Восстановление файлов из образа диска
Образ диска — это побайтовая копия карты или флешки, и удалённые файлы всё ещё внутри неё: удаление в FAT затирает один символ имени и освобождает цепочку, оставляя на месте стартовый кластер и размер. Инструмент читает их обратно, а там, где файловой системы не осталось совсем, вырезает файлы по сигнатурам — проверяя каждый результат перед выдачей.
Побайтовую копию: dd в Linux и macOS, Win32 Disk Imager или USB Image Tool в Windows. Работайте с копией, а не с оригиналом.
Инструмент разберётся, что внутри: файловая система, живые файлы, удалённые записи и какие из них ещё восстановимы.
По каталогу — вернутся имена и папки. По сигнатурам — файлы найдутся даже там, где каталога уже нет.
Браузеры на Chromium сохраняют сразу в выбранную папку, остальные получают архив. Не прошедшие проверку лежат отдельно.
Достаньте удалённые файлы из дампа карты или флешки
Что знать до начала
- Работа идёт с ОБРАЗОМ, а не с самим носителем. Сначала снимите образ — dd в Linux и macOS, Win32 Disk Imager или USB Image Tool в Windows — и работайте с копией. Многократное чтение сыпящегося носителя как раз его и добивает.
- Удалённый файл восстанавливается в предположении, что его куски лежали подряд. Для почти всего, что пишет камера, это правда; на носителе, который годами заполняли и чистили, — часто нет. Поэтому каждый результат здесь проверяется, а не прошедшие проверку лежат отдельно.
- Если кластеры удалённого файла теперь принадлежат существующему, данных уже нет. Такие записи попадают в список затёртых, а не выдаются файлом, который не откроется.
- Образы exFAT и NTFS распознаются, но их каталоги пока не читаются. Карвинг всё равно достаёт сами файлы — теряются только исходные имена и папки.
