很多用戶由于不了解數據存儲的底層原理,往往容易產生兩個認知上的極端:一種是遇到類似情況即認為數據已經徹底丟失,從未聽說或考慮是否還有可能進行恢復;另一種情況是把數據恢復當做的技術,認為不管什么情況,數據恢復工程師都可以把數據“完整無缺”地恢復到原來的程度。這兩種認識都是不完全的。
一、誤刪除、誤分區、誤格式化、誤克隆、病毒破壞后的數據是有可能被恢復的。
操作系統在對文件進行刪除操作時,根據使用的文件系統的不同會進行不同的刪除操作,一般是對該文件的元數據做了相應的改動----做刪除標記,清空文件鏈表等,而文件真正占用的空間在被新的數據覆蓋前是不會發生變化的。所以說,仍然有被恢復的可能。
誤分區數據恢復。所謂的誤分區是指刪除原來的分區并重新建立了新的分區。根據不同的操作系統和平臺,分區操作一般只對主引導扇區、引導扇區或磁盤標簽等位置做相應的操作,不會對數據區產生破壞。因此,如果只是做了分區操作而并沒有進行格式化操作,基本上數據可以完整的恢復。
誤格式化數據恢復。誤格式化的破壞性則因格式化前所使用的文件系統的不同而不同,也與使用哪種文件系統進行了格式化有關系,情況比較復雜。但總體來講,恢復的可能性仍然是存在的。
誤克隆數據恢復。誤克隆,一般指的是使用ghost軟件對它所支持的文件系統分區或磁盤進行恢復操作時因操作不當而造成的分區錯誤(較典型的是硬盤上原來有多個分區誤操作后整個磁盤變成一個分區),或進行克隆操作時目標位置選擇錯誤造成目標位置的數據丟失等。誤克隆后的數據恢復成功率也受各種因素的制約,情況比較好時有可能恢復,但也不排除有徹底無法恢復的情況。
病毒破壞數據恢復。病毒破壞的情況更為復雜,有的病毒只是惡作劇地對數據的元數據做小小的改動,對操作系統進行欺騙以使操作系統認為該數據已被刪除而不對其進行顯示,但該數據的存儲鏈表、數據內容則不會有任何的變化,數據可以完好無損地被恢復;也有的病毒會對數據進行類似于操作系統的刪除操作;甚至有的病毒會對數據的存儲管理方式進行加密操作,一旦有殺毒軟件介入進行殺毒操作后,原有的被加密的數據將無法被正確地讀取。
二、 數據丟失后,并不是所有的情況下都可以地被恢復。
數據在介質內的存儲方式非常復雜,數據存儲的方式、丟失的原因,數據丟失后是否被及時發現以及進行了哪些后續操作,都直接或間接地對數據是否能夠挽回、能夠挽回多少產生著重大的影響。
誤刪除、誤分區、誤格式化、誤克隆、病毒破壞后的數據恢復的結果一般為有以下幾情況:
1、 數據被恢復
在某些情況下,如只是分區表或分區引導記錄或磁盤標簽(根據平臺以及操作系統和文件系統的不同而異)出現錯誤,進行數據管理的元數據以及數據內容部分沒有被破壞的情況下,很大程度上可以恢復數據;
2、 數據被部分恢復
因為各種文件系統對數據的存儲方式不同,所以當發生數據被刪除、分區被格式化等情況時,數據恢復的成功率存在著很大的差異。例如FAT32文件系統,在目錄項中使用高位與低位兩部分記錄一個文件或目錄的起始簇號位置,當文件或目錄被刪除時,記錄起始簇號的高位會被清零,只剩余低位的數字表示的數據起始位置當然與數據實際所在的位置不同了,這就加大的恢復數據時的難度,有時甚至是致命的。而且FAT32使用FAT表鏈記錄文件所占用的數據塊間的關系,刪除操作會清空被刪除文件的FAT表鏈,而格式化操作則會對整個FAT表進行清空,失去FAT表的數據就象是一盤散沙一樣,如果一個文件存在碎片(即被分為幾個部分存儲在幾個不連續的位置),則很難再重新組織到一起。
3、 數據恢復后目錄結構混亂或丟失
很多時候,數據丟失后沒有被及時發現、發現后仍然向存儲介質中寫入數據以及克隆等直接覆蓋式的寫入造成的數據丟失,或者存儲結構的鏈接關系被破壞等都會導致某些目錄結構丟失。而目錄結構丟失的情況下也有可能會致使存儲于其中的文件丟失。
4、 所有目錄結構全部丟失,只能根據所需要的文件類型的特征進行恢復,恢復出的文件無文件名
這是糟糕的情況(當然比完全無法恢復要好些),如果在存放數據時沒有很好地為數據建立適當的文件夾,或者目錄結構、元數據遭受到非常嚴重的破壞,則只能根據需要的文件類型(如word文檔、電子表格等)進行恢復。從理論意義上講,這種恢復是可行的,因為數據內容部分很有可能是完好的,但因為存儲其文件名的上級目錄結構或元數據遭到破壞,所以是沒有文件名的。而從實際使用意義上講,如果數據量非常大且比較繁雜的情況下,因恢復出來的數據沒有文件名而難以在短時間內整理歸類,對于急用的數據而言可能會意義不大,但對于不可丟失或長期保存的資料性、紀念性數據還是非常有意義的。
5、 數據徹底丟失,無法恢復
這種情況通常出現在數據丟失后,進行了不正確的處理方式,如繼續向丟失數據的存儲介質中寫入數據、非專業數據恢復人士的錯誤恢復處理等,一旦因錯誤操作而導致數據被覆蓋,則很難再得到恢復。即使有恢復的可能,費用也不是一般的民用級別所能夠承受的。