi jika Sifar Tulisan Baharu Berlaku"]
    C -->|"SSD Dalaman atau Luaran / NVMe / Mac / Telefon Pintar"| F{"Apakah Sistem Fail dan Sambungan OS yang Digunakan?"}
    F -->|"NTFS, APFS atau ext4 pada SSD NVMe/SATA Dalaman"| G["Risiko TRIM Tinggi: But melalui Linux Live USB dengan libata.force=noncqtrim"]
    F -->|"exFAT atau FAT32 melalui Storan Jisim USB Standard"| H["Risiko TRIM Sederhana/Rendah: Banyak Jambatan USB Tidak Melepasi TRIM pada exFAT"]
    F -->|"Storan Dalaman iOS / Android"| I["Penyulitan Berasaskan Fail Perkakasan (FBE): Kekunci Dimusnahkan semasa Pemadaman, Semak Sandaran Awan/Tempatan Serta-merta"]
    D --> J["Buat Klon Bitstream Penuh (.img) Menggunakan GNU ddrescue ke Pemacu Berasingan"]
    E --> J
    G --> J
    H --> J
    J --> K{"Adakah Fail Dipadamkan Secara Individu atau Adakah Pemacu Diformat?"}
    K -->|"Pemadaman Individu / Format Pantas (Metadata Utuh)"| L["Jalankan Pembinaan Semula Metadata Logik (DMDE, R-Studio, UFS Explorer, TestDisk)"]
    K -->|"Jadual Fail Tertimpa / Format Dalam Badan Kamera"| M["Jalankan Ukiran Tandatangan Fail Mentah + Pembina Semula Video Berpecah (PhotoRec, Pembaikan GoPro/MP4)"]

Fizik pemadaman: Pinggan magnet HDD lwn denyar SSD NAND dan kad SD Kamera¶

Untuk mengelak daripada memusnahkan data boleh pulih, anda mesti memahami cara seni bina storan yang berbeza mengendalikan pemadaman dan pemformatan di bawah hud.

1. Pemacu Cakera Keras Mekanikal (HDD) dan Rakaman Magnet Kayap (SMR)¶

Pada pemacu keras berputar rakaman magnetik konvensional (CMR), memadamkan fail atau menjalankan "Format Pantas" mengambil masa kurang daripada dua saat kerana kepala baca/tulis hanya mengubah suai indeks direktori induk, seperti $MFT (Jadual Fail Induk) pada NTFS, Peta Bit Peruntukan dan Katalog B-Tree pada HFS+/APFS, atau Jadual Peruntukan Fail pada FAT32/exFAT. Pembalikan fluks magnet sebenar yang mewakili JPEG, PDF dan hamparan anda kekal tidak disentuh pada pinggan aloi kobalt sehingga sistem pengendalian memilih untuk menulis fail serba baharu di atas Alamat Blok Logik (LBA) yang tepat tersebut.

Walau bagaimanapun, banyak pemacu keras luaran pengguna berkapasiti tinggi moden (biasanya 2 terabait hingga 5 terabait dalam kandang mudah alih 2.5 inci) menggunakan Rakaman Magnetik Kayap (SMR) bersama lapisan terjemahan perisian tegar dalaman yang dipanggil Cache Media. Sesetengah pemacu keras SMR moden sebenarnya menyokong TRIM arahan sama seperti SSD. Jika anda memadamkan folder besar pada pemacu keras SMR yang didayakan TRIM dan membiarkannya dipalamkan dalam keadaan melahu selama 20 minit, perisian tegar dalaman pemacu mungkin menyusun semula jalur kayapnya dan secara kekal memusnahkan sektor yang tidak diperuntukkan di latar belakang. Mencabut palam pemacu serta-merta menghalang kitaran pengemasan dalaman ini.

2. Pemacu Keadaan Pepejal (SSD), NVMe dan TRIM / Deallocate Tetingkap Pelaksanaan¶

Memori kilat NAND di dalam SSD tidak boleh menimpa data sedia ada secara langsung. Sebelum sel denyar NAND boleh menerima data baharu, keseluruhan blok denyar (biasanya bersaiz 4 megabait hingga 16 megabait) mesti terlebih dahulu menjalani kitaran Program/Padam (P/E) elektrik yang perlahan. Jika SSD menunggu sehingga anda menyimpan fail baharu untuk memadamkan blok lama, kelajuan tulis akan menurun.

Untuk memastikan SSD pantas, sistem pengendalian moden (Windows 7 hingga Windows 11, macOS 10.10+ dan kernel Linux dengan fstrim atau discard) hantar segera TRIM (SATA) atau Dataset Management: Deallocate (NVMe) kepada pengawal SSD sebaik sahaja anda mengosongkan Tong Kitar Semula/Sampah atau melaksanakan Format Pantas:

1. Sifar Bacaan Deterministik selepas TRIM (DZAT / DRAT): Hampir semua SSD NVMe dan SATA pengguna moden menguatkuasakan Sifar Deterministik selepas TRIM. milisaat yang tepat yang diterima oleh pengawal SSD TRIM perintah untuk pelbagai sektor, Lapisan Terjemahan Flash (FTL) dalamannya menyahpetakan alamat logik tersebut daripada halaman NAND fizikal.
2. Pulangan Sifar Segera: Walaupun sebelum cas elektrik fizikal dipadamkan daripada sel silikon, jika ada perisian (termasuk ddrescue, PhotoRec atau R-Studio) meminta SSD membaca sektor yang dipangkas tersebut melalui arahan SATA atau NVMe standard, pengawal SSD memintas permintaan dan mengembalikan sifar heksadesimal tulen (00 00 00 00) tanpa menyemak cip NAND fizikal.
3. Apabila Pemulihan SSD Masih Mungkin:
   • Kepungan USB Luaran tanpa laluan UASP/TRIM: Cip jambatan USB 3.0 yang lebih lama menggunakan protokol BOT (Pengangkutan Pukal Sahaja) dan bukannya UASP (Protokol SCSI Terlampir USB) tidak boleh menterjemah sistem pengendalian TRIM arahan merentasi kabel USB.
   • Jumlah FAT32 dan exFAT pada Versi OS Tertentu: Dari segi sejarah, beberapa binaan sistem pengendalian hanya menghantar masa nyata automatik TRIM arahan pada sistem fail jurnal asli (NTFS, APFS, ext4) dan tidak mengeluarkan masa nyata serta-merta TRIM pada boleh tanggal FAT32 atau exFAT sekatan.
   • Lap Meja Pembahagian (diskpart clean atau pemadaman partition secara tidak sengaja) tanpa Pemformatan: Memadamkan entri partition daripada GUID Partition Table (GPT) atau Master Boot Record (MBR) kadangkala meninggalkan sektor asas tidak dipangkas sehingga sistem fail baharu diformatkan di atasnya.

3. Pemformatan Dalam Badan Kamera dan Sony / Canon / Nikon SD_ERASE Perangkap¶

Jurugambar dan juruvideo sering menganggap bahawa memformat kad SD, microSD atau CFexpress di dalam kamera digital adalah sama dengan "Format Pantas" pada komputer meja. Walaupun itu benar sepuluh tahun yang lalu, kamera tanpa cermin moden berkelakuan sangat berbeza bergantung pada pengilang:

Fasa 1: Pembendungan OS serta-merta dan menyekat penulisan automatik¶

Sebelum anda cuba memulihkan fail daripada pemacu dalaman atau melampirkan pemacu luaran pada komputer, anda mesti meneutralkan mekanisme sistem pengendalian yang secara senyap menulis ganti ruang yang dipadamkan.

1. Memulihkan daripada Pemacu Windows Dalaman (C: Drive)¶

Jika anda memadamkan folder penting daripada folder Desktop, Dokumen atau Muat Turun Windows anda dan mengosongkan Tong Kitar Semula:

1. JANGAN terus menggunakan Windows pada pemacu itu: Walaupun membiarkan Windows terbiar di Desktop membenarkan SearchIndexer.exe, imbasan latar belakang Windows Defender, kemas kini cache Chrome/Edge, putaran Volume Shadow Copy dan fail Halaman Windows (pagefile.sys) untuk menulis ratusan megabait seminit terus ke atas kluster anda yang baru dibebaskan.
2. Jika anda tidak boleh mematikan kuasa serta-merta (contohnya, pada stesen kerja jauh tanpa akses fizikal), lumpuhkan TRIM serta-merta melalui Administrator Command Prompt:
   • Tekan Win + X, klik Terminal (Admin) atau Command Prompt (Admin), dan laksanakan:

     fsutil behavior set DisableDeleteNotify 1
     

   • Ini menghalang Windows daripada menghantar sebarang selanjutnya TRIM pemberitahuan untuk volum NTFS dan ReFS, walaupun ia tidak boleh dibuat asal TRIM arahan dihantar beberapa saat lebih awal.
3. Periksa sama ada Salinan Bayangan Jilid (Previous Versions) sudah wujud sebelum ditutup (mengambil masa 15 saat):
   • Klik kanan folder induk yang menyimpan fail anda yang dipadamkan, klik Properties -> Versi Sebelumnya.
   • Atau lari vssadmin list shadows dalam Prompt Perintah Pentadbir. Jika syot kilat wujud dari awal hari ini atau semalam, anda boleh melekapkan salinan bayangan itu baca sahaja (mklink /d C:\ShadowRestore \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\) dan salin fail utuh anda terus ke pemacu ibu jari USB luaran.
4. Jika tiada Shadow Copy wujud, matikan keras dan but daripada Linux Live USB: Cipta pemacu kilat USB Ubuntu atau SystemRescue pada komputer berbeza, but PC yang terjejas daripada pemacu USB itu dalam Cuba Ubuntu (mod Live RAM) tanpa memasang pemacu dalaman rw, dan imej atau ekstrak fail dari luar Windows.

2. Memulihkan daripada Pemacu Sistem macOS (Apple Silicon M1/M2/M3/M4 & T2 Macs)¶

Komputer Apple moden yang menjalankan macOS pada APFS (Sistem Fail Apple) mengemukakan dua halangan seni bina yang ketat:

1. TRIM APFS yang agresif: macOS menghantar TRIM arahan serta-merta selepas mengosongkan Sampah pada SSD Apple dalaman.
2. Perkakasan FileVault / Penyulitan Enklaf Selamat: Pada semua Mac dengan cip Apple T2 atau Apple Silicon (M1, M2, M3, M4), SSD dalaman disulitkan perkakasan pada keadaan rehat secara lalai menggunakan kekunci yang terikat pada Enklaf Selamat, walaupun jika FileVault dimatikan dalam Tetapan Sistem.
   • Semakan Segera 1: Syot Kilat Mesin Masa Setempat (tmutil): Walaupun pemacu sandaran Mesin Masa luaran anda telah dicabut pada masa pemadaman, macOS secara automatik mencipta Snapshot Setempat APFS tersembunyi setiap jam pada SSD dalaman jika Mesin Masa dikonfigurasikan. Buka Terminal serta-merta dan jalankan:

     tmutil listlocalsnapshots /
     

     Jika anda melihat syot kilat disenaraikan (seperti com.apple.TimeMachine.2026-10-31-091522.local), buka folder tempat fail itu tinggal dan lancarkan aplikasi Mesin Masa daripada Aplikasi untuk memulihkan fail dalam beberapa saat.
   • Pemeriksaan Segera 2: Tong Sampah Penyegerakan Awan (iCloud Drive, OneDrive, Dropbox, Google Drive): Oleh kerana folder Desktop dan Dokumen macOS sering disegerakkan ke iCloud Drive, pemadaman fail daripada Desktop Mac anda akan memadamkannya melalui penyegerakan iCloud dan bukannya secara setempat. Buka penyemak imbas pada telefon anda atau PC lain, log masuk icloud.com -> Drive -> Baru-baru Dipadam (sudut kanan bawah), di mana fail yang dipadam disimpan selama 30 hari tidak disentuh sepenuhnya oleh SSD tempatan TRIM.

3. Menyekat macOS dan Windows daripada Mencemarkan Kad SD atau Pemacu Luaran yang Dipalamkan¶

Apabila anda memasangkan kad SD kamera atau pemacu USB luaran ke dalam komputer untuk memulihkan fail, sistem pengendalian hos serta-merta cuba menulis fail metadata tersembunyi pada akar pemacu (.DS_Store, .Spotlight-V100, .fseventsd, .Trashes pada macOS; System Volume Information dan $Recycle.Bin pada Windows). Tulisan kecil itu mendarat tepat pada permulaan bitmap ruang kosong, selalunya merosakkan pengepala direktori tepat yang anda cuba pulihkan.

• Pada Linux (Kaedah Forensik Paling Selamat): Linux tidak menulis folder indeks tersembunyi secara automatik jika anda melumpuhkan pemasangan automatik atau melekapkan peranti blok hanya baca sahaja (ro,noload).
• Pada Windows (Dayakan Atribut Cakera Baca Sahaja melalui DiskPart SEBELUM memasukkan pemacu, atau gunakan Registry WriteBlocker):
  • Buka regedit.exe sebagai Pentadbir, navigasi ke HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies (buat StorageDevicePolicies kunci jika ia tidak wujud), dan buat a DWORD (32-bit) nilai dinamakan WriteProtect ditetapkan kepada 1. Palamkan pembaca kad USB anda selepas itu, dan Windows akan menganggap semua storan USB boleh tanggal sebagai dilindungi tulis perkakasan.
• Pada macOS (Lekapkan melalui Penimbangtara Cakera): Muat turun dan lancarkan utiliti sumber terbuka Penimbangtara Cakera sebelum memasangkan pembaca kad SD atau pemacu luaran anda. Tetapkan Penimbangtara Cakera kepada Block Mounts atau Mount Read-Only, jadi macOS tidak boleh menulis .DS_Store atau Spotlight indeks pada partition yang rosak.

Fasa 2: Mencipta klon sektor demi sektor forensik (ddrescue)¶

Jangan sekali-kali menjalankan imbasan pemulihan fail secara langsung pada pemacu keras yang gagal, kad mikroSD yang usang, atau salinan tunggal partition yang diformatkan. Mencipta fail imej binari mentah (.img atau .dd) menjamin bahawa anda mempunyai syot kilat, bit-untuk-bit beku bagi setiap sektor kerana ia wujud semasa anda mencabut palam pemacu.

Pengklonan Langkah demi Langkah dengan GNU ddrescue (Linux / macOS) atau HDDSuperClone¶

1. Kenal pasti pengecam peranti yang tepat bagi kad sumber atau pemacu anda:
   • Di Linux, jalankan lsblk -o NAME,SIZE,MODEL,RO,FSTYPE,MOUNTPOINT sebelum dan selepas memasang pembaca kad. Katakan kad SD kamera 64 gigabait (59.6 gibibait) anda muncul sebagai /dev/sdc (pastikan ia tidak dipasang; jika dipasang, jalankan sudo umount /dev/sdc1).
   • Pada macOS, jalankan diskutil list untuk mencari nombor cakera (contohnya, /dev/disk4), kemudian nyahlekapkan volumnya tanpa mengeluarkan perkakasan: diskutil unmountDisk /dev/disk4.
2. Lekapkan pemacu storan destinasi besar anda: Katakan pemacu sandaran 2 terabait luaran anda dipasang pada /mnt/backup (atau /Volumes/BackupDrive pada macOS). Sahkan ia mempunyai ruang kosong yang mencukupi untuk menampung keseluruhan kapasiti mentah pemacu sumber (kad SD 64 gigabait menghasilkan 64 gigabait .img fail, walaupun hanya 10 gigabait foto padanya).
3. ** Laksanakan ddrescue dengan fail peta (fail log)**:

   sudo ddrescue -d -r3 /dev/sdc /mnt/backup/sdcard_raw_clone.img /mnt/backup/sdcard_rescue.map
   

   • -d menggunakan akses cakera langsung (memintas cache halaman kernel sistem pengendalian untuk bacaan sektor yang tepat; pada penggunaan macOS /dev/rdisk4 bukannya -d).
   • -r3 memberitahu ddrescue untuk menyalin semua sektor yang sihat merentas keseluruhan pemacu pada hantaran pantas pertama, langkau sebarang blok denyar yang perlahan atau rosak dengan segera supaya kad tidak terlalu panas atau terkunci, dan kemudian cuba semula sektor buruk sehingga 3 kali pada penghujungnya.
   • sdcard_rescue.map menyimpan kemajuan tepat anda setiap beberapa saat. Jika pembaca USB terputus sambungan atau kuasa terputus, menjalankan perintah yang sama disambung semula dengan lancar dari tempat ia berhenti tanpa membaca semula sektor yang telah diselamatkan.
4. Buat salinan kerja atau lekapkan .img fail baca sahaja: Sekali sdcard_raw_clone.img selesai pada 100.00% rescued, keluarkan kad SD fizikal anda dan simpannya dalam laci yang selamat. Anda akan melaksanakan 100 peratus kerja pemulihan anda sdcard_raw_clone.img.

Fasa 3: Melaksanakan pemulihan fail (Pembinaan Semula Metadata Logik lwn. Ukiran Mentah)¶

Sebaik sahaja anda mempunyai peti besi .img fail (atau pemacu sekat tulis perkakasan), terdapat dua kaedah teknikal yang sama sekali berbeza untuk mengekstrak data anda yang dipadamkan. Anda harus sentiasa mencuba Kaedah A (Pembinaan Semula Sistem Fail Logik) terlebih dahulu sebelum kembali kepada Kaedah B (Ukiran Tandatangan Mentah).

Langkah demi Langkah 1: Memulihkan Pemisahan yang Dipadamkan atau Sektor But Rosak dengan TestDisk¶

Jika pemacu luaran atau kad SD anda tiba-tiba bertanya "Anda perlu memformat cakera dalam pemacu E: sebelum anda boleh menggunakannya" atau muncul sebagai RAW / Tidak Diperuntukkan dalam Pengurusan Cakera selepas dicabut palam tanpa dikeluarkan dengan selamat, fail anda tidak dipadamkan sama sekali. Sebaliknya, Rekod But Induk (MBR), Jadual Pemisahan GUID (GPT) atau Sektor But (BPB) telah rosak.

1. Jalankan TestDisk terhadap fail imej klon anda:

   testdisk /mnt/backup/sdcard_raw_clone.img
   

2. Pilih Teruskan -> sahkan jenis jadual partition (Intel/PC untuk kad SD MBR di bawah 2 terabait, atau EFI GPT untuk pemacu besar moden).
3. Pilih Analisis -> Carian Pantas.
4. TestDisk akan mengimbas pengepala partition sandaran (seperti sektor but NTFS sandaran automatik yang disimpan pada sektor terakhir volum NTFS, atau sektor but FAT32 sandaran di sektor 6).
5. Serlahkan partition yang ditemui dan tekan P (Senarai Fail). Jika anda segera melihat semua folder dan fail anda tersenarai utuh di dalam tetingkap terminal:
   • Jangan bersusah payah menulis semula jadual partition jika anda hanya mahukan fail. Hanya tekan C pada folder yang anda inginkan dan salin terus ke pemacu destinasi anda yang sihat dengan 100 peratus nama fail dan struktur folder asal.

Langkah demi Langkah 2: Imbasan Metadata Logik Menggunakan DMDE, R-Studio atau UFS Explorer¶

Apabila fail telah dipadamkan melalui Shift + Delete, dikosongkan daripada Tong Kitar Semula, atau disapu melalui Format Pantas standard:

1. Buka anda .img fail di dalam DMDE (edisi percuma memulihkan sehingga 4,000 fail setiap tindakan direktori; lesen penuh adalah murah), R-Studio atau UFS Explorer Standard Recovery.
2. Semak Pokok Sistem Fail Maya Sedia Ada Dulu:
   • Pada pemacu NTFS, setiap fail mempunyai rekod 1,024-bait (1 kilobait) dalam Jadual Fail Induk ($MFT). Walaupun fail dipadamkan, ia $MFT slot kekal ditandakan dengan bendera tidak aktif (0x00 bukannya 0x01) yang mengandungi nama fail yang tepat, ID direktori induk dan gugusan permulaan yang tepat dan panjang berjalan, sehingga fail baharu menggunakan semula $MFT slot. Tambahan pula, fail yang lebih kecil daripada ~700 bait (seperti nota teks ringkas, kunci kripto atau skrip kecil) disimpan penduduk sepenuhnya di dalam $MFT merekodkan dirinya sendiri dan jarang ditimpa dengan cepat.
   • Lihat dalam $Root atau Deleted / Found folder maya dijana dalam masa 5 saat pertama membuka partition. Jika fail anda muncul dengan warna merah x atau ikon sampah dan tunjukkan saiz yang sihat, pilihnya dan klik Pulih ke pemacu destinasi berasingan anda dengan segera.
3. Jalankan Imbasan Kelantangan Penuh jika Pengepala Direktori Ditimpa:
   • Jika Format Pantas menimpa direktori akar atau beberapa megabait pertama $MFT, jalankan Imbasan Kelantangan Penuh. Perisian akan mengimbas keseluruhan imej untuk nod indeks subdirektori yang masih hidup (INDX penimbal pada NTFS, rantaian kluster subdirektori pada FAT32/exFAT atau pusat pemeriksaan transaksi yang lebih lama pada APFS/ext4) dan menggabungkan metadata logik dengan pengesanan tandatangan fail mentah.

Langkah demi Langkah 3: Ukiran Fail Mentah dengan PhotoRec (Apabila Metadata Dimusnahkan Sepenuhnya)¶

Apabila Jadual Peruntukan Fail (FAT) atau $MFT telah disifarkan sepenuhnya oleh format, penunjuk direktori logik telah hilang, hanya meninggalkan kandungan fail mentah yang berada dalam kelompok data yang tidak diperuntukkan. PhotoRec (digabungkan bersama TestDisk, percuma sepenuhnya, sumber terbuka dan tersedia untuk Windows, macOS dan Linux) cemerlang dalam mengukir lebih daripada 480 format fail (termasuk Canon .CR2/.CR3, Sony .ARW, Nikon .NEF, Adobe .DNG/.PSD, .JPG, .PNG, .PDF, .DOCX/.XLSX bekas zip, dan .SQLITE pangkalan data):

1. Lancarkan PhotoRec terhadap imej cakera anda:

   photorec /mnt/backup/sdcard_raw_clone.img
   

2. Pilih partition sasaran (atau Whole disk jika jadual partition telah dilap).
3. Sebelum bermula, pergi ke [File Opt] di bahagian bawah skrin:
   • Tekan s untuk menyahpilih semua 480 jenis fail jika anda hanya mengambil berat tentang fail tertentu (contohnya, semak sahaja jpg, cr2/cr3, tif untuk gambar mentah, mov/mp4, dan zip/docx), yang mempercepatkan pemulihan secara drastik dan menghalang serpihan sampah positif palsu.
4. Pilih [Options] -> simpan Keep corrupted files : No melainkan memulihkan strim video yang rosak.
5. Pilih [Search], pilih jenis sistem fail [Other] (untuk FAT/exFAT/NTFS/HFS+), dan pilih [Free] (jika anda hanya memadamkan fail pada partition aktif) atau [Whole] (jika partition telah diformatkan).
6. Pilih folder destinasi pada pemacu sandaran besar yang berasingan anda dan tekan C untuk memulakan ukiran.
7. Isih Pasca Pemulihan untuk Output PhotoRec: Kerana PhotoRec menyimpan fail sebagai f123456.jpg merentasi berpuluh-puluh recup_dir folder, anda boleh secara automatik menyusun semula semua foto yang dipulihkan menjadi bersih YYYY/MM-Month/ folder dengan nama fail cap masa kamera yang tepat menggunakan alat baris arahan percuma ExifTool:

   exiftool "-Directory<DateTimeOriginal" -d "%Y/%Y-%m-%d" -r /mnt/backup/photorec_output/
   

Pemulihan khusus: video MP4/MOV kamera berpecah-belah (GoPro, DJI Drones, Sony, Canon)¶

Salah satu kekecewaan yang paling kerap berlaku selepas menjalankan PhotoRec atau perisian pemulihan fail standard pada kad kamera yang diformatkan ialah mendapati bahawa 100 peratus daripada yang dipulihkan .JPG dan .RAW foto dibuka dengan sempurna, tetapi setiap satu dipulihkan .MP4 atau .MOV fail video enggan dimainkan (tempoh 0:00 atau skrin hitam).

Mengapa Perisian Pemulihan Standard Memecahkan Video Kamera Moden¶

1. Rakaman Strim Bersilang: Kamera aksi moden (siri GoPro Hero, dron DJI Air/Mavic/Mini, Insta360) dan kamera tanpa cermin pawagam tidak menulis satu pun .MP4 fail secara berurutan dari awal hingga akhir. Semasa merakam video 4K atau 5.3K, kamera secara serentak menulis resolusi tinggi .MP4 strim, pratonton resolusi rendah .LRV strim, penimbal audio dan metadata telemetri ke dalam kelompok berselang-seli pada kad exFAT/FAT32 (contohnya: 4 megabait video resolusi tinggi, diikuti oleh 512 kilobait .LRV pratonton, diikuti dengan 4 megabait video resolusi tinggi).
2. Tiada moov Atom dalam Rakaman Belum Dimuktamadkan: Jika dron anda terhempas ke dalam air, bateri kamera anda mati pada pertengahan rakaman, atau kad SD terputus sambungan sebelum anda menekan butang Hentikan Rakam, kamera tidak pernah menulis moov atom (jadual indeks induk yang ditulis pada penghujung fail MP4/MOV yang memberitahu pemain media di mana setiap bingkai video dan bahagian audio duduk).

Cara Membina Semula Video Kamera Tidak Boleh Dimainkan atau Berpecah-belah¶

1. Kes A: Video Tidak Dimuktamadkan Selepas Kehilangan Bateri atau Ranap (Fail Wujud pada Kad, Menunjukkan Saiz Berbilang GB, Tidak Akan Dimainkan):
   • Kelompok itu utuh dalam sistem fail, hanya kumpulan moov pengepala indeks tiada.
   • Gunakan alat sumber terbuka percuma untrunc (khususnya anthwlock/untrunc garpu) atau recover_mp4 (slydiman). Menyediakan untrunc dengan satu rujukan yang sihat dan boleh dimainkan .MP4 dirakam pada kamera yang sama dengan resolusi yang sama dan tetapan kadar bingkai, di samping anda yang rosak .MP4:

     untrunc reference_working_video.MP4 corrupted_unfinalized_video.MP4
     

   • untrunc membaca parameter codec (avcC/hvcC dan susun atur trek audio) daripada video rujukan yang berfungsi, mengimbas unit H.264/H.265/HEVC NAL mentah dalam fail anda yang rosak dan mensintesiskan moov atom dalam beberapa saat.
2. Kes B: Kad SD Berformat dengan Video Berjalin / Serpihan (GoPro, DJI, Sony, Canon):
   • Oleh kerana peta gugusan FAT/exFAT telah dipadamkan semasa pemformatan, pengukir standard mengambilnya ftyp/mdat pengepala video 4K anda dan kemudian menyalin secara membuta tuli .LRV pratonton gugusan dan gugusan lakaran kenit terus ke tengah-tengah fail video anda, merosakkan setiap satu saat rakaman.
   • Daripada pengukir standard, imbas anda sdcard_raw_clone.img menggunakan pembina semula video sedar pemecahan yang mengiktiraf kadens peruntukan kluster khusus kamera, seperti SanDisk RescuePRO Deluxe (yang merangkumi algoritma pemasangan video berpecah-belah GoPro/dron tertentu), Klennet Carver atau Disk Drill 5+ (yang termasuk video yang dipecahkan tandatangan GoPro/DJI khusus).

Pemadaman foto telefon pintar: Realiti penyulitan perkakasan iOS (iPhone) dan Android¶

Salah tanggapan yang biasa dan berbahaya ialah anda boleh memasangkan telefon pintar iPhone atau Android moden ke dalam komputer riba melalui USB dan menjalankan perisian ukiran cakera tradisional (seperti Recuva atau PhotoRec) pada storan dalaman telefon.

Mengapa Ukiran Sektor Tradisional Tidak Boleh Membaca Telefon Moden¶

Setiap iPhone sejak iPhone 3GS (dan semua peranti iOS semasa) menggunakan Perlindungan Data (Penyulitan Berasaskan Fail) yang dikuasakan oleh enjin kripto AES perkakasan khusus antara storan denyar dan memori sistem utama. Begitu juga, setiap peranti Android yang dihantar sejak Android 7.0+ (dan wajib sejak Android 10) menggunakan Penyulitan Berasaskan Fail (FBE) yang disokong oleh cip Keystore/Titan M/Knox perkakasan.

Pada kedua-dua platform, setiap foto dan fail individu pada storan dalaman disulitkan dengan kunci kriptografi setiap fail tersendiri. Apabila fail dihapuskan secara kekal daripada sistem fail telefon, telefon tidak perlu memadamkan blok foto berbilang megabait; ia segera memusnahkan kunci penyulitan setiap fail 256-bit dalam jadual metadata. Tanpa kunci itu, blok NAND mentah mengandungi hingar rawak yang tidak boleh dipecahkan secara kriptografi. Malah makmal forensik kerajaan peringkat teratas tidak boleh "mengukir" foto yang dipadamkan secara kekal daripada denyar dalaman iPhone atau Android moden sebaik sahaja kunci setiap fail dipadamkan.

Laluan Pemulihan Sebenar untuk Foto Telefon Pintar yang Dipadamkan¶

Oleh kerana penyulitan perkakasan menyekat ukiran mentah, memulihkan foto yang dipadamkan daripada iPhone atau Android bergantung pada memulihkan salinan sebelum pemasa pengekalan tamat tempoh atau mengekstrak pangkalan data lakaran kecil cache:

1. Semak Album "Terbaru Dipadam" Pada Peranti dengan Segera (Tetingkap 30 Hari):
   • iOS (iPhone / iPad): Buka Foto -> tatal ke bawah ke Utiliti -> ketik Terbaru Dipadam (memerlukan Face ID / Touch ID / Kod Laluan). Foto kekal di sini selama 30 hari sebelum pemusnahan kunci kekal.
   • Android (Google Photos / Galeri Samsung): Buka Google Photos -> Library / Collections -> Sampah / Tong Sampah (dikekalkan selama 60 hari jika disandarkan, 30 hari jika peranti sahaja). Semak juga Samsung Gallery -> Menu (tiga baris) -> Sampah (dikekalkan selama 30 hari), dan buka aplikasi Fail oleh Google atau Fail Saya -> Sampah, yang mengekalkan folder sampah 30 hari yang berasingan.
2. Jika Anda Memadamkan Foto daripada "Terbaru Dipadamkan" pada iPhone, Hubungi Sokongan Apple untuk Pemulihan Bahagian Pelayan iCloud Kecemasan:
   • Ramai pengguna tidak menyedari bahawa walaupun selepas anda mengklik secara manual "Padam daripada Semua Peranti" / "Kosong Baru Dipadamkan" dalam Foto iCloud, pelayan bahagian belakang Apple mengekalkan penimbal pemulihan pelayan yang dipadam lembut untuk tetingkap ringkas (biasanya sehingga 7 hingga 14 hari selepas pemadaman kekal).
   • Hubungi Sokongan Apple dengan segera melalui telefon atau sembang, minta untuk bercakap dengan Penasihat Kanan, dan minta mereka mencetuskan Pemulihan Bahagian Pelayan Perpustakaan Foto iCloud pada Akaun Apple anda. Mereka kerap boleh membalikkan suis pelayan yang membuang Foto iCloud yang telah dibersihkan baru-baru ini ke dalam album anda dalam masa 15 minit.
3. Pulihkan daripada Peranti Tidak Segerak Lama atau Sandaran Tempatan Disulitkan:
   • Tipu Mod Pesawat pada iPad / Mac Kedua: Jika iPhone anda menyegerakkan pemadaman ke iCloud, ambil iPad atau MacBook anda sebelum ia bersambung ke Wi-Fi (matikan penghala Wi-Fi rumah anda dengan mencabut palam kord kuasa dahulu jika iPad tertidur di atas meja anda). Hidupkan iPad dalam jumlah pengasingan radio, salin foto yang masih ada melalui kabel USB atau AirDrop ke peranti lain sebelum iPad menerima arahan tolak pemadaman iCloud.
   • Semak iCloud Backup lwn. iCloud Photos: Jika anda telah iCloud Photos dimatikan (Settings -> [Your Name] -> iCloud -> Photos -> Off), Camera Roll anda disertakan dalam iCloud Device Backup setiap malam anda. Anda boleh memadamkan iPhone ganti lama (atau membuat sandaran sementara dan menetapkan semula iPhone semasa anda) dan memulihkan Sandaran iCloud setiap malam dari sebelum saat anda memadamkan foto.
   • Semak Pencari Tempatan / Sandaran iTunes pada PC atau Mac Anda: Semak ~/Library/Application Support/MobileSync/Backup/ pada macOS atau %APPDATA%\Apple Computer\MobileSync\Backup\ pada Windows. Anda boleh menyemak imbas dan mengekstrak foto daripada sandaran tempatan lama tanpa menimpa telefon anda menggunakan iMazing atau iBackup Viewer.
4. Semak Cache Tempatan Apl Pemesejan (WhatsApp, iMessage, Telegram, Isyarat):
   • Adakah anda pernah menghantar teks foto atau video yang dipadamkan kepada pasangan, rakan atau sembang kumpulan keluarga? Apl pemesejan menyimpan salinan media bebas di dalam kotak pasir aplikasi mereka sendiri (Media/WhatsApp Images/Sent pada Android, atau dalam lampiran sembang dalam iMessage). Walaupun anda memadamkan foto dari Gulungan Kamera utama anda dan mengosongkan Sampah, salinan di dalam WhatsApp anda Sent folder atau sejarah benang iMessage kekal tidak disentuh sepenuhnya.

Pemacu awan dan pemulihan pemadaman tidak sengaja perusahaan (Google Drive, OneDrive, Dropbox)¶

Apabila keseluruhan folder kongsi hilang atau ditimpa pada pemacu awan (atau apabila perisian tebusan atau gangguan penyegerakan memadamkan fail tempatan dan menyegerakkan pemadaman ke awan), pemulihan cakera tempatan selalunya tidak diperlukan kerana platform awan perusahaan dan pengguna mengekalkan sejarah versi berbilang peringkat:

1. Microsoft OneDrive & SharePoint Dalam Talian:
   • Tang Kitar Semula Peringkat Pertama (onedrive.live.com): Mengekalkan fail yang dipadam selama 30 hari pada akaun peribadi dan 93 hari pada akaun Kerja/Sekolah.
   • Tong Kitar Semula Pengumpulan Tapak Peringkat Kedua (Kerja/Sekolah): Walaupun pekerja atau penggodam mengosongkan Tong Kitar Semula OneDrive utama, klik pautan di bahagian bawah halaman Tong Kitar Semula berlabel "Tong kitar semula peringkat kedua", di mana fail yang telah dibersihkan kekal boleh dipulihkan untuk baki 93 hari tetingkap.
   • Pulihkan OneDrive Anda (Pulih Balik Titik-Masa): Pelanggan Microsoft 365 boleh mengklik Tetapan (ikon gear) -> Pilihan -> Pulihkan OneDrive anda, yang menggunakan peluncur histogram visual untuk melancarkan setiap fail tunggal, menamakan semula dan pemadaman merentas keseluruhan pemacu awan kembali ke mana-mana minit tepat dalam 30 hari lalu.
2. Google Drive & Google Workspace:
   • Sampah Google Drive (drive.google.com/drive/trash): Mengekalkan fail yang dipadam selama 30 hari.
   • Pemulihan Pasca Sampah Pentadbir Google Workspace (Tetingkap Grace 25 Hari): Walaupun selepas pengguna mengklik "Padam Selamanya" dan mengosongkan Sampah Google Drive mereka, Pentadbir Google Workspace (atau pengguna individu yang menghubungi Sokongan Google Drive pada akaun Google One peribadi) boleh membuka Konsol Pentadbiran Google (admin.google.com) -> Direktori -> Pengguna -> [Pilih Pengguna] -> Lagi Pilihan -> Pulihkan Data, dan pulihkan fail Google Drive dan mesej Gmail yang telah dibersihkan secara kekal sehingga 25 hari tambahan selepas Sampah dikosongkan.
3. Peti Simpan:
   • Fail Dipadamkan (dropbox.com/deleted_files): Mengekalkan fail dan folder yang dipadamkan selama 30 hari pada pelan Asas/Plus/Keluarga dan 180 hari hingga 1 tahun pada rancangan Profesional/Perniagaan.
   • Dropbox Rewind (dropbox.com/rewind): Membenarkan melancarkan keseluruhan folder atau keseluruhan akaun untuk membuat asal pemadaman besar-besaran, seret dan lepas secara tidak sengaja atau peristiwa penyulitan.

Soalan lazim¶

Sumber disemak¶

• Institut Piawaian dan Teknologi Kebangsaan (NIST, Amerika Syarikat): Penerbitan Khas 800-88 Semakan 1, Garis Panduan untuk Pembersihan Media (ATA TRIM, Deallocate NVMe dan gelagat Lapisan Terjemahan Flash NAND) dan Spesifikasi Pengimejan Program Ujian Alat Forensik Komputer (CFTT) (csrc.nist.gov).
• Agensi Keselamatan Siber dan Infrastruktur (CISA, Amerika Syarikat): Sandaran Data, Pemeliharaan Forensik dan Garis Panduan Pengendalian Insiden (cisa.gov).
• Projek GNU / Antonio Diaz Diaz (Antarabangsa): Rasmi Manual ddrescue GNU: Alat Pemulihan Data dan Algoritma Fail Peta Sekat (gnu.org/software/ddrescue).
• CGSecurity / Christophe Grenier (Antarabangsa): Dokumentasi Rasmi TestDisk & PhotoRec: Pemulihan Partition dan Tandatangan Ukiran Fail (cgsecurity.org).
• Keselamatan Platform Apple (Amerika Syarikat): FileVault, Kelas Perlindungan Data, Kunci Penyulitan Per-Fail dan Seni Bina Trim APFS pada Apple Silicon dan Sistem T2 (support.apple.com/guide/security).
• Projek Sumber Terbuka Android (AOSP, Antarabangsa): Penyulitan Berasaskan Fail (FBE) dan Seni Bina Penyulitan Metadata (source.android.com/docs/security/features/encryption).
• Persatuan SD (Antarabangsa): Spesifikasi SD Bahagian 1: Spesifikasi Dipermudahkan Lapisan Fizikal (Padam Perintah CMD32, CMD33, CMD38 dan Suis Mekanikal Melindungi Tulis) (sdcard.org).

Panduan berkaitan¶

• Kegagalan cakera keras dan pemulihan data
• Sandaran komputer: Strategi 3-2-1 dan pemulihan bencana
• Ransomware dan perisian hasad
• Telefon rosak atau rosak air
• Kegagalan but sistem Linux dan pembaikan GRUB
• Windows Blue Screen (BSOD) dan pembaikan but