用TestDisk从NTFS中恢复删除的文件

From CGSecurity
Jump to: navigation, search

En.png English Cn.png 中文 De.png Deutsch It.png Italiano Ro.png Română


这个例子将会引导您通过 TestDisk 一步一步地从NTFS中恢复已经删除的文件。 当一个文件被删除之后,它并不会马上完全消失,它的数据仍然会留在磁盘上。只要没有新的数据盖写(overwrite)到您丢失的文件上,TestDisk 就能将它恢复出来。

您需要注意以下几点:

  • 不要接着使用误删除数据的媒体 (硬盘, U盘, ...) 。也就是说,直到数据恢复过程完成之前,请不要仍然往媒体写入数据(因为这有可能盖写您需要的数据)。
  • 非常建议您把需要的数据恢复到另外的媒体上,至少也是另外一个文件系统。
  • 如果需要搜寻的文件仍然没有踪影,那请尝试一下 PhotoRec 。 PhotoRec 是一个 基于signature 的文件恢复工具,并且或许能够在别的方法都不奏效的情况下恢复您的数据。

开始恢复

  • 选择 Advanced
Ntfs select advanced.png


  • 选择留有删除文件的分区,然后选 Undelete
Ntfs select undelete.png

NTFS 文件恢复

TestDisk 会为已删除的文件扫描 MFT 入口。 TestDisk 找到的被删除的文件均会被列出。

Ntfs undelete select file.png


选择要恢复的文件,然后按 'c' 来拷贝这个文件。

选择恢复文件的保存位置

请选择一个目标位置来存放恢复出来的数据。

Ntfs undelete copy.png

恢复完成

当 NTFS 文件恢复过程结束的时候,就可以退出了(选 Quit)。

Ntfs undelete done.png


为了最大程度地确保安全, TestDisk 并不会尝试 取消擦除(unerase) 文件,而是让您拷贝您想要恢复的文件到另一个分区或者磁盘。 不过千万要小心! 不要往留有待恢复数据的文件系统里写入任何数据 - 新的文件可能会盖写您需要的文件。

TestDisk 可以恢复(反删除):

如果要找的数据仍然没有踪影,您可以尝试一下 PhotoRec 。 PhotoRec is a signature based file recovery utility and may be able to recover your data where other methods failed.