我可以采取什么步骤来尝试从任何存储设备恢复丢失或无法访问的数据?
答案:
这适用于任何计算机存储设备,例如内部/外部硬盘驱动器、USB 记忆棒、闪存。
最重要的是停止使用它除非您制定了计划。任何类型的 I/O 都可能毁掉您恢复的机会。因此,不要格式化、不要 chkdsk 和不要第三方就地修复工具!
答案1
如果发生机械故障。
介绍
如果出现机械故障(例如随机崩溃、某天突然停止工作、发出奇怪的“尖叫”/“哔哔”类型的噪音),每一个每次你插上电源并打开它,情况就会变得更糟。如果是非常重要的数据,我建议把它带到实验室/专业数据恢复服务:许多实验室提供免费诊断。
然而,如果你想自己动手,你可以将机械故障总结为两类:
内部/媒体问题或外部/控制器问题。
首先,介质/内部问题。这是物理硬盘可能发生的最糟糕的事情。如果是这样,那真的取决于有多严重。
如果您决定自己执行此操作,第一步是克隆或映像驱动器。有些工具允许在 Windows 内进行克隆/映像。
一个例子是(不免费)R-Studio。它允许您从驱动器创建映像并执行多次传递*,然后从映像执行恢复。
*
多次传递的理念是先读取易于读取的数据,同时跳过坏区。我们希望跳过坏区,因为读取这些坏区会给驱动器带来压力。一旦我们拥有所有易于读取的数据,我们就可以集中精力处理坏区。即使此时驱动器完全失败,我们也有易于读取的数据(通常是大量数据)。为了恢复坏区,我们甚至可以进行额外的传递,我们可以更积极地多次重新读取扇区等。
更好的办法是使用以下工具救援或者硬盘超级克隆因为它们运行在 Linux 平台上,而 Linux 被认为比 Windows 更安全。Windows 在尝试访问不稳定驱动器时更加持久,这会导致驱动器承受更大的压力。
如果是控制板问题,那么最常见的症状是驱动器无法旋转(用耳朵来确定)。
我们可以用相同的 PCB 替换电路板,但在现代驱动器上,这涉及“移植” “ROM”. 一些专门的网站允许您发送原始 PCB 并为您交换 ROM。
如果驱动器不旋转,则值得检查作为电涌保护的“TVS”。这是可以自己动手的,如果 TVS 出现故障,我们可以将其移除并在没有它的情况下运行驱动器。驱动器现在在没有保护的情况下运行,因此应尽快对其进行映像/克隆,然后不再使用。有关更多信息:http://www.users.on.net/~fzabkar/HDD/TVS_diode_FAQ.html
闪存驱动器
对于闪存驱动器,如果数据很重要,请再次前往实验室。如果您想自己动手,同样的一般策略也适用:如果可能,克隆/镜像设备。根据经验,如果在磁盘管理中检测到驱动器的容量正确,您可以自行恢复数据。
如果正确检测:
- 对闪存驱动器(或存储卡)进行映像/克隆,例子。
- 从图像文件中恢复文件
如果检测到闪存驱动器但容量显示不正确,则控制器可以工作但处于“安全模式”。最常见的原因是固件损坏或无法与 NAND 芯片通信。
如果根本检测不到闪存驱动器,则问题在于物理性质或控制器问题。
我认为后两个问题无法“DIY”。
答案2
如果出现损坏或坏扇区。
祈祷,它会帮助你平静下来。:-)
直接访问数据。
从外部驱动器恢复文件时,重要的是要有尽可能短的中转。
这意味着您要摆脱任何不需要的多余 USB 电缆、USB 集线器或设备。
如果您正在从外部硬盘驱动器恢复,请尝试将其取出并使用 SATA 电缆连接...
如果您正在从 USB 记忆棒恢复,请尝试将其连接到计算机背面,尝试不同的端口。
下载并刻录后续步骤所需的 Ultimate Boot CD。
本文中使用的大多数工具都可以在终极启动 CD。
下载 Ultimate Boot CD这一页:点击镜子旁边的图标。
将 ISO 刻录到 CD使用图像烧录在 Windows 上,液体CD在 Mac OSX 上或布拉塞罗在 Linux 上。
或者,为了确保质量,请确保它验证了 CD。
进行备份(EASEUS Disk Copy)。
由于我们将尝试恢复文件系统和/或恢复我们将篡改磁盘的数据,因此您可能需要进行初步备份,以确保如果出现问题,您仍有可用的备份。如果您怀疑磁盘故障,您甚至可能要考虑进行备份,这样如果您真的需要数据,您仍然可以将硬盘发送给取证公司……
启动终极启动 CD。
去硬盘-->克隆工具-->EASEUS 磁盘复制。
进行磁盘复制到另一台具有足够可用空间的设备。
这将逐个扇区地精确复制数据。
检查硬盘是否仍处于良好状态(SMARTUDM)。
在篡改驱动器之前,我们要确保不会使其状态变得更糟,因此让我们首先检查状态:
启动终极启动 CD。
去硬盘-->设备管理工具-->智能型。
查看如果任何SMART 属性有一个黄色或红色的 *****,表示状态不好。
如果情况不好,遇到机械故障时尝试恢复。
如果状态良好,那么我们将进行错误扫描以了解并解决问题:
启动终极启动 CD。
去硬盘-->诊断工具-->维瓦德。
让它执行错误扫描,注意发现了多少错误以及完成了多少次重新映射。
识别文件系统。
尝试修复(TestDisk)。
在进行实际恢复之前,有时您可能需要先修复分区和文件系统。这就是 TestDisk 发挥作用的地方,我建议看看它做了什么。
以下是如何到达那里的方法:
启动终极启动 CD。
去硬盘-->数据恢复工具-->测试磁盘。
阅读底部的文档这一页并尝试修复您的数据。
使用恢复软件(PhotoRec)。
现在,初步工作已经完成,您可以按照以下方式开始恢复:
答案3
测试磁盘是一款免费的开源分区扫描器和数据恢复工具。它在恢复丢失的分区方面非常有用。相簿是另一个常用的免费数据恢复工具。TestDisk 和 PhotoRec 除了包含在 Ultimate Boot CD 中(正如 Tom Wijsman 在他的回答中提到的那样),还包含在许多 Linux 发行版的软件存储库和 System Rescue CD 中。System Rescue CD 与 Ultimate Boot CD 类似,但它更轻量级,这是一个优势,因为它通常从 CD 或 USB 闪存驱动器运行,而性能是这些驱动器的重中之重。
TestDisk 比 PhotoRec 效率高很多。Testdisk 的问题在于它并不总是能恢复所有已删除的文件。如果您不小心重新格式化了分区,TestDisk 可以恢复数千个文件,并且不会遗漏任何文件,但是如果您通过将文件发送到废纸篓然后清空废纸篓来删除文件,TestDisk 并不总是能恢复它。
因此,请先使用 TestDisk,如果您使用 TestDisk 恢复了所有已删除的文件,那么您就大功告成了。如果您使用 TestDisk 恢复了大部分已删除的文件,您可以决定是否大功告成了。如果运行 TestDisk 后仍未大功告成,您可以尝试使用 PhotoRec 恢复已删除的文件。
PhotoRec 无法恢复已被完全覆盖(例如,使用程序dd
)的已删除文件。在某些情况下,文件名存储在文件本身中。在这种情况下,PhotoRec 会尝试恢复文件名,但大多数情况下 PhotoRec 无法恢复文件名。
使用 PhotoRec 根据文件类型恢复文件
最好在执行这些步骤之前从 Linux 实时 DVD/USB 启动,以避免使用已删除文件所在的操作系统。
如果您的操作系统中尚未安装 TestDisk,请安装它。在 Linux 发行版中,安装 TestDisk 也会同时安装 PhotoRec。
打开一个终端并启动 PhotoRec(从实时 CD/USB 中的终端启动或以 root 身份启动)。
选择硬盘。
选择分区类型。
如果你的硬盘有 Linux 分区,那么选择
[Intel]
。选择文件类型选项。
移至
[File Opt]
并按下Enter。在这里,您可以按 禁用所有文件类型s。使用空格切换复选按钮。选择要恢复的文件类型。选择选项。
PhotoRec 也有一系列不同的选项。一般情况下你不需要修改它们。
选择分区。
将选择器移至已删除文件的分区。然后Enter按
[Search]
。选择文件系统类型。
如果您使用的是 Linux,则将为 ext2/ext3/ext4,因此默认选择为
ext2/ext3
。否则,如果您要从格式化为 FAT 或 NTFS 的分区恢复文件,请选择Other
。选择分析的空间。
Free
如果删除特定文件后未写入该分区,请选择,否则选择Whole
。选择要恢复文件的目录。
现在选择恢复文件的存储路径。然后按Y。
PhotoRec 将显示已恢复的文件数量。
答案4
最初的问题,硬盘故障,没有备份——如何进行数据恢复?
介绍
我将回答具体的问题和一些工具(因为这些是通常推荐的工具),并且范围要更广一些,因此答案也可能适用于其他数据丢失情况。
自己动手还是找专业人士?
如果您的数据有价值,请找专业人士。最多即使是需要洁净室工作的回收费用也不超过 850 美元,但有些实验室的费用在 300 至 500 美元之间甚至如果需要洁净室并且不需要采购额外部件。- 美国/欧盟价格!!根据您的地理位置,价格可能会有所不同。
多次失败的 DIY 尝试可能会妨碍恢复并增加价格。如果数据丢失是由物理原因导致的,并且尝试了现场修复(分区表编辑、重建 RAID 等),则情况确实如此。
根据经验法则,如果知道数据丢失的原因,例如删除了文件或分区或者格式化了分区,则可以安全地假设没有物理原因。
对于突然的数据丢失,即使损坏似乎是逻辑层面的,也不应该事先排除物理原因。例如,RAW 文件系统可能是由于逻辑损坏造成的,但这也是物理损坏的常见症状。即使只是反复尝试读取,也可能进一步损坏驱动器或导致固件损坏(g 列表溢出)。
如果损坏显然是物理损坏,例如驱动器掉落后,实验室始终是最好的解决方案,而 DIY 尝试几乎肯定会使情况变得更糟。
使用 SMART 实用程序不会有什么坏处。尽管信息可能太多,但还是很有用的。请这样对待信息:如果 SMART 工具提醒您存在问题,则假设确实存在问题。但是,没有警报并不意味着驱动器从定义上来说没有问题。
检查至少以下属性的 RAW 值:
- 重新分配的行业
- 待定行业
如果原始值不为零,则表示驱动器在某个时候读取扇区时出现了问题。在我看来,较大的值(例如 > 20)即使 SMART 工具显示不是,也会引起警觉。CrystalDiskInfo 是一款易于使用且免费的 SMART 工具。在菜单功能 > 高级功能 > 将 RAW 值设置为 10 [DEC]。我稍后将推荐的大多数文件恢复工具也可以显示 SMART 数据。
关于SSD的一些话
确实,SSD 不易受到移动部件的机械损坏。但是,数据突然消失可能是由物理原因造成的,例如突然断电。SSD 可能会像传统硬盘一样突然出现故障。
此外,SSD 也会出现“坏扇区”,尽管这些坏扇区的性质与旋转磁盘上的坏扇区完全不同。此类坏扇区可能会产生连锁效应,一旦 SSD 开始出现异常或不稳定的行为,其性能就会迅速下降。如果实验室不适合您,并且您需要多个文件,请跳至克隆。
那么TRIM怎么样?
TRIM 经常被误解。重要的是要理解 TRIM 是一个命令例如,操作系统发送该消息来通知 SSD 驱动器可以丢弃的扇区范围。TRIM 本身并不是文件删除或擦除。
是否发送 TRIM 命令以及何时发送 TRIM 命令取决于特定操作系统。一个操作系统可能在文件被删除时立即发送 TRIM 命令,另一个操作系统可能安排每周发送 TRIM 命令,或者一个操作系统可能同时执行这两项操作。
例如,当你格式化分区或删除文件时,Windows 会发送 TRIM 命令 -如果它涉及 NTFS 格式的卷。因此,一般来说,从格式化分区恢复数据是不可能的,除非:'情况'(非'支持'的文件系统、较旧的 USB 桥不中继 TRIM 命令等)。
但是,如果您因为文件系统为 RAW 而无法访问该分区,那么 Windows 没有理由“修剪”该分区,并且通常可以假设数据可以恢复。因此,通常情况下,操作系统只会修剪故意删除的数据。
TRIM =/= 擦除,或零填充,尽管它可能出现那样。简而言之:许多控制器“取消映射”修剪后的 LBA 地址。尝试读取此类 LBA 地址,控制器只会返回零,甚至不会读取驱动器。数据恢复实验室可能能够恢复“修剪”的数据,而数据恢复实验室无法恢复真正被覆盖的数据,即使只是用零覆盖。
尽管许多人可能将 TRIM 主要与 SSD 联系起来,但它(ATA TRIM)也受到特定 SMR 硬盘的支持,并且 SD 卡和 CF 卡等也采用类似 TRIM 的机制。
一些常用推荐的工具
测试磁盘。
可用于对涉及 MBR、分区表和引导扇区的部分进行现场修复。这些只是所有可能出错并阻止访问数据的事物中的一小部分,一般来说,进行现场修复是个坏主意。话虽如此,对于知识渊博亲自修补磁盘可能是最快的恢复方法,而且风险极小。
数据丢失的原因也起着一定作用:如果已知原因是意外删除了分区,并且磁盘布局已知,选择正确的分区并不是什么难事,而且在我看来风险相当低。另一方面,如果数据丢失的原因未知,那么仅仅为了测试而尝试 TestDisk 是没有意义的。
分区取消删除/恢复仅在分区不可见时才有意义,不是如果已经创建并格式化了新分区。只有当问题实际上是引导扇区时,引导扇区修复才有意义。
如果文件系统损坏较小,TestDisk 还可以从卷中复制数据。
照片录制。
PhotoRec 是一个所谓的“雕刻机”,它通过扫描驱动器的页眉和页脚来恢复文件。这种方法有几个缺点:
- 文件名未恢复
- 文件夹结构未恢复
- 误报率高
- 大多数情况下无法恢复碎片文件
但是,如果雕刻是唯一的选择,PhotoRec 可能是最适合该工作的工具之一。它的默认“规则”设置通常比专业工具更复杂、更准确。
收穫。
本质上是一个文件恢复工具,但是如果文件系统被意外地用完全相同的文件系统格式化,该工具也可以处理这个问题。
无论以何种标准衡量,它都不是一个可以用于“损坏”驱动器的严肃的数据恢复工具。
专业人士使用的文件恢复软件。
数据恢复实验室使用的逻辑恢复工具包括:
- R-Studio
- UFS 探索者
- 二甲醚
- ReclaiMe专业版
- 文件清道夫。
这些工具也有用户版本。它们不必很贵,“最便宜”的工具一年许可证价格为 20 美元。
首先克隆/映像一个驱动器!
在数据恢复技术人员尝试恢复任何文件之前,他/她将首先克隆或映像驱动器。
在 DIY 级别,用于克隆驱动器以进行数据恢复的最佳工具是 ddrescue 和 HDDSuperClone。
尽管这些工具是为此而设计的并且擅长于它们所做的事情(特别是 HDDSuperClone),但如果克隆/映像存在问题(驱动器随机消失、速度极慢、噪音大),最好停止 DIY 尝试。
如果我只需要几个文件并且仍然可以访问不稳定的驱动器,该怎么办?
我同意,在这种情况下,只需获取这几个文件就可能比完全克隆它对驱动器的压力更小——这是一个判断。
询问/寻求帮助的好地方。
数据恢复专家可以在多个地方回答最终用户的问题。这些可能比 SuperUser 更合适,因为它们允许进行更具互动性的问答式对话。
- Reddit、r/datarecovery 和 r/AskADataRecoveryPro
- HDDGuru 论坛
- HDDOracle 论坛(往往是更多技术讨论)
- Facebook 群组“数据恢复问答”
有疑问、建议或者批评吗?
请将它们放在评论中!