NTFS：仅通过取消标记删除状态来恢复已删除的文件（不将文件复制到另一个驱动器）

Question

我正在寻找一种解决方案来恢复 NTFS 卷上已删除的文件。没有新文件写入磁盘，因此所有文件的状态都是“优秀”。但我没有存储空间来将已删除的文件复制到另一个卷。是否有一个程序可以简单地取消标记文件或目录的删除状态而无需复制它？我尝试过的所有程序都希望复制文件。

感谢您的帮助。

格雷茨，埃尔维努斯

Answer 1

我的取证技术有点生疏，但我认为这是不可能的。文件恢复程序的工作原理是在低级别扫描硬盘以查找文件的页眉和页脚。

它不知道（也不可能知道）的是该文件在文件系统中的位置。没有“删除”标志 - 最简单的理解方式是将硬盘比作一本书，将文件比作章节。

操作系统已从索引和目录中删除所有引用，删除章节标题并撕掉页面。因此，虽然文本仍然存在，但您无法知道该章节的名称或它在书中的位置。

其次，数据恢复的第一条规则是，你永远不要曾经写入您正在恢复的驱动器。