數位證據刪除回復

所有檔案系統在資料刪除時,一般資料均未實際清除而仍存在於貯存體的某個實體位置,因此資料的救援大概可以分為兩種方式進行,第一種方式則主要是將檔案系統有關各檔案索引的資料回復,一般若檔案索引的資料没被覆寫則可以很順利的把檔案回復,若檔案索引的資料已被覆寫則必需到磁碟標示為未使用的實體貯存位置 (Unallocate Area) 去進行資料搶救,此部份則必需根據檔案的格式及分散程度來判斷可以回復的困難度 ,但只要資料還存在於貯存體則就有機會救回。

 

 

 

 

 

more...