Восстановление удаленных файлов и папок средствами Windows и программы Auslogics Emergency Recovery

Восстановление удаленных данных стандартными средствами ОС, с помощью специализированных программ на примере программы Auslogics Emergency Recovery

Что делать, если информация все же потеряна – с жесткого диска каким-то образом пропали ценные файлы, либо его логические диски вообще отформатированы или даже удалены? Многие считают, что данные утеряны безвозвратно. Но это не так. Рассмотрим наиболее типичные случаи.

Каким образом происходит удаление файла в DOS или Windows стандартными средствами ОС (минуя, конечно же, корзину)? Хоть удаленный файл и исчезает из видимости, но на самом деле данные о нем сразу не уничтожаются. Допустим, вы удаляете, скажем, файл объемом несколько сотен мегабайт – и это происходит практически мгновенно, чего никак не могло бы случится, если бы ОС затирала все кластеры этого файла. Операционная система просто переименовывает удаляемый файл, добавляя специальную метку в начало имени. После этого файл перестает быть виден - он помечается как удаленный, но сама информация остается на том же месте на жестком диске.

Важное дополнение: хотя данные удаленного файла и остаются на том же месте на жестком диске, но теперь это пространство доступно для записи новых данных по первому же требованию, безо всяких оговорок. То есть если запись на место удаленного файла произошла, то теперь он уже потерян безвозвратно. Если же ничего записано не было, то удаленный файл еще возможно восстановить, воспользовавшись специальными программными средствами.

План открытого урока
Тема: «Восстановление удаленных данных»

Ход урока

Приложение 1.

Теоретические основы восстановления удаленных данных

Простое восстановление данных

Идти к спецам, иль

восстанавливать самому

– вот в чём вопрос.

Итак …

Случилось страшное:

Совершенно неожиданно «исчез» логический диск, или раздел с файловой системой стал отображаться как неотформатированный, «потерялись» отдельные файлы или каталоги, при попытке открыть файл приложение стало выдавать ошибку.

А может быть, Вы просто случайно удалили важные файлы, или отформатировали раздел с нужными данными и поставили на него операционную систему. Ошибка в выборе жесткого диска, при создании таблицы разделов, также достаточно распространённая причина потери информации.

Кто виноват?

В первом случае, перечисленные неприятности произошли из-за появления ошибок в таблице разделов или структурах файловых систем. Это может случиться, например, после некорректного выключения компьютера, сбоев в работе программного и аппаратного обеспечения, или в результате деятельности вирусов. Также, одной из распространенных причин возникновения такого рода ошибок, является частичный выход из строя поверхности диска - появление «бэд-секторов». К сожалению, сейчас это явление не редкость даже для новых жестких дисков, эксплуатирующихся в течение нескольких недель, или даже дней.

Кто виноват в случае потери информации из-за ошибки пользователя, Вы, возможно, догадываетесь…

Что делать?

Если записи на диск не производилось, то данные физически остались на своём месте, но потерялись или исказились сведения об их расположении. Таким образом, требуется определить физическое расположение этой информации на носителе, и считать её оттуда в правильной последовательности.

Обычно вся рабочая информация на компьютере пользователя хранится на жестких дисках. Сами по себе данные на жестком диске не защищены ни от действия других программ, ни от случайных или намеренных команд пользователя, ни от аппаратных сбоев, способных привести к деструктивным последствиям. В результате ценная информация может быть потеряна из-за случайных сбоев программ, действий вирусов, ошибок пользователя или же намеренного уничтожения данных злоумышленником. Во сколько оцениваются потерянные данные – каждый определяет для себя сам. Часто это может превышать стоимость всего компьютера и стоить годов кропотливого труда.

Что делать, если информация все же потеряна – с жесткого диска каким-то образом пропали ценные файлы, либо его логические диски вообще отформатированы или даже удалены? Многие считают, что данные утеряны безвозвратно. Но это не так. Рассмотрим наиболее типичные случаи.

Каким образом происходит удаление файла в DOS или Windows стандартными средствами ОС (минуя, конечно же, корзину)? Хоть удаленный файл и исчезает из видимости, но на самом деле данные о нем сразу не уничтожаются. Допустим, вы удаляете, скажем, файл объемом несколько сотен мегабайт – и это происходит практически мгновенно, чего никак не могло бы случится, если бы ОС затирала все кластеры этого файла. Операционная система просто переименовывает удаляемый файл, добавляя специальную метку в начало имени. После этого файл перестает быть виден - он помечается как удаленный, но сама информация остается на том же месте на жестком диске.

Важное дополнение: хотя данные удаленного файла и остаются на том же месте на жестком диске, но теперь это пространство доступно для записи новых данных по первому же требованию, безо всяких оговорок. То есть если запись на место удаленного файла произошла, то теперь он уже потерян безвозвратно. Если же ничего записано не было, то удаленный файл еще возможно восстановить, воспользовавшись специальными программными средствами.

Похожей выглядит ситуация и при форматировании логического диска. При обычном форматировании заново создается таблица размещения файлов, где теперь указано, что вся поверхность диска пустая. Однако имевшиеся ранее данные при этом намеренно не стираются и остаются на своих местах. Если на их место уже после форматирования не были записаны новые данные, то исчезнувшие в процессе создания нового формата файлы еще могут быть восстановлены с помощью специальных программ. Так же происходит при удалении и создании логических разделов – создается новая таблица разделов, новые диски считаются пустыми, но старая информация большей частью остается на своих же местах, хотя теперь к ней нельзя получить доступ с помощью стандартных средств ОС. Исключением является так называемое низкоуровневое форматирование: при этом вся поверхность жесткого диска обнуляется, данные исчезают навсегда.

Как можно видеть, повторная запись в случае потери данных гораздо опаснее, чем даже форматирование диска. Поэтому, если стало ясно, что данные все же потеряны, ни в коем случае нельзя записывать что-либо на этот же диск, а еще лучше вообще отключить его до тех пор, пока не будут подготовлены специальные средства для поиска и восстановления информации. Особенно уязвим в этом отношении системный диск С. Операционная система постоянно делает служебные записи на системный диск, произвольно выбирая доступное для записи место и затирая этим удаленные файлы. Важную информацию ни в коем случае не рекомендуется хранить на диске С, хотя Microsoft и располагает почему-то по умолчанию папку «Мои документы» всегда именно на этом диске.

Если беда пришла – пропали файлы, не определяется формат логического диска, диск переформатирован, либо не определены или удалены логические разделы, – не стоит впадать в панику. Велика вероятность, что ценную информацию еще удастся восстановить. Как было сказано, для полного уничтожения данных пришлось бы планомерно запортить всю поверхность жесткого диска. Обычно вирусы действуют быстрее и производят лишь поверхностные разрушения. В случае сбоев программной или аппаратной части, если жесткий диск остается физически работоспособным, часто может быть повреждена FAT, но кластеры с информацией пользователя останутся нетронутыми.

Данные на жестком диске можно восстановить с помощью специальных утилит, которые сканируют поверхность, определяя логическую структуру разделов и формат, отыскивают и извлекают потерянные файлы. Конечно, стопроцентной гарантии здесь быть не может, однако в большинстве случаев, при своевременном и правильном подходе, удается восстановить значительную часть потерянной информации. Программу восстановления всегда лучше запускать с другого физического диска, и ни в коем случае не делать никаких записей на диск с потерянной информацией.

Продолжая начатый ранее разговор о программном обеспечении для восстановления потерянных данных на жестких дисках, стоило бы более подробно разобраться со структурой хранения данных, а так же причинах, вызывающих потерю информации, разрушения формата и логического строения дисков. Ведь на самом деле данные могут быть уничтожены по-разному, или точнее будет сказать – разными способами можно потерять доступ к данным, все еще находящимся на жестком диске. Пользователь будет считать данные потерянными, если к ним нельзя получить доступ с помощью стандартных средств операционной системы. Специалист и тот, кто дочитает до конца эту статью, будут чувствовать себя гораздо более уверенно, так как в большинстве случаев сможет восстановить информацию, даже если она недоступна средствами операционной системы. Специальным службам доступны наиболее совершенные программно-аппаратные методы, с помощью которых можно получить доступ даже к намеренно уничтоженным данным.

Рассмотрим логическое строение жесткого диска. Внутри привода жестких дисков находится один или несколько дисков (пластин, блинов), изготовленных из металла, иногда стекла. У каждого диска по две магнитных поверхности (Sides) (в ряде случаев может использоваться лишь одна поверхность диска). Каждая рабочая сторона диска разбита на концентрические дорожки (треки, цилиндры) (Cylinders) по которым позиционируются головки и где находится информация. В свою очередь, каждая дорожка разбита на определенное число секторов (Sectors) по 512 байт. Сектор является минимальным фрагментом, содержащим информацию. При форматировании, по несколько секторов объединяется в кластеры, и для операционной системы минимальным фрагментом является уже кластер. В рабочем состоянии над поверхностями диска движутся считывающие/записывающие головки (Hides). Что бы головка попала к цели, то есть, получила доступ к нужной информации (сектору), ей нужно указать путь в виде номеров (Сторона/Дорожка/Сектор). Современные жесткие диски работают в режиме адресации LBA, которая более оптимальна для восприятия ОС. Логическая структура жесткого диска представленная в виде LBA отличается от физической (по набору Сторона/Дорожка/Сектор), трансляцию выполняет контроллер дискового накопителя. На жестком диске присутствуют пользовательские данные, доступные пользователю и программам, а так же служебная информация, которая служит для обеспечения функциональности жесткого диска.

В самом начале диска, в секторе 0/0/1 находится PT (Partition Table) - таблица разделов и MBR (Master Boot Record) - главная загрузочная запись. Когда мы разбиваем жесткий диск на логические разделы (логические диски, тома), скажем, с помощью программы fdisk.exe, то мы как раз и создаем в его начале MRB и таблицу разделов. Таблица разделов показывает, на какое число логических дисков разбито физическое пространство жесткого диска, определяет их характеристики. (Жесткий диск может содержать всего один логический раздел (диск), занимающий всю его физическую поверхность) Эти данные являются служебной информацией. Обязательным атрибутом каждого логического диска является FAT (File Allocation Table) – таблица размещения файлов (файловая система). FAT создается при форматировании логического диска, например, с помощью программы format.com или средствами операционной системы. Таблица размещения файлов содержит информацию о том, где на диске хранится каждый файл. В начале раздела содержится две копии FAT (FAT1, FAT2). После второй копии FAT расположены секторы ROOT (Root Directory), где содержится описание файлов в корневом каталоге диска. Далее следует область данных (Data area) – та область диска, где хранятся привычные нам данные, восстановлению, в случае необходимости, которых и посвящена данная статья.

Таблица разделов (Partition Table) и таблица расположения файлов (FAT) являются своего рода «географической картой местности», по которой операционная система определяет где и что расположено на магнитной поверхности жесткого диска. Если операционная система потеряет доступ к этой «карте местности», то она попросту ослепнет, не сможет ориентироваться и найти нужную информацию, данные окажутся недоступны. Исходя из этого, становиться понятно, что для того, что бы преградить доступ к информации, не обязательно уничтожать сами данные, достаточно сбить с толку операционную систему, лишив ее служебной информации, и она перестанет ориентироваться на физической поверхности жесткого диска или в области какого-то его логического раздела, – для пользователя эта поверхность окажется совершенно пустой и недоступной. Итак, рассмотрим типичные способы потери данных, наиболее часто случающиеся в практике пользователей ПК.

Разрушение (повреждение) Partition Table и MBR. Излюбленное средство вирусов. Представьте, достаточно испортить относительно небольшой начальный участок диска с информацией о его структуре, как все логические разделы, а значит и данные на них становятся недоступны. Времени для подобной деструктивной деятельности потребуется очень мало, а результат наиболее эффектен – потеря доступа к данным на всей поверхности жесткого диска. Возможны и частные варианты: удаление из Partition Table какого либо одного логического диска, – так система вроде бы и сохраняет работоспособность, но данные на некоторой части жесткого диска недоступны, впрочем, и эта область становится как бы невидима.

При повреждении таблицы разделов, область данных и даже FAT обычно не страдают, сохраняясь в своем первозданном виде. Хорошие утилиты для восстановления данных, как правило, выходят из такой ситуации без особого труда: программа восстановления анализирует структуру данных, определяет FAT, и может извлечь данные практически в полном объеме. В этом случае главное не впадать в панику, не пытаться создавать заново потерянные разделы и вообще, исключить возможность любой записи на пострадавший диск до работы с ним специализированной программы восстановления данных. Имеются отдельные средства, позволяющие восстанавливать на жестком диске отдельные потерянные разделы вместе с данными, содержавшимися в них.

Разрушение (повреждение) FAT. При незначительном повреждении файловой системы, логический диск остается в видимости операционной системы, но может быть потерян доступ к некоторым файлам на нем. При существенном повреждении FAT раздела, операционная система потеряет доступ к логическому диску, так, если бы диск был не отформатирован. Естественно, не станет доступа и ко всем имеющимся на этом логическом диске данным. Этот способ так же любим вирусами, так как позволяет быстро испохабить информацию или преградить доступ к ней, может возникать из-за сбоев ОС, так как FAT постоянно обновляется в процессе работы, нередко происходит из-за аппаратных сбоев, внезапного пропадания питания компьютера. Частный случай: намеренное переформатирование логического диска. Так, пользователь может просто заново отформатировать логический диск, желая скрыть данные на нем или произвести акт вредительства. При этом операционная система видит логический диск, как вполне работоспособный, но совершенно пустой.

При повреждении или уничтожении FAT, переформатировании диска, область данных, как правило, не страдает. Для операционной системы логический диск может быть недоступен или определяться, как пустой, но старая информация остается на своем же месте. Здесь главное не производить никаких записей на логический диск, особенно, когда диск переформатирован заново и доступен для действий ОС. Данные станут потеряны навсегда лишь тогда, когда поверх них будет записана новая информация. Опять же, утилиты для восстановления данных в большинстве случаев могут корректно извлечь данные с логических дисков, у которых повреждена файловая система или они отформатированы заново.

Удаление данных стандартными средствами ОС. В Windows по умолчанию удаляемые файлы переносятся в корзину, и какое-то время хранятся там, откуда могут быть восстановлены пользователем – мы не будем рассматривать этот банальный случай. Допустим, вы безвозвратно удалили файлы средствами ОС (удерживая кнопку Shift или очистив корзину). Что происходит с файлами? Здесь нужно принять во внимание, что даже очень большие файлы на вид, как бы удаляются практически мгновенно, чего никак не могло бы произойти при физическом затирании всей занимаемой ими поверхности диска. На самом деле файлы не стираются, – они помечаются ОС, как удаленные и продолжают существовать на том же месте. Операционная система просто добавляет в название удаляемого файла специальные символы, теперь он считается несуществующим для пользователя, хотя и видим ОС. Пространство, занимаемое файлом, помеченным как удаленный, считается пустым и может в любой момент использоваться ОС по своему усмотрению, то есть на него может быть осуществлена новая запись. Специальные программы могут восстанавливать файлы, помеченные ОС, как удаленные, если на их место еще не произведена новая запись.

Выше описаны наиболее распространенные причины потери доступа к информации, с которыми пользователи сталкиваются в подавляющем большинстве случаев. Конечно, возможны их комбинации, а так же и более разрушительные способы поражения информации. Скажем, на жестком диске можно разрушить или заменить файловую систему и таблицу разделов одновременно, но это еще не значит, что к информации в области данных доступ потерян навсегда. Программы для восстановления данных анализируют структуру оставшихся данных, по разрозненным данным определяют параметры файловой системы, из раздельных фрагментов собирают целостные файлы и извлекают их на другие носители. Как они это делают? – это, наверное, известно лишь  разработчикам подобных программ, вряд ли такими знаниями кто-то захочет делиться просто так.

Как уже было отмечено, данные, к которым потерян доступ, очень легко уничтожить навсегда, произведя самую обычную запись поверх них новой информацией. Способы тотального уничтожения информации мы также рассмотрим – в конце статьи. Никогда ничего не пишите на пострадавшие диски, сначала воспользуйтесь специальными программами для восстановления информации.

Приложение 2.

Задание

1. Удалить папку Копии документов, после чего очистить содержимое Корзины.

2. Восстановить папку Копии документов, с помощью программы Auslogics Emergency Recovery.

Пример выполнения задания

1. Удаление папки:

   1. Выделить папку Копии документов;

   2. Переместить с помощью мыши на изображение Корзины на Рабочем столе;

   3. очистить содержимое Корзины.

2. Восстановление папки:

   1. Запустить программу Auslogics Emergency Recovery через меню Пуск – Программы – Auslogics - Emergency Recovery - Auslogics Emergency Recovery или с помощью ярлыка на Рабочем столе.

   2. Выполнить настройку программы, следуя инструкциям на экране:

      1. 

      2. 

      3. 

      4. после чего переходим в главное окно программы.

   3. 
      Выбираем Жесткий диск, на котором находились удаленные файлы и щелкаем по кнопке «Сканировать».

   4. Переходим в папку, содержащую удаленный файл (D:\ПОВТ-11) и щелкаем по кнопке «Восстановить»
      

   5. Устанавливаем переключатель в поле «Восстановить в другую папку» и щелкаем по кнопке «Далее». В появившемся диалоговом окне «Обзор папок» необходимо указать папку, куда будет восстанавливаться удаленный файл.
      

1. Убираем галочку в поле «Восстановить все файлы» и щелкаем по кнопке «Начать»

1. После закрытия диалогового окна нужно перейти в папку, в которой находится восстановленный файл.

2. Открываем восстановленный файл с помощью соответствующей программы.

Самостоятельно выполнить следующие задания:

1. Удалить папку Абитуриенты на диске D, после чего очистить содержимое Корзины.

2. Запустить программу EasyRecovery с помощью ярлыка на рабочем столе.

3. Исследовать интерфейс программы EasyRecovery.

4. Найти:

   1. файлы формата xls, удаленные с диска D;

   2. файлы формата mp3, удаленные с диска С;

   3. файлы формата txt, удаленные с диска D;

   4. файлы формата swf, удаленные с диска D;

   5. файлы, удаленные 01.12.2008 с диска D.

5. Восстановить удаленные файлы.

6. Проверить корректность восстановления файлов, открыв восстановленные файлы в соответствующей каждому типу файлов программе.

7. Создать отчет о проделанной работе.

10