Відновлення файлів із образу диска
Образ диска — це побайтова копія картки або флешки, і видалені файли досі містяться всередині: видалення у FAT перезаписує один символ імені та звільняє ланцюжок, залишаючи початковий кластер і розмір на місці. Цей інструмент зчитує їх назад, а там, де файлової системи вже немає повністю, карвує файли за сигнатурами — перевіряючи кожен результат перед видачею.
Побайтова копія: dd у Linux і macOS, Win32 Disk Imager або USB Image Tool у Windows. Працюйте з копією, а не з оригіналом.
Інструмент визначає, що всередині: файлову систему, активні файли, видалені записи та які з них ще можна відновити.
За каталогом — повертаються імена та папки. За сигнатурами — файли знаходяться навіть там, де каталогу вже немає.
Браузери на основі Chromium зберігають прямо до вибраної папки; решта отримують архів. Файли, що не пройшли перевірку, зберігаються окремо.
Поверніть видалені файли з дампу картки або флеш-накопичувача
Що варто знати перед початком
- Інструмент працює з ОБРАЗОМ, а не з самим накопичувачем. Спочатку створіть образ — dd у Linux і macOS, Win32 Disk Imager або USB Image Tool у Windows — і працюйте з копією. Повторне читання несправного накопичувача може остаточно його знищити.
- Видалений файл відновлюється за умови, що його фрагменти розташовані в одному неперервному блоці. Це справджується майже для всього, що записує камера, але часто не так на накопичувачі, який роками заповнювався і очищувався — саме тому кожен результат тут перевіряється, а ті, що не пройшли перевірку, зберігаються окремо.
- Якщо кластери видаленого файлу вже зайняті існуючим файлом — дані втрачено. Такі записи позначаються як перезаписані, а не передаються як файл, що не відкривається.
- Образи exFAT і NTFS розпізнаються, але їхні каталоги поки не зчитуються. Карвінг усе одно відновлює самі файли — втрачаються лише оригінальні імена та папки.
