Odzysk zaczyna się od zatrzymania zapisu. Program stawiasz na innym dysku. Wyciągnięte pliki lądują na trzecim. Źródło zostaje do odczytu.
Recuva
Recuva (Piriform) jest prostym undelete. Kreator, Kosz, skan sygnatur. Trafia, gdy wolumen NTFS albo FAT jest zdrowy, plik skasowano niedawno, a klastry nikt nie nadpisał. Dostajesz listę, zaznaczasz, kopiujesz gdzie indziej.
Kończy się w miejscu, w którym znika litera dysku, tablica partycji albo boot sektor. Nie otworzysz w niej obrazu z ddrescue jak w edytorze i nie złożysz drzewa z uszkodzonego $MFT.
DMDE
DMDE (DM Disk Editor) jest edytorem dysku. Otwiera dysk fizyczny albo plik obrazu. Szuka zgubionych partycji, skanuje NTFS, FAT, exFAT i ext, pokazuje surowe sektory, gdy metadane kłamią.
Sięgasz po niego, gdy:
- partycja zniknęła albo wolumen poszedł szybkim formatem
- boot sektor jest do wyrzucenia, a reszta klastrów jeszcze leży
- pracujesz na obrazie, nie na jedynym żywym dysku
- Recuva zwraca pustą listę albo pourywane nazwy przy sprawnym nośniku
Darmowa edycja ogranicza, ile naraz odzyskasz. Większe drzewo katalogów wymaga licencji. Warto to wiedzieć, zanim obiecasz komplet plików.
Różnica
Recuva wyciąga plik, którego rekord wciąż wskazuje na klastry. DMDE składa wolumen, gdy tej mapy nie widać już z Eksploratora.
| Recuva | DMDE | |
|---|---|---|
| Zdrowy dysk, wczorajszy Kosz | do tego jest | da się, zwykle za ciężkie narzędzie |
| Zniknięta partycja, plik obrazu | nie otwiera tego przypadku | tak |
| Podgląd sektorów, ręczna rekonstrukcja | brak | tak |
| Głowice, TRIM, martwy kontroler SSD | nie rusza sprzętu | nie rusza sprzętu |
Żaden z nich nie cofa TRIM i nie czyta NAND z pominięciem kontrolera. Na HDD skasowane klastry często jeszcze leżą na talerzu. Na SSD ten sam Kosz bywa pusty po kilku minutach włączonego systemu. Szerzej o tej różnicy: Odzyskiwanie danych z HDD w DMDE.
Zanim cokolwiek zapiszesz z powrotem na źródło, zrób obraz. Intake i kopia są w arkuszu forensics.