我可以恢复磁盘上的文件吗？磁盘的 5% 已完全擦除（用 1s 覆盖）

Question

最近，我的电脑被病毒感染，硬盘中只有一个分区，其中 5% 的数据被清除。我用 Active Undelete 等十六进制查看程序查看了磁盘，清除了病毒数据，并用 1 覆盖了它。

我想恢复一个大约 10GB 的大文件，但似乎没有恢复工具能够恢复任何文件。

理论上来说这个文件可以恢复吗？

我认为文件是碎片化的；我研究过 NTFS 文件系统，并且我了解集群信息只是保存在 MFT 文件中？

有没有什么办法可以恢复没有MFT结构的文件？

Answer 1

一知半解是件危险的事。让我们看看，正确的做法应该是把数据拿出来前你做了一个非常低级的操作。“智能”工作流程是使用 livecd 取出你需要的数据，对它进行病毒扫描（或几次），然后擦除磁盘。

您想使用 livecd 进行恢复工作，并使用第二个驱动器保存文件。我建议使用 xubuntu livecd，您可以根据需要轻松安装我提到的工具。

我会首先尝试 testdisk（正如 karlson 所提到的），如果失败，再尝试其他替代方案。

现在，如果它是一种常见的文件类型（根据这个检查一下，列表）照相记录 忽略文件系统并恢复文件，以便它可以在严重损坏的文件系统上工作。他们有一个一步步指南。它做文件名混乱，因此可能需要进行一些挖掘才能找到文件（但在这种情况下，文件大小应该是可以暴露的）

Answer 2

有一些工具可以帮助解决这个问题：

1. 测试磁盘-- 我以前用过这个；它对从损坏的 NTFS 分区中恢复非常有用。他们有一个一步步使用指南非常有用。
2. 最前线-- 也是开源的。对这个工具不太了解。
3. 解剖刀——也是一种数字取证工具。

如果你正在使用 Ubuntu，它们都可以在存储库中找到。你可以检查此链接更多细节。

其中一些工具声称它们在 Windows 版本中可用，因此如果有人使用过这些工具，他们可以添加一些与之相关的评论。