Förlora viktiga foton, videor eller dokument Oavsiktlig radering, snabbformatering eller fel på minneskortet är vanligare än man tror. När det händer är chocken betydande och känslan av att man har förlorat allt för alltid är ganska överväldigande, men i många fall finns det fortfarande en chans att återställa en stor del av den informationen.
Bland de mest kraftfulla och välkända verktygen För den här uppgiften utmärker sig PhotoRec och Recuva, två program som kan skanna hårddiskar, USB-enheter eller SD-kort och återställa raderade filer. PhotoRec är gratis och öppen källkod, fungerar på nästan alla operativsystem och fokuserar på djup återställning; Recuva, å andra sidan, erbjuder ett mer användarvänligt grafiskt gränssnitt på Windows och kan också vara en bra livräddare för mindre erfarna användare.
Vad är PhotoRec och vad gör det annorlunda?
PhotoRec är ett program för dataåterställning Specialiserar sig på att lokalisera och återställa förlorade filer på alla typer av media: hårddiskar, SSD-diskar, CD-ROM-skivor, minneskort för kameror, MP3-spelare, USB-enheter etc. Även om namnet antyder att det bara är för foton, kan det faktiskt återställa mer än 180 olika filtyper organiserade i cirka 100 familjer (mer än 480 igenkända filtillägg, inklusive Office-dokument, PDF-filer, ZIP-filer, videor och ljudfiler).
Nyckeln till PhotoRec är att det helt ignorerar filsystemet. Den fokuserar direkt på data på disken. Det betyder att den kan fungera även när partitionen är allvarligt skadad, partitionstabellen är korrupt eller om enheten har formaterats om. Istället för att läsa den logiska systemstrukturen (mappar, filnamn etc.) skannar den sektor för sektor efter kända filsignaturer.
En annan viktig funktion är att den alltid fungerar i skrivskyddat läge. PhotoRec skriver aldrig till källdisken eller minnet. Detta minskar risken för att skriva över potentiellt återställningsbar data. Alla återställda filer sparas på en annan plats som du väljer när du startar processen.
PhotoRec distribueras som gratis och plattformsoberoende programvara. Licensierad under GNU GPL v2+-licensen, laddas den ner tillsammans med TestDisk, ett systerverktyg utformat för att återställa förlorade partitioner och göra skadade diskar startbara igen. Denna kombination gör det till en mycket kraftfull lösning för både avancerade hemanvändare och administratörer som ofta hanterar problematiska diskar.
På vilka operativsystem och media fungerar PhotoRec?
En av de stora fördelarna med PhotoRec är dess enorma kompatibilitetProgrammet är tillgängligt för praktiskt taget alla vanliga operativsystem för skrivbordsmiljöer och kan även kompileras på de flesta Unix-varianter, vilket gör det särskilt flexibelt i tekniska miljöer.
Operativsystem som officiellt stöds av PhotoRec (i sina olika versioner) inkluderar:
- DOS och Windows 9x
- Windows NT 4, 2000, XP, 2003 och senare versioner som Vista, 7, 8, 8.1, 10, samt Windows Server 2003, 2008, 2012, 2016
- Linux i flera distributioner
- FreeBSD, NetBSD och OpenBSD
- Sol solaris
- Mac OS X / macOS
När det gäller fysiska medier fungerar PhotoRec med nästan allt som är vanligt. I vardagsbruk: mekaniska hårddiskar (HDD), solid state-enheter (SSD) som betraktas som disketter, CD-ROM, Compact Flash-kort, Memory Stick, SecureDigital/SD, SmartMedia, Microdrive, MMC, USB-minnen, råa diskavbildningar och till och med EnCase E01-forensiska bilder.
Programmet har testats framgångsrikt på en mängd olika bärbara enheter.inklusive iPods och ett flertal digitalkameror från märken som Canon (EOS 300D, 10D), HP (PhotoSmart 620, 850, 935), Nikon (CoolPix 775, 950, 5700), Olympus (C350N, C860L, Mju 400 Digital, Stylus 300), Sony (Alpha DSLR, DSC-P9), Praktica (DCZ-3.4) och Casio (Exilim EX-Z 750), bland andra. I praktiken, om systemet ser enheten som en lagringsenhet, kan PhotoRec vanligtvis fungera med den, och det finns guider för Hämta videor på Android.
På filsystemnivå kan PhotoRec återställa data från de vanligaste formatenFAT, exFAT, NTFS, ext2, ext3, ext4 och HFS+. Allt detta görs utan att förlita sig på den logiska strukturen hos dessa system, utan snarare på en direkt inspektion av de fysiska blocken. Det största undantaget är ReiserFS, som innehåller specifika optimeringar (datainkludering i trädnoder, speciell hantering av små filer etc.) som förhindrar att PhotoRec hanterar det korrekt.
Hur PhotoRec fungerar inuti
För att förstå varför PhotoRec kan återställa data även från allvarligt skadade diskar Det är värt att kortfattat granska hur de vanligaste filsystemen (FAT, NTFS, ext2/3/4, HFS+) lagrar information. De lagrar alla data i block eller kluster med fast storlek, definierade under formateringen. Vanligtvis försöker operativsystemet placera blocken i samma fil sammanhängande för att minska fragmentering och förbättra prestanda.
När du tar bort en fil är det vanligtvis inte själva informationen som raderas.utan snarare kontrollinformationen: namn, plats för det första blocket, storlek, status (upptagen/ledig), etc. I system som ext2/ext3 kan namnet till exempel finnas kvar ett tag, men pekaren till det första blocket går förlorad. Utrymmet där informationen fanns anses då vara ledigt, och systemet kan återanvända det när som helst för andra filer.
PhotoRec börjar med att försöka bestämma block- eller klusterstorleken. från den enhet den analyserar. Om filsystemet inte är helt korrupt kommer den att läsa det värdet från superblocket (i ext2/3/4) eller volymstartposten (i FAT och NTFS). Om den informationen inte är tillförlitlig använder den en mer grundläggande teknik: den undersöker volymen sektor för sektor, letar efter de första igenkännbara filerna och beräknar, baserat på deras distribution, den mest sannolika blockstorleken.
När blockstorleken är känd går PhotoRec igenom volymen block för block.Verktyget jämför innehållet i varje block med en intern databas med filsignaturer. Varje filtyp har en eller flera karakteristiska rubriker som identifierar den; till exempel kan en JPEG börja med sekvenser som 0xff, 0xd8, 0xff, 0xe0 eller 0xff, 0xd8, 0xff, 0xe1. När verktyget hittar en av dessa signaturer antar det att det har lokaliserat början av en fil och börjar kopiera följande block till en ny fil.
Om du stöter på signaturen från en annan fil under återställningenPhotoRec försöker stänga den aktuella filen (och verifierar om möjligt formatets interna konsistens) och skapar en ny fil för den andra upptäckta signaturen. I format med en rubrik som anger storleken (många dokument, bilder etc.) kan den trimma den återställda filen till den längd som anges av rubriken och kassera all överflödig data som inte får plats.
När det gäller kontinuerliga dataströmmar som MP3-filerEftersom filer inte har en fast storlek definierad i rubriken använder PhotoRec själva strömmens interna struktur som en guide och slutar läsa när den upptäcker att den har nått slutet av en giltig sekvens. Om den återställda filen visar sig vara mindre än den borde vara enligt rubriken, kasserar programmet den för att undvika att leverera skadade, värdelösa filer.
För att förbättra återställningen av fragmenterade filerVarje gång PhotoRec slutför en fil kontrollerar den de tidigare blocken för signaturer som inte resulterade i en giltig återställning vid den tidpunkten (till exempel för att filen var för liten). Om den, med mer kontext, nu ser att filen kan rekonstrueras, försöker den igen. Tack vare detta beteende kan den återställa vissa filer som inte är helt sammanhängande på disken.
PhotoRec-installation och första körning
PhotoRec kräver vanligtvis inte komplicerad installationI många fall laddar du helt enkelt ner paketet som innehåller TestDisk och PhotoRec för ditt system, extraherar det till en mapp och kör motsvarande binärfil. I Windows hittar du till exempel en fil som photorec_win.exe som du kan öppna med ett dubbelklick; i Linux och macOS används konsolversionen vanligtvis direkt från terminalen.
På Linux-distributioner baserade på Debian eller UbuntuDet enklaste sättet är att installera testdisk-paketet från de officiella arkiven. Detta lägger också till PhotoRec. Öppna sedan helt enkelt en terminal och kör kommandot:
sudo photorec
När programmet startas öppnas ett textgränssnitt. Du måste navigera med hjälp av tangentbordet (piltangenter, Enter, specifika bokstäver beroende på alternativ). Även om det kan verka lite grundläggande vid första anblicken, kan vem som helst använda det utan alltför stora problem med några få tips. Det är dock inte ett typiskt fönster med knappar och mus, så du måste noggrant läsa vad som visas på skärmen.
Om du använder ett system som Windows 7 eller senare på WindowsDet rekommenderas att köra photorec_win.exe som administratör (högerklicka → "Kör som administratör") för att säkerställa att programmet smidigt kan komma åt alla enheter du behöver analysera, särskilt om det är interna diskar.
Första stegen: välja disk-, partitions- och filtyper
Så snart PhotoRec startar visar verktyget en lista över diskar och minne. som systemet har anslutit: interna hårddiskar, SSD-diskar, USB-enheter, minneskort etc. För att välja den enhet du vill arbeta med, navigera med uppåt-/nedåtpilarna och tryck på Enter när du har valt rätt enhet.
Det är viktigt att korrekt identifiera den enhet som du vill återställa från Data. Du kan använda antingen diskstorleken eller modellnumret bredvid namnet som vägledning (till exempel en Kingston DataTraveler om det är en USB-enhet). Om du väljer fel enhet slösar du bort din tid eller, ännu värre, du kan sluta med att fylla den med onödigt återställda filer.
Efter att du har valt disken kommer PhotoRec att fråga dig om partitionstabelltypen.På PC-datorer är det vanliga alternativet "Intel/PC-partition" för diskar formaterade som MBR eller GPT, men det erbjuder även andra alternativ: EFI GPT, Mac (Apple-partitionskarta), Ingen (opartitionerad media), Sun (Sun Solaris) eller Xbox. På en typisk USB-enhet formaterad i FAT32 skulle du till exempel normalt välja "Intel" och fortsätta.
I nästa steg ser du listan över diskpartitioner Du måste välja partitionen där de raderade filerna fanns. Om ditt fall är enkelt finns det förmodligen bara en partition. Om du vill att programmet ska skanna hela disken (till exempel när partitionstabellen är skadad) kan du välja alternativet "ingen partition" eller "icke-partitionerad media" för att tvinga fram en global skanning.
Flera ytterligare alternativ visas längst ner på skärmen. till exempel "Filalternativ", "Sök", "Alternativ" eller "Avsluta". Om du går in i "Filalternativ" kan du välja vilka filtyper du vill återställa. Som standard har PhotoRec många format valda; om du vill fokusera på ett specifikt format (till exempel bara JPG-foton) är det en bra idé att avmarkera dem alla genom att trycka på "s"-tangenten och sedan bara välja önskade filändelser med hjälp av mellanslagstangenten. Spara ändringarna med "b"-tangenten och gå tillbaka.
Listan över typer som stöds är mycket omfattandeFrån JPG-, BMP-, GIF-, TIFF- eller PSD-bilder till MOV/MP4/3GP-videor, MP3-ljud, komprimerade ZIP-, GZ- eller TAR-filer, DOC-, XLS-, PPT- och PDF-dokument, MDB- eller SQL-databaser, EXE-körbara filer, BKF-säkerhetskopior, ISO-bilder, e-postmeddelanden från vissa klienter, Windows-loggar etc. Filtrering minskar brus och gör efterföljande granskning mer hanterbar.
Avancerade alternativ och expertläge
PhotoRec innehåller ett avsnitt med avancerade alternativDetta är tillgängligt från "Alternativ" längst ner i gränssnittet. Där kan du justera olika parametrar som är utformade för användare som behöver få ut det mesta av verktyget och veta exakt vad de gör.
Bland de tillgängliga alternativen finns parametrar som:
- paranoidett slags brute-force-läge som försöker vara ännu mer grundlig i att rekonstruera filer, på bekostnad av mer analystid.
- Tillåt partiell sista cylinder: låter programmet arbeta med den sista cylindern även om den inte är komplett enligt skivans klassiska geometri.
- Expertlägeaktiverar det så kallade "expertläget", vilket låser upp ytterligare avancerade inställningar som diskgeometri eller manuell blockstorlek.
- Lågt minneDen är utformad för system med lite RAM och minskar strömförbrukningen på bekostnad av viss prestanda.
Om du aktiverar expertläget visas en ny meny som heter "Geometri". där du manuellt kunde ändra värden som antal cylindrar, huvuden, sektorer per spår eller sektorstorlek. I de flesta hemmiljöer behöver du inte röra någonting här; det är bara meningsfullt om du vet exakt vad du gör och behöver justera enhetens detektering av en mycket specifik anledning.
När du återgår till partitionens huvudmeny och väljer "Sök"PhotoRec kommer att be dig ange filsystemtypen: du måste vanligtvis välja mellan "ext2/ext3/ext4" eller "Annat (FAT/NTFS/HFS+/ReiserFS)." Detta påverkar inte det faktum att den ignorerar den logiska strukturen, utan snarare mindre detaljer om hur den tolkar ledigt utrymme, block och andra interna parametrar.
I expertläge, precis innan skanningen påbörjas Du kan bli ställd några ytterligare frågor, till exempel om du vill försöka "avformatera" en FAT-partition (ett försök att återställa data efter formatering), exakt vilken blockstorlek du vill använda, eller från vilken offset analysen ska startas. Om du är osäker är det bäst att acceptera standardvärdena som föreslås av verktyget.
Välj det område som ska skannas och destinationsmappen
En annan viktig punkt är att bestämma om du bara ska skanna det lediga utrymmet eller hela partitionen.PhotoRec erbjuder vanligtvis två tydliga alternativ:
- GratisDen här metoden söker endast efter filer i det utrymme som systemet markerar som ledigt (ej allokerat). Den är snabbare och räcker vanligtvis om den borttagna informationen inte har skrivits över.
- HelDetta analyserar hela partitionen, inklusive både använt och ledigt utrymme. Det är långsammare, men kan vara användbart om filsystemet är allvarligt skadat eller om du misstänker allvarliga fel.
Som en allmän regel är det vettigt att börja med att prova Free.Särskilt i stora enheter, för att spara tid. Om du inte hittar det du letar efter eller misstänker att systemet är allvarligt komprometterat kan du upprepa processen, välja Hela och ha tålamod.
PhotoRec ber dig sedan att välja den mapp där du vill spara de återställda filerna.Detta är avgörande: du bör aldrig välja samma partition som destinationen du försöker återställa data från. Om du gör det kan det leda till att återställningsprocessen skriver över sektorer som fortfarande innehåller användbar information.
Du måste navigera genom katalogträdet med hjälp av piltangenterna.Gå till undermappar genom att trycka på Enter och gå upp en nivå genom att välja "..". När du har valt önskad mapp (helst på en annan fysisk hårddisk eller åtminstone en annan partition), bekräfta genom att trycka på tangenten som programmet anger, vanligtvis "y" eller "C" beroende på version. Skanningen och kopieringen av hittade filer börjar då.
Under processens gång kommer du att se på skärmen Den aktuella sektorn, det totala antalet sektorer som ska analyseras, förfluten tid, en uppskattning av återstående tid och en räknare över återställda filer efter typ visas. Om du behöver stoppa sökningen i förtid trycker du bara på Enter eller tangenten "Stopp". Allt som återställts fram till den punkten sparas i målmappen.
Vad händer med de ursprungliga namnen och mapparna?
En av de punkter som mest förvirrar de som använder PhotoRec för första gången Problemet är att de återställda filerna inte behåller sina ursprungliga namn eller mappstruktur. Istället skapar programmet numrerade kataloger (recup_dir.1, recup_dir.2, etc.) och genererar generiska namn som f1234567.jpg, enbart baserat på ordningen och typen av filer som hittas.
Detta är inte en brist eller en engångsbegränsning, utan en direkt konsekvens av hur det fungerarPhotoRec förlitar sig inte på systemets filsystemstabell, utan snarare på rådatasignaturerna som lagras på disken. Eftersom filmetadata (namn, ursprunglig sökväg, behörigheter etc.) vanligtvis är det första som förloras när en fil raderas, har programmet helt enkelt inget tillförlitligt sätt att rekonstruera den informationen.
Fördelen med denna metod är att den möjliggör dataåterställning även i extrema situationer. (formaterade partitioner, oåterställbara filsystem etc.), men nackdelen är att du då måste granska manuellt vad som har återställts för att hitta det du faktiskt är intresserad av. På mycket stora volymer med många filer kan detta vara ganska mödosamt.
Om det du behöver är att behålla den ursprungliga mappstrukturen och namnenPhotoRec är inte det ideala verktyget till sin natur. I sådana fall är det oftast bättre att använda program som läser partitionens logiska struktur (MFT i NTFS, katalogträd etc.), såsom Recuva, R-Studio, Disk Drill eller annan kommersiell programvara som försöker rekonstruera kompletta hierarkier så länge filtabellen inte förstörs helt.
Vilken effektivitetsnivå kan PhotoRec erbjuda?
Framgångsgraden för PhotoRec varierar kraftigt beroende på situationenDet finns ingen 100% garanti med detta eller något annat verktyg, men flera faktorer kan identifieras som direkt påverkar sannolikheterna:
- FiltypÄven om PhotoRec från början fokuserade på fotografier, känner det nu igen över 480 olika filändelser. Det är särskilt effektivt med bilder, videor och andra multimediafiler i vanliga format, men det hanterar även Office-dokument, PDF-filer, ZIP-filer med mera.
- Filsystem och enhetsstatusDet fungerar mycket bra på FAT, NTFS, exFAT, ext2/3/4 och HFS+. Om filsystemet är allvarligt skadat kan dess signaturbaserade metod göra hela skillnaden. På diskar med fysiska skador eller allvarligt dåliga sektorer begränsas dess kapacitet av själva hårdvaran.
- DataöverskrivningOm du fortsatte att använda hårddisken efter att du tagit bort filerna (sparade nya foton, kopierade filer, installerade programvara etc.) är det troligt att några av dessa block har skrivits över. När det händer förloras det tidigare innehållet oåterkalleligt för all programvara.
- Formatering och omformateringEfter en snabb formatering finns det vanligtvis fortfarande en hel del tid kvar att återställa en del data. Men om du har utfört upprepade fullständiga eller lågnivåformateringar minskar chanserna kraftigt, och det kan bli praktiskt taget omöjligt att rädda något användbart.
- Fysisk skadaPhotoRec kan inte reparera skivor med mekaniska problem, elektroniska fel, skadade huvuden etc. I dessa fall kan endast ett specialiserat laboratorium som öppnar skivan i ett renrum och utför en fysisk extraktion försöka sig på något.
- SplittringNär filer är kraftigt fragmenterade på disken är det mycket svårare att rekonstruera dem helt. PhotoRec har vissa mekanismer för att återställa spridda fragment, men det är inte idiotsäkert, och ibland kan man få skadade eller ofullständiga filer.
Under rimliga förhållanden (nyligen raderad och liten efterföljande användning av hårddisken)PhotoRec kan återställa en överraskande mängd data. Men det är inte magi: ju längre tid och ju mer aktivitet som har gått sedan raderingen, desto lägre är framgångsgraden. Därför är det bäst att omedelbart sluta använda den drabbade enheten och, om möjligt, arbeta med en klonad avbildning av disken istället för originalet.
Vanliga frågor om PhotoRec
Kan PhotoRec återställa data från en fysiskt skadad disk? Nej. Om problemet är fysiskt (konstiga ljud från disken, helt oläsliga sektorer, mekaniskt fel, utbränd elektronik etc.) kommer ingen programvara att åtgärda det. PhotoRec kan bara fungera när operativsystemet fortfarande kan läsa, även delvis, det logiska innehållet på enheten. Vid allvarlig fysisk skada och verkligt viktig data är det klokt att använda en professionell dataåterställningstjänst.
Är det möjligt att återställa filer från diskar som har formaterats flera gånger? Med varje format minskar chanserna till återställning, särskilt med fullständiga format som skriver om sektorer. PhotoRec kan återställa något om formaten var snabba och området som innehåller data inte skrevs över, men i många fall blir återställning mycket svår eller helt enkelt omöjlig.
Fungerar PhotoRec på krypterade hårddiskar? Du kan bara återställa något om volymen är dekrypterad vid tidpunkten för skanningen – det vill säga om du angav nyckeln eller inaktiverade kryptering. Om disken är helt krypterad och PhotoRec inte har åtkomst till den dekrypterade informationen, kommer allt den ser ett block med slumpmässig data utan någon igenkännbar signatur.
Vad händer om återställningsprocessen avbryts? Om du avbryter skanningen halvvägs slutar PhotoRec helt enkelt söka efter fler filer, men behåller alla filer som redan sparats i målmappen. Senare kan du köra programmet igen och upprepa skanningen; men eftersom den ursprungliga skanningen inte slutfördes kanske vissa potentiellt återställningsbara filer inte har upptäckts.
Återställer PhotoRec de ursprungliga namnen? Nej. Som redan nämnts arbetar programmet direkt med underliggande data och inte med katalogstrukturen, så det genererar bara generiska namn baserade på ordning och typ (till exempel f1698453.jpg). Organisationen i numrerade mappar, recup_dir.xxx, har inte heller någon relation till den ursprungliga hierarkin.
Är det säkert att använda PhotoRec på en disk med viktig information? Ja, så länge du respekterar den gyllene regeln att inte skriva något till källdisken. PhotoRec använder disken i skrivskyddat läge, så den kommer inte att ändra innehållet på den enhet du försöker återställa. För att ytterligare minimera riskerna skapar många tekniker först en fullständig diskavbildning (en sektor-för-sektor-klon) och arbetar alltid med den kopian, och lämnar originalet orört endast som en sista utväg.
Recuva och andra alternativ till PhotoRec
Även om PhotoRec är mycket kraftfullt, är det inte alltid det bekvämaste verktyget.Speciellt om du inte är bekväm med textbaserade gränssnitt eller om du behöver underhålla din mappstruktur. Som tur är finns det flera alternativ med olika tillvägagångssätt som kan komplettera den eller fungera som en reservplan om PhotoRec inte uppfyller dina behov.
EaseUS Data Recovery Wizard är en kommersiell lösning Den erbjuder en begränsad gratisversion och en mer omfattande betalversion. Mot betalning får du ett polerat gränssnitt, steg-för-steg-guider och avancerade funktioner för att återställa raderade filer, förlorade partitioner, data efter operativsystemkrascher, attacker med skadlig kod och mer. Den låter dig förhandsgranska vad som kan återställas innan du betalar, vilket hjälper dig att avgöra om investeringen är värd det.
Disk Drill är ett annat välkänt alternativ, tillgängligt för Windows och macOS.Den kombinerar ett modernt gränssnitt med snabba och djupgående analysalgoritmer och erbjuder även funktioner för säkerhetskopiering och dataskydd. Dess gratisversion låter dig skanna och återställa en begränsad mängd data, tillräckligt för att kontrollera om filerna du behöver finns där innan du överväger att köpa en licens.
TestDisk, från samma författare som PhotoRec, har en annan metod.Det här verktyget är utformat för att återställa partitioner och skapa startbara diskar som har blivit oåtkomliga på grund av skador på partitionstabellen eller startsektorn. Även om det också kan hjälpa till att kopiera filer från skadade partitioner, är dess primära syfte inte så mycket att återställa enskilda filer som att rädda diskens struktur och återställa den till fungerande skick.
Det finns också många andra verktyg på marknaden såsom R-Studio, GetDataBack, PC Inspector, FlashPhoenix, MediaRecover och många andra, vanligtvis betalda tjänster, som erbjuder mycket avancerade lösningar för professionella miljöer. Vissa är särskilt kraftfulla för RAID-återställning, andra för forensiska miljöer, och så vidare. Att välja det ena eller det andra beror på graden av datakritik, den tillgängliga budgeten och om problemet är logiskt eller fysiskt.
Helst bör du i ett komplicerat hemscenario kombinera flera program.Prova först gratislösningar som PhotoRec eller Recuva, och om ingen av dem fungerar och informationen verkligen är värdefull, överväg att uppgradera till professionell programvara eller till och med en specialiserad labbtjänst. Varje verktyg kan hitta filer som ett annat missar, så det är värt att prova mer än ett.
Kort sagt, återställa raderade filer med PhotoRec, Recuva och liknande tjänster Det är en kapplöpning mot tiden och mot dataöverskrivning; om du reagerar snabbt, slutar använda den berörda enheten och använder dessa verktyg i en viss ordning, är chansen att spara viktiga foton, dokument eller videor högre än du kanske tror.
