Има ли некој препорака за софтвер кој ги враќа избришаните фајлови со оригиналните имиња, или во оригиналните директориуми или барем ми прикажува како се викале оригиналните директориуми во кои се наоѓале конкретните фајлови ?
100%-но враќање на сите фајлови, нема шанси. Очигледно, кој и да го форматирал, ги избришал само MFT табелите (simple/fast format, како што прават повеќето програми за форматирање), па затоа и можеш да вратиш само дел од фајловите. Реално, нема да може да се вратат сите... освен ако новите фајлови не се запишани на сосема друг дел од HDD-то и ниеден од овие фајлови не е запишан во секција каде што стоеле претходните фајлови. Шансите ова да се случи се... неверојатно мали.
Можно е да ги вратиш назад фајловите со file name и file structure, но само ако партицијата била избришана и пак креирана, а не и ако и е направен обичен format. Зошто? Па кога се креира нова партиција, се креира и нов MFT. Има шанси новата MFT да не се креира на исто место како и старата, особено ако се користи друг програм за партиционирање од претходно искористениот (оној со кој била креирана претходната партиција, избришаната). Под услов софтверот за партиционирање да не ја запише на исто место новата MFT и под услов ниеден фајл да не е запишан на местото од старата MFT (ова се многу услови, но... ако е „тазе“ форматиран дискот и нема многу податоци запишано на него по форматирањето, можно е да се случи и ова), определени софтвери може да ја вратат назад целата MFT структура, заедно со имиња на фајлови и folder structure, но тоа не значи дека ќе ги вратат и сите фајлови назад. Кратко кажано, програмот ќе знае каде биле запишани фајловите, но ако на тие места има запишано нови фајлови, нема да може да ги врати назад старите.
Најчесто, кога се прави format, не се репартиционира, така да, MFT само се брише (wipe), физички останува на истото место на дискот и не може да се врати назад file и folder структурата... особено не ако на HDD-то, по форматирањето, повторно се инсталира оперативен систем или се запишат некои фајлови (податоци). Практично, при fast format, само се брише MFT, а физички, фајловите сеуште стојат на дискот, но без MFT, оперативниот систем не знае каде се запишани и за него, исто е како да не постојат.
Повеќето програми кои враќаат назад податоци работат на принципот на „наоѓање header-и“. Секој filetype си има определен header. На пример, првите два hex симболи од секој exe фајл се "MZ". Слично важи и за сите останати file types. JPG имаат еден header, MP3 имаат друг, DOC имаат трет итн. Програмот го „чешла“ дискот барајќи определени header-и (затоа кај овие програми најчесто и можете да бирате дали сакате при пребарувањето да се зачуваат MP3, JPG, DOC, PNG или некои други типови на фајлови) и кога ќе ги најде, проверува дали во новата MFT има record за таа локација за тој тип на фајл (тој header). Ако нема, претпостаува дека тоа е header од, на пример, JPG фајл од претходната MFT, го зачувува на локацијата каде што е избран да се зачува (најчесто, друга партиција или друг диск) и продолжува натаму. Од овие причини, скоро невозможно е да се врати назад file и folder структурата од избришана MFT.
Се разбира, скоро невозможно не е исто што и невозможно. Постојат определени специјализирани форензички софтвери кои, колку што знам, ги нема кај нас, најчесто ги поседуваат компании кои се специјализираат во data rescue или евентуално владини институции. Овие софтвери работат на „ептен хардверско“ ниво. Ја читаат магнетизираноста на секој бит од секој сектор во кој е запишана новата MFT и врз база на оваа информација и уште еден куп други информации (искористена глава за запишување и бришење, детални информации за HDD-то од производителот, кои не се достапни на широката јавност и најчесто се плаќаат), предвидуваат дали пред да биде запишан „тој и тој“ бит од новата MFT, во старата MFT на тоа место стоело 1 или 0. Исто така, се анализира и искористениот file system, програмот кој се користел за партиционирање на партицијата (и овие податоци најчесто стојат запишани во определен сектор од партицијата), верзијата на истиот, па со додатни анализи, возможно е скоро целосно да се врати назад страта MFT, а со тоа, и скоро целата file и folder структура. Се разбира, ова не е воопшто евтино, се плаќа по GB.
Споено мислење: [time]28 Јануари 2014, 02:41:24[/time]
Сега го најдов Active Boot Disk, па ќе го испробам во иднина, бидејќи лаптопот повеќе не ми е при рака, а ќе го испробам и GetData Back for NTFS.
GetDataBack најчесто се користи за враќање на податоци од зезнати дискови (и прилично добро си ја врши работата, ми се нашол многу пати
), не од форматирани дискови. Но пробај, ништо не те чини
.
