【行业资讯】磁盘格式化的数据恢复误区

转自：兴百邦翰林（ID：CyberHanlin）

       引言 

       在电子数据取证过程中，时常遇到嫌疑人或被调查对象将硬盘、移动硬盘中的分区进行格式化操作，对取证工作造成了一定的困扰。 分区被格式化后，数据是否还在磁盘上，是否可以完全恢复？  这个问题无法用简单的“是”或“否”来回答。 这里就让我们先一起来了解格式化的种类及工作原理。

       低级格式化和高级格式化

       格式化(Formatting)分为低级格式化和高级格式化。低级格式化又称低层格式化或物理格式化(Physical Formatting)，对于部分硬盘制造厂商，它也被称为初始化(Initialization)。最早，伴随着应用CHS编址方法、频率调制(FM)、改进频率调制(MFM)等编码方案的磁盘的出现，低级格式化被用于指代对磁盘进行划分柱面、磁道、扇区的操作。现今，随着软盘的逐渐退出日常应用，应用新的编址方法和接口的磁盘的出现，这个词已经失去了原本的含义，大多数的硬盘制造商将低级格式化定义为创建硬盘扇区(sector)使硬盘具备存储能力的操作。现在，人们对低级格式化存在一定的误解，多数情况下，提及低级格式化，往往是指硬盘的填零操作。总之，低级格式化一般是硬盘厂商在硬盘出厂时进行初始化的过程，所有数据将会被清空，因此低级格式化目前没有有效的恢复方法。在多数涉及电子数据的案件中，很少遇到用户使用低级格式化工具(如Disk Manager)进行磁盘的低级格式化。
 

      对于大多数电脑用户来说，平常我们经常提及的格式化属于高级格式化。高级格式化主要是对硬盘的各个分区进行磁道的格式化，在逻辑上划分磁道。对于高级格式化，不同的操作系统有不同的格式化程序、不同的格式化结果、不同的磁道划分方法。以下我们重点研究不同Windows系统以及不同的高级格式化选项对在分区格式化过程中的差异，以及对数据恢复的影响。
 

       在Windows系统中分区格式化常见的有两个途径来进行分区的高级格式化，一个是直接选择分区属性，在格式化界面根据提示操作；一个是使用命令行format命令来实现。
 

       随着微软操作系统的机制变化，不同的Windows操作系统对分区格式化的机制有差异。对于从事电子取证的行业人士，最大的差异就是Vista及以上操作系统(包括Vista、Win8、Win8.1、Win10)没有勾选“快速格式化”的选项，那么Vista以上系统将对分区重新初始化，格式化过程将检查分区是否存在坏扇区(如存在坏扇区，文件系统将记录并屏蔽坏扇区)，此外重新创建新的文件系统，并将剩余空间全部清零填充操作。如果选择了“快速格式化”，那么系统将忽略坏扇区检查，只重建文件系统，不对剩余空间进行清零填充操作。
 

       Format格式化工具是从MS-DOS时代就已存在的命令行工具，它可以对磁盘进行格式化，目前已经支持FAT、FAT32、exFAT、NTFS、UDF及ReFS等文件系统。
 

       命令行Format工具的参数对电子取证有一定的影响，大多数情况下使用默认参数(不增加额外参数) 进行格式化，如format g: /fs:NTFS，一个普通性能的8GB优盘耗时往往耗时超过5分钟。该操作等同于通过格式化图形界面中未勾选“快速格式化”的操作。如果使用/q参数，那么将执行快速格式化操作，等同于格式化图形界面中勾选“快速格式化”，该操作不检查坏扇区，直接重建文件系统，不对剩余空间清零填充操作。    

     
      命令行format工具参数说明（微软官网提供）： https://technet.microsoft.com/zh-cn/library/cc730730(v=ws.10).aspx 

       数据恢复
 

       最后，小编将不同操作系统格式化差异及数据恢复对比进行整理，方便后续查阅。
 

       即使是快速格式化，实际上在电子取证过程中也无法做到100%恢复原有数据，由于重建文件系统，往往导致少数文件的元数据信息丢失，因此软件工具无法定位到原文件的位置。如果要恢复丢失的文件，还可以尝试文件签名恢复技术来进行数据恢复。
 

       国内各种取证软件及数据恢复工具均支持对格式化的分区的数据恢复。EnCase取证软件可以使用Recover Folder功能来恢复格式前的分区数据，此外X-Ways Forensic、FTK等绝大多数取证软件都可以做格式化分区的恢复。

       补充：

       1、徐志强老师：Vista以上系统，在格式化界面，如果去掉了“快速格式化”，数据将无法恢复！

       2、壮壮老师：数据删除后没进行多少操作就一定能恢复回来吗？答案是不一定的！数据能否恢复出来，不仅取决于数据是否被覆盖，还取决于残留的数据（可能是全部也可能是部分）能否顺利地重组起来。快速恢复一般是直接从文件系统中寻找删除的记录，然后直接读对应的地址，一旦对应地址被写入了新数据，就可能恢复不完美。签名恢复时最怕文件在磁盘中不连续，这也是大文件在签名恢复时效果差的原因之一。（注：JPEG文件目前是不连续存储！）