如何使用PC-3000 DE. Data Extractor 恢复删除掉的文件

恢复删除文件是一项非常受欢迎的任务。那么，如何使用硬盘驱动器并恢复已删除的文件。我们将在本文中讨论它。
硬盘驱动器删除文件后修改了文件系统的元数据但不直接影响文件本体。这些文件仍然位于硬盘驱动器上，但（操作系统）FS认为这些块是空的，用于写入，FS可以用新用户数据覆盖这些区块。
为客户的硬盘带来更快的更容易恢复被删除的文件。

第一种方式。搜索和分析文件系统元数据。

此解决方案基于已删除文件的可用文件系统元数据，因此我们可以找到这些值。
使用NTFS文件系统分区查看此图像。这里我们有几个文件夹，然后我们删除了其中一个。
删除前：

删除后：

如您所知，NTFS中的每个文件都有“MFT记录”。它包含文件名，创建数据，修改数据等。这些值用于文件系统的文件识别。所有这些记录都具有相同的大小（基本上是1024字节）并保存在驱动器的特殊区域 – 在MFT表（主文件表）中。该区域分配有储备，因此该区域内可以是未使用的区域。

因此，删除“Pics”文件夹后，我们有以下内容：

链接到“Pics”文件夹已被删除;
Pics”文件夹的记录和该文件夹内每个文件的记录在MFT表中标记为free;
已经用于这些文件的空间像空了一样，可以用于新用户数据。

（这不是完整的更改列表，但对于本文来说已经足够了）

因此，文件及其MFT记录仍然在驱动器上，但这些文件的空间及其MFT记录被标记为清空用于新文件。
如果我们按原样打开分区，我们就无法看到此文件夹和已删除的文件，但是如果我们扫描MFT记录，我们可以返回此文件夹，文件内部返回原始分区。
可以通过“扫描MFT”选项在数据提取器中执行此过程。不要忘记标记“显示已删除的文件”选项。

«Scan MFT»选项 – 不是NTFS文件系统唯一的逻辑扫描：

«Scan MFT»和«Scan MFT + INDX»方法 – 读取驱动器的一小部分，因此这个过程需要一点时间。但如果FS不是非常受损，两者都会带来好结果。
«分区分析»和«搜索NTFS结构»方法 – 对复杂情况有效（然后损坏整个分区）。它们被读取整个分区并花费大量时间进行此扫描，但带来了最高质量和完整的结果。

在我们的示例中，每个选项都会带来相同的好结果，并且文件将被恢复。

第二种方式。找不到删除的文件元数据时。

Data Extractor具有每个文件系统的逻辑扫描选项。例如，对于XFS可以使用«分区数据分析»选项。但在我们的示例中，它不会带来结果，因为XFS文件系统在删除文件后清除元数据记录。
如果在删除用户后继续工作，则在NTFS分区上也可以出现相同的情况。新数据可以重写已删除文件的记录。对于这种情况可以使用RAW恢复方法，但我们可以尝试通过以下方法加速该过程：
创建未使用空间的地图，然后在此地图上启动RAW恢复过程。