Восстановление удалённых файлов: обзор программы Hetman Partition Recover

Для того чтобы понять, почему процесс восстановления данных в принципе возможен, необходимо сначала понять, каким образом файлы хранятся на жестком диске и каким именно образом Windows обрабатывает процедуру удаления файлов. Хотя мы уверены, что большинство наших читателей имеют представление об этом процессе, всё-таки кратко расскажем о нём.

Содержимое файлов хранится в виде байт, записанных на секторах жёсткого диска. Сектора могут располагаться как последовательно, один за другим, так и быть хаотично разбросанными по всему логическому разделу. Расположение секторов зависит от того, какие именно блоки были свободны в момент сохранения файла на диск. Если система не обнаружила на диске непрерывного свободного блока секторов достаточного размера для того, чтобы сохранить файл в виде непрерывной последовательности данных, система будет фрагментировать файл, записывая его отдельные части в свободные блоки.

Чтобы ориентироваться в порядке записанной информации, операционная система создает запись в файловой таблице с указанием того, какие именно секторы на диске занимает содержимое конкретного файла.

В момент, когда пользователь удаляет файл, данные не стираются и не перезаписываются на диске. Содержимое записи о файле в файловой таблице подвергается модификации. Драйвер файловой системы помечает запись как принадлежащую удалённому файлу. Соответственно, все сектора на диске, принадлежащие данному файлу, считаются свободными – теперь Windows может сохранить в это пространство какой-нибудь другой файл. Но пока этого не произошло, можно попробовать восстановить содержимое удалённого файла.

Как работает программа Hetman Partition Recovery

Программа объединяет в себе комплекс алгоритмов для восстановления данных. Hetman Partition Recovery способна решить следующие проблемы: случайное удаление файла (“Shift” + “Del”), утеря данных после очистки Корзины, форматирования или удаления логических разделов, вирусная атака, сбой операционной системы и т.д. Утилита поддерживает файловые системы FAT, NTFS и восстанавливает информацию с жесткого диска, карты памяти, USB флешки.

Hetman Partition Recovery сканируют файловую таблицу в поиске записей файлов, помеченных как удаленные. Проанализировав такие записи, можно узнать точные адреса секторов на диске, в которые было записано содержимое оригинального файла. После быстрой дополнительной проверки – не принадлежат ли эти сектора какому-либо другому файлу, – программа считает данные из нужных секторов и сохраняет их в новом файле.

Что происходит, если в файловой системе не осталось записи, указывающей на удалённый файл? Требуется другой подход – «восстановление файлов по содержимому».

Заголовки многих типов файлов содержат характерные последовательности символов. К примеру, файлы в формате JPEG содержат последовательность символов «JFIF», архивы ZIP начинаются с символов «PK», а документы PDF начинаются с символов «%PDF-».

Для восстановления файла мало найти его начало, нужно также определить его конец. Конец файла можно найти, зная размер и адрес начала файла. Размер файла определяется либо анализом заголовка (ZIP, JPEG, AVI и т.п.), либо считыванием и анализом секторов диска, идущих сразу за заголовком.

Это далеко не полный список алгоритмов, которые использует Hetman Partition Recovery. Анализируя различные структуры (даже частично поврежденные), программа собирает всю возможную информацию воедино и отображает содержимое восстановленных файлов пользователю.

Вы можете бесплатно скачать утилиту Hetman Partition Recovery и оценить её возможности по востановлению файлов. Если вы останетесь довольны работой программы, то для сохранения восстановленного файла, нужно будет купить программу.

На видео ниже представлена небольшая презентация, рассказывающая о принципах работы утилиты Hetman Partition Recovery.