Việc cần làm ngay bây giờ
- Xóa tệp thường chỉ đánh dấu vùng của nó là trống; nội dung vẫn còn cho đến khi có dữ liệu mới ghi vào.
- Khôi phục trước hết đọc các bản ghi hệ thống tệp còn sót, cách này có thể lấy lại tên và thư mục.
- Khi bản ghi đã mất, tìm theo chữ ký nhận ra tệp qua nội dung nhưng không có tên gốc.
- Trên SSD có TRIM và ở những chỗ đã ghi dữ liệu mới, nội dung cũ thường không còn.
Điều gì diễn ra trong một lần quét
Ngừng ghi lên ổ
Mỗi tệp mới, lượt tải hay bản cập nhật đều có thể chiếm chỗ của tệp đã xóa. Khôi phục chỉ có tác dụng với dữ liệu chưa bị thay thế, nên bước này quan trọng hơn mọi cài đặt.
Chọn ổ
Trong Khôi phục tệp đã xóa, chọn ổ đĩa, thẻ nhớ hoặc ảnh đĩa. Việc quét chỉ đọc nên nguồn không bị thay đổi.
Đọc bản ghi hệ thống tệp
Đầu tiên công cụ đọc sổ sách của chính hệ thống tệp, như bảng MFT của NTFS hay mục thư mục của FAT, để tìm các mục bị đánh dấu đã xóa. Các mục này vẫn giữ tên, thư mục, kích thước và vị trí dữ liệu, nên tệp tìm theo cách này trở lại như bản gốc.
Tìm theo chữ ký
Sau đó ổ được đọc từng sector để tìm phần đầu tệp đã biết, như các byte mở đầu JPEG, PDF hay MP4. Cách này tìm được tệp có bản ghi bị xóa, chẳng hạn sau khi định dạng, nhưng tên và thư mục không nằm trong dữ liệu nên kết quả mang tên chung.
Kiểm chứng
Một bộ kiểm tra độc lập thử đọc từng ứng viên. FileFix Ultimate gắn nhãn đã xác minh, khôi phục một phần hoặc đã trích xuất chưa xác minh, kèm độ tin cậy cao, trung bình hoặc thấp.
Lưu sang ổ khác
Bản sao khôi phục được ghi sang ổ vật lý khác. Ghi lại vào ổ nguồn có thể đè lên những tệp khác chưa được tìm thấy.
Tệp đã xóa đi đâu
Hệ thống tệp là một bản mục lục. Với mỗi tệp, nó lưu tên, thư mục, kích thước, ngày tháng và danh sách vùng chứa nội dung. Xóa tệp, kể cả dọn Thùng rác hay dùng Shift+Delete, thường chỉ đánh dấu bản ghi là không dùng và các vùng là trống. Ghi số 0 lên hàng gigabyte sẽ rất chậm, nên Windows không làm vậy.
Chừng nào vùng trống chưa được dùng lại, các byte vẫn nằm đó. Trên ổ cứng lớn còn nhiều chỗ, điều này có thể kéo dài hàng tuần. Trên ổ hệ thống gần đầy liên tục ghi tệp tạm, bản cập nhật và bộ nhớ đệm trình duyệt, có khi chỉ vài phút. Vì thế cơ hội giảm dần theo thời gian chứ không mất ở một thời điểm cố định.
Bản ghi hệ thống tệp và tìm theo chữ ký khác nhau ra sao
Khôi phục theo bản ghi là cách chính xác. Nếu mục đã xóa còn, nó cho biết chính xác cụm nào thuộc tệp và theo thứ tự nào, nên cả tệp bị phân mảnh cũng ghép lại được, kèm tên và thư mục. Trên FAT32 và exFAT, chuỗi nối các cụm thường bị xóa khi xóa tệp nên phải suy ra thứ tự; FileFix Ultimate thử các cách sắp xếp với nội dung tệp và chọn cách vượt qua kiểm chứng.
Tìm theo chữ ký, còn gọi là carving, bỏ qua hệ thống tệp và đọc sector thô. Nó nhận ra tệp qua phần đầu và, khi định dạng cho phép, qua cấu trúc bên trong hoặc phần cuối. Cách này dùng được sau khi định dạng nhanh hoặc trên ổ RAW. Điểm yếu là tên, thư mục và ngày nằm trong mục lục chứ không trong tệp, và tệp bị chia thành nhiều mảnh rời có thể trở lại không đầy đủ. Ảnh và video thường chứa ngày chụp bên trong, giúp sắp xếp kết quả.
Vì sao có tệp không thể quay lại
Ghi đè là vĩnh viễn. Khi dữ liệu mới chiếm cùng sector, byte cũ bị thay thế và không phần mềm nào đọc được thứ không còn tồn tại. Tệp bị ghi đè một phần đôi khi cứu được một phần, như nửa trên còn đọc được của bức ảnh.
SSD hoạt động khác ổ cứng. Với TRIM, Windows báo cho SSD khối nào đã trống, và ổ có thể xóa chúng ở chế độ nền ngay sau đó. Khi ấy đọc lại chỉ nhận được số 0. Định dạng đầy đủ ghi đè cả phân vùng, còn hư hỏng vật lý như va đầu đọc khiến không đọc được. Các trường hợp này được giải thích trong hướng dẫn về TRIM trên SSD, tệp bị ghi đè và sector hỏng.
Những gì khôi phục không làm được
- Không lấy lại được dữ liệu đã bị tệp mới ghi đè.
- Thường không đọc được khối mà SSD đã xóa sau TRIM.
- Tệp chỉ tìm được bằng chữ ký sẽ không có lại tên và thư mục gốc.
- Phân vùng mã hóa cần khóa hoặc mật khẩu trước khi đọc được.
- Ổ hỏng cơ học nên gửi phòng thí nghiệm thay vì quét.
FileFix Ultimate áp dụng các cách này thế nào
- Đọc NTFS, FAT32, exFAT, ext2/3/4, HFS+ và đĩa quang để lấy lại tên và thư mục khi bản ghi còn.
- Tìm theo chữ ký cho 68 loại tệp, từ JPEG, RAW máy ảnh đến Office, HWP, PST và video.
- Kiểm chứng độc lập từng kết quả, gắn nhãn trung thực và mức tin cậy.
- Quét chỉ đọc, chỉ lưu sang ổ khác.
- Miễn phí cho mục đích cá nhân, không giới hạn dung lượng, hoàn toàn ngoại tuyến.
FileFix Ultimate miễn phí cho mục đích cá nhân, hoạt động ngoại tuyến và không bao giờ ghi vào ổ đĩa bạn đang khôi phục dữ liệu từ đó. Sử dụng cho công việc hoặc kinh doanh cần giấy phép 1 năm cho mỗi máy tính. Hãy kiểm tra chữ ký trước khi chạy.
Câu hỏi thường gặp
Vì sao tệp khôi phục có tên như file0001.jpg?
Chúng được tìm bằng chữ ký, cách này đọc nội dung nhưng không đọc mục lục chứa tên. Dữ liệu vẫn có thể nguyên vẹn dù tên là tên chung. Sắp xếp theo ngày lưu trong ảnh thường giúp ích.
Xóa qua Thùng rác khác gì Shift+Delete?
Với khôi phục thì gần như không khác. Cả hai đều bỏ mục khỏi thư mục và giải phóng vùng chứa. Dọn Thùng rác còn xóa bản sao Windows giữ ở đó, nên các bước sau giống nhau.
Quét nhanh có tìm được ít hơn quét sâu không?
Lượt nhanh chỉ đọc bản ghi hệ thống tệp nên xong sớm. Lượt sâu thêm tìm theo chữ ký trên mọi sector: tìm được nhiều hơn nhưng lâu hơn hẳn và trả về tệp không tên. Nên xem kết quả nhanh trước.
Phần mềm khôi phục có ghi gì lên ổ của tôi không?
Phần mềm cẩn thận thì không. FileFix Ultimate chỉ đọc nguồn và không cho lưu vào cùng phân vùng, nên việc quét không làm giảm cơ hội của bạn.