삭제 된 파일을 삭제 취소 된 것으로 표시

내 하드 드라이브의 용량은 500GiB입니다. 실수로 150GB의 데이터가 삭제되었습니다. 그 사건 이후에 드라이브에 바이트를 쓰지 않았으므로 내 데이터가 보장됩니다. Recuva와 같은 앱을 사용해 보았습니다. 모든 앱은 데이터가 있다는 것을 보여주고 다른 위치에 데이터를 저장할 수 있지만 문제는 그렇게하고 싶지 않습니다.

파일이 MFT에서 삭제되지 않은 것으로 다시 표시되기를 원합니다. 이 목적으로 사용할 수있는 앱이 있습니까? 많은 것을 검색했지만 아무것도 찾지 못했습니다. MFT에서 삭제 된 것으로 파일을 표시 해제 할 수 있습니까? 아니면 누락 된 것이 있습니까? 수동으로 수행하는 방법을 알고 있다면이 앱을 작성할 수 있습니다.

NTFS 볼륨 에서 파일을 삭제하는 것은 1 비트를 뒤집는 것만 큼 간단하지 않습니다. 삭제 된 파일과 삭제되지 않은 파일의 차이는 MFT에서 단지 1 비트이지만 스트림으로 저장된 파일의 내용을 복구하고 삭제 된 섹터를 사용하여 다시 플래그를 지정해야합니다. 섹터 당 하나의 비트를 포함하는 $ Bitmap 의사 파일, 각 비트는 해당 클러스터가 사용되는지 (할당되는지) 사용 가능한지 (할당 가능한지)를 나타냅니다.

작업의 복잡성은 모든 복구 도구가 손상된 볼륨에 쓰지 않는 것을 선호합니다. 예를 들어 $ Bitmap에서 섹터를 사용 된 것으로 표시하면 해당 섹터가 다른 파일에서 이미 사용 된 경우 교차 체인이 발생할 수 있습니다.

이 기사는 16 진 덤프에서이 문제를 매우 잘 설명했습니다.
Windows '파일 복구'시리즈 : Part 5 NTFS 파일 시스템에서 삭제 된 파일을 수동으로 복구 .

또 다른 기사에는 "삭제 된"비트를 풀도록 수정 될 수있는 프로그램의 소스 코드도 포함되어 있습니다 . NTFS에서 파일 삭제를 취소하십시오 .

그 비트를 뒤집기 위해 MFT를 편집 할 수있는 NTFS 디스크 편집기가 많이 있습니다. 내가 구글을 통해 발견했지만 운 좋게도 사용할 필요는 없었습니다.
WinHex
NTFS 데이터 복구 툴킷
DMDE
프리웨어 활성 디스크 편집기

MFT에서 삭제 된 비트를 취소 한 다음 chkdsk 유틸리티를 사용하여 내용을 복구하는 것이 가능할 수도 있습니다. 이 유틸리티는 섹터가 재 할당 가능한 것으로 잘못 표시된 파일의 섹터 체인을 복구하고 $ Bitmap을 수정합니다.

그러나이 절차로 인해 디스크가 손상 될 가능성이 항상 있습니다.

그렇기 때문에 본인과 본인을 포함한 모든 주석가가 현재 복구중인 제품을 찾지 못했습니다. 디스크를 망칠 가능성은 NTFS로 작업하는 Microsoft 직원이 아닌 사람에게는 너무 많습니다.

가장 좋은 방법은 두 번째 하드 디스크를 가져 와서 파일을 복구하는 것입니다. 하나의 백업 디스크로는 충분하지 않다는 것을 알게되었습니다. 나는 이미 그들의 유일한 백업을 복구하라고 요구하는 몇몇의 친구들이 있었으며, 나는 항상 그들에게 두 개의 백업 디스크를 갖도록 권고한다 (때로는 너무 늦다).

또한 두 백업 디스크 중 하나 이상을 컴퓨터에서 분리해야합니다. 나는 컴퓨터가 자신과 연결된 모든 USB 장치를 잃어버린 경우를 들으면서 소유자에게 한 번의 타격으로 데이터와 백업이없는 상태로 남겨 둡니다.

마찬가지로 어제 말했다 , 당신은 항상 복구 할 수있는 몇 파일이 있는지 육각 / 디스크 편집기를 사용하여 수동으로 그 일을 시도 할 수 있지만, 나는 확실히 그것을 추천하지 않을 것입니다.

몇 분의 연구 와 테스트를 거쳐 결국 파일을 삭제되지 않은 것으로 표시 $MFT했지만 문제는 충분하지 않다는 것 $BITMAP입니다. 에서 사용중인 클러스터를 표시해야합니다 . 이 과제는 너무 어려워서 찾아 내기에 너무 많은 일이있어서 결국 포기했습니다. chkdsk /f불일치를 감지하고 클러스터를 올바르게 표시하는지 확인하기 위해 실행 하는 것을 고려 했지만 테스트 한 NTFS 파티션에 손실하고 싶지 않은 다른 파일이 있기 때문에 너무 위험하다고 생각했습니다.

또한 NTFS *는 FAT *와 달리 파일에 대한 클러스터 체인을 파일에 저장 $MFT하므로 복구 시점에 전체 클러스터 체인에 액세스 할 수 있다고 보장 할 수 없으므로 조각난 파일을 복구 할 수 없게됩니다. . 당신이 실수로 삭제 후 드라이브에없는 쓰기 아무것도했다하더라도, 그것은 윈도우하지 않았다 것을 의미하지 않습니다. 예를 들어,이 기록 수도 \System Volume Information특히, 섀도 복사본 / 이전 버전의 서비스가 실행됩니다.)

분명히 수동 복구는 실제로 해결책이 아니며 귀하의 질문에 대한 답변이 아니므로 주석으로 만 게시했습니다. 슬프게도, 내가 한 모든 검색이 비어 있고 귀하의 질문에 대한 짧은 대답은 다음과 같습니다. 아니오, NTFS 볼륨에서 파일을 삭제되지 않은 것으로 표시 할 수있는 공개 프로그램이 없습니다 .

(드라이브로 멋진 작업을 수행하고 파일을 복구하고 필터를 통해 원시 데이터를 제시하여 구조 등을 보여줄 수있는 값 비싼 포렌식 프로그램이 있습니다. 원래 드라이브 수정)