数据恢复的基本原理

数据恢复

当存储介质出现损伤或由于人员误操作、操作系统本身故障所造成的数据看不见、无法读取、丢失。工程师通过特殊的手段读取却在正常状态下不可见、不可读、无法读的数据。

数据恢复（Data recovery）是指通过技术手段，将保存在台式机硬盘、笔记本硬盘、服务器硬盘、存储磁带库、移动硬盘、U盘、数码存储卡、Mp3等等设备上丢失的电子数据进行抢救和恢复的技术。

数据恢复的基本原理

当前WINDOWS操作系统中主要的文件系统是NTFS。其删除操作后数据恢复的原理是：首先查找出MFT表中做删除标记的表项，依据MFT表中提供的文件数据流属性列表信息，找出数据区中文件内容所在簇空间（即运行位置），从而实现恢复操作。其中MFT 是一个映射磁盘中储存的所有对象的索引文件。在 MFT 中，NTFS 磁盘上的每个文件（包括 MFT 自身）至少有一个映射项。MFT 中的各项包含如下数据：大小、时间及时间戳、安全属性和数据位置。

这种数据恢复方式有一个重要前提，就是保证被删除文件数据没有被覆盖。因为根据磁盘的存储特性，一个文件被标记上删除标志后，他所占用的空间在有新文件写入时，将有可能被新文件占用覆盖写上新内容。这时删除的文件名虽然还在，但其指向数据区的空间内容已经被覆盖改变，恢复出来的将是错误内容。

格式化操作和删除相似，并没有对数据区做任何操作，数据还存在，因此借助数据恢复知识和相应工具，数据仍然能够被恢复回来。对于克隆、系统还原等造成的数据丢失也是这样，只要重要数据区未被覆盖，就可能被恢复。