恢复已被覆盖的已删除文件

恢复已被覆盖的已删除文件

我在具有 128GB SSD 且格式化为 APFS 的系统上使用 Mac OS Ventura。

大约一个月前,我从垃圾箱中删除了一个 PDF。

我使用了 EaseUS 的试用版,它能够恢复文件。但是,由于它是试用版软件,我无法下载。有一个预览,我一直点击它。我当时想也许只是截取预览的屏幕截图。

然后预览就停止加载了。不确定这是功能限制还是由于我预览了太多次导致文件丢失。

在这期间,我还运行了其他几个数据恢复软件,试图下载实际文件。PhotoRec 就是其中之一。使用 PhotoRec 时,我的磁盘空间不足,因此不得不清除其结果。

最后,我不得不关闭 EaseUS(它警告我,由于覆盖,我可能会丢失数据)。

PhotoRec 和其他软件无法获取 PDF。

然后我尝试了 EaseUS 的非试用版,但不幸的是它再也找不到 PDF 了。

我又运行了几次,然后又尝试了 Disk Drill。没有成功。

它是永远丢失了还是有某些“更好的软件”可以找到它?

答案1

虽然您可能能够看到文件名和大小,但这并不意味着您将能够恢复任何实际数据。文件系统元数据在文件系统中的存储方式与实际文件数据不同,并且受不同保留期限和模式的影响。

文件数据可能已被覆盖,但恢复数据还有一个更大的问题,那就是您正在使用 SSD。

SSD 具有磨损均衡算法,该算法在计算机使用的文件系统以下的级别重新排列数据,以充分利用 SSD 上有限的写入周期。磨损均衡本身不一定是个问题,但计算机操作系统可以使用一种工具来帮助磨损均衡器:TRIM 命令

使用 TRIM,操作系统可以告诉 SSD 哪些块不再包含需要保留的数据。曾经包含数据并已发出 TRIM 的块基本上计划重置为空白状态,全为 1 或全为 0,具体取决于 SSD。实际擦除可能会在几小时或几天后发生,因为 SSD 控制器会在空闲时间擦除和回收块。

执行过 TRIM 的块甚至可能不会在命令运行后立即返回原始数据。SSD 控制器可能会识别出它已被告知该块是空白的,因此它不需要从 NAND 闪存中实际读取任何实际数据。它很可能只是返回一个归零数据块。

尽管如此,简单地清空垃圾桶可能会或可能不会立即使数据无法恢复,因为大多数现代操作系统似乎按计划运行 TRIM,我不知道 MacOS 的情况,但 Windows 和 Linux 通常按每周计划运行它。Ask Different 上的答案这表明 MacOS 每次启动时都会运行 TRIM,因此如果您每晚都关闭计算机,那么第二天早上就可能失去恢复的可能性。或者,文件系统也可以在每次删除文件后直接发出 TRIM 命令,这意味着在清空垃圾箱后将无法恢复。

对于任何类型的数据恢复来说,一个月的时间可能都太长了。如果操作系统没有使用 TRIM,那么数据可能已经被覆盖,无法恢复。如果操作系统确实使用 TRIM,那么在操作系统告诉驱动器回收数据块的那一刻,数据很可能已经无法恢复。

您仍然可以看到文件名和大小的原因是,如上所述,这种元数据由文件系统本身处理,目录中的文件列表可以保存在一起。目录最容易被认为是包含其他文件列表的特殊文件,并且该文件最容易通过简单地将新项目附加到其中来处理。当文件被删除时,条目会被标记为“已删除”,但该文件的元数据可能在一段时间内不会被完全删除或覆盖。更改目录“文件”中的一两个字节(标记为已删除)并将其写回比读入、移动整个数据块以删除现在已删除的文件然后将其写回要快得多,尤其是在删除大量文件时。当性能更重要时,像这样的懒惰编辑在文件系统中非常常见,并且给人一种错误的印象,即您的数据可能可以恢复,而实际文件数据早已丢失。

答案2

大约一个月前,我从垃圾箱中删除了一个 pdf。

删除的文件会在您的系统中保留很长时间,这可能会被覆盖很多次。

目前来说,恢复一个月前删除的文件是没有希望的。

它消失了。

答案3

听起来是这样的大概永远丢失了,尽管我不能保证这一点。唯一能完全确定的方法是彻底查看驱动器的副本,划掉绝对不是您的 PDF 的所有内容,然后看看是否还有剩余。

请注意,您使用驱动器的次数越多,它被覆盖的可能性就越大,而且您似乎使用它很多次,安装了新软件,用恢复的照片填满了整个驱动器(因此,覆盖了所有不是恢复的照片),并且让计算机开机一个月,并运行通常的后台进程。因此,我认为机会不大。


您已经知道了为什么如果您不小心删除了某些内容,您需要立即关闭计算机(尽可能快;拔掉插头或按住电源按钮,而不是关掉它)。这最大限度地增加了文件仍然存在的可能性。下次记住这一点。

然后,您将整个驱动器安全地复制到更大驱动器上的文件上,这样它就不会被覆盖。然后复制复制一份,然后您就可以随意处理第二份副本,因为原始驱动器数据仍在第一份副本中,所以您所做的任何操作都可以撤消。您可能不知道如何执行此操作(尤其是如果驱动器不可移动),但没关系 - 将其交给专业人士 - 如果这是一项简单的工作,他们可能会收取约 100 美元的费用。


您还发现了人们为什么建议进行备份,也就是说,将所有文件复制到单独的更大的驱动器上(但比这更聪明一些)。

Apple 有一个称为 Time Machine 的系统可以帮你管理这些;我对此了解不多。如果你一直在使用 Time Machine(这需要你有另一个驱动器,定期将其插入计算机并告诉它进行备份),你可以访问你的旧文件使用 Time Machine 软件。

答案4

...我在使用 PhotoRec 时磁盘空间不足...

它是永远丢失了还是有某些“更好的软件”可以找到它?

您已丢失该文件。

也就是说,如果你将文件恢复到删除文件的设备上,但磁盘空间不足,则恢复文件会覆盖所有空白空间。任何未能恢复的内容都将彻底丢失。

相关内容