被覆盖的文件怎么样恢复,如何恢复被覆盖的文件

题图来自Unsplash，基于CC0协议

导读

最近碰到有人说磁盘中的某个文件不小心被覆盖了，想知道还有什么办法能恢复，这也是个比较常见的问题。其实文件被覆盖之后的恢复情况比较特殊，它跟普通的格式化和删除有着根本的不同。

说到"覆盖"，它是指用户在原来的文件位置写入了新内容，基本上相当于新文件把原文件从物理磁盘空间上直接"抹掉"了。看到这个问题的朋友第一反应肯定是希望能够找到办法重新拿回原来的文件。说到可能性，这完全取决于文件被覆盖的时间有多长，以及在这段时间内是否有人使用了这个存储设备（存储区域）。

首先，如果发现文件被覆盖了，首先要做的就是立刻停止使用这个存储区域，这一点非常重要。每写入一KB、一块硬盘、一个U盘，都会写入物理磁盘空间，这就减少了即便你有恢复软件也只能恢复部分数据的能力。文件被覆盖在盘区理论上单个文件是能恢复的，就像是在沙滩上用铅笔写下了"Hello World"，然后又用橡皮擦仔细擦掉了，如果不小心又留下新的印记（新文件写入），那还能不能读到之前的笔迹就取决于之前写字的深浅程度、橡皮擦之前的浓淡程度以及新的印记到底有多重了。

这里有几点特别重要的因素：

1. 完全覆盖之前的时间窗：

   • 如果你还未来得及写入任何新文件就把原来覆盖的文件删了，会有非常大的机会可以恢复回来。想象一下，你刚刚误按了删除键，但在关键时刻你冷静下来决定还是想恢复回来。幸好没有执行恢复的时候，原来的文件占用的磁盘空间里每一块电路保存了原来那些数据的物理痕迹，只要用专业的恢复软件一个个bit的读上来，还希望在于原始数据结构的残留。

2. 覆盖文件的大小：

   • 如果不小心覆盖后没有再次写入文件，这个文件占用的磁盘空间里还保存了原文件的每一个字节，理论上你仍然可以把它恢复回来，而且顺序也不会乱。哪怕本来是几百KB的小文件，如果你不进行任何写入操作，这个文件几乎100%能恢复。

3. 覆盖的"写块"数量：

   • 为什么说"几乎"呢？因为在实际恢复过程中，有些文件虽然是被完全覆盖了，但是基于原始文件占用的大小以及文件可能包含的内容结构，专业的恢复软件或许可以尝试识别和重建出原文件，但这整个过程其实在原有文件占用的空间里逐字节去瞄了一眼，利于你可以从写入的新文件与原文件的磁盘位置关系来推断分析。不过如果覆盖发生后你又写了好几个文件，那么情况就开始朝着变得更复杂甚至不可能方向发展了。

4. 现代文件系统与日志记录：

   • 更折腾的是现代Windows系统常常会在写文件时先用日志文件（record file）做缓冲，然后定期清理这些日志。如果你在覆盖之前能够迅速找到并把日志内容恢复出来，有时能解燃眉之急。但由于你的文件已经被覆盖了，这里只是说如果你能很快找到删除掉的日志区域，或许能找回还未被覆盖时记录下的原始数据快照，但这个机会同样非常窄门了。

恢复被覆盖文件的软件原理，是扫描磁盘上的每一个物理块（可能包含着原始分配给该文件的磁盘空间，尽管它现在系统已经标记为空闲），然后尝试从那些被系统视为"空白区域"（block）中提取看似是文件的数据。专业的数据恢复软件几乎都是基于bin文件来检查那些原来被删除文件占用的空间段是否还有有效信息，但毕竟是不再被系统管理的那部分空间，底层恢复过程不得不依赖磁盘读取和逻辑分析，会比恢复普通"删除"的文件要复杂得多。

类型的区别：文件是被覆盖还是被删除了

• 被覆盖：新文件占据了旧文件的位置，原始数据被新的数据直接写入了以前的磁盘空间，旧文件数据几乎被物理上覆盖掉了，这就好比是在写字的纸上用新的内容彻底"写掉"了前一次的内容。
• 被删除：通常是操作系统把原本分配给你的文件的相关索引信息清除了，但它并没去改变原来存放文件所在的空间，所以在没有被新数据覆盖的情况下，原始文件应该还完整地躺在那里，等待被重新找回。

如果你真的需要找回被覆盖的文件，不妨试试这两类软件：

1. 深度数据恢复工具（需要一些技术操作但有效性相对高）：

   • Recuva Force Recovery（Windows）：在Recuva这个工具选择强制恢复选项，跳过删除的情况，它会检查驱动器上那些被标记为空闲或未分配但可能包含隐藏数据的磁盘块，由于文件被覆盖还在名义上未分配，可能会被这类工具识别出来。
   • EaseUS Data Recovery Wizard（跨平台支持但恢复被覆盖成功率不确定）：这类工具也有类似的深度扫描模式，但往往无法百分之百恢复已经被精准覆写的文件部分。
   • Restorer Lite：这个工具专注于恢复被意外删除或者覆盖的数据，相对容易用，但记得区分清楚是否是被覆盖了。
   • Disk Drill：功能很强大，能帮你看磁盘分区情况，也能恢复各种格式数据，但它扫描过程是按字节来，只适用于文件刚刚被覆盖覆盖还未写满整个文件区域的情况。
   • PhotoRec（命令行工具）：它只恢复磁盘分区表和文件数据，不关心文件系统，但你需要了解它的基本操作方式。

2. 打不开的分区恢复软件（主要针对普通的误删）：

   • 这种软件通常以扫描整个分区来查找可恢复文件的类型特征（文件头），如果你的文件是刚刚被覆盖，比如就覆盖了几个字节，可能特征符还会保留，Reviver分区恢复会找回来，但如果覆盖较全面，这种工具效果就很有限了。

关于这些软件是否有用，这个真很难说清楚，我见过有人用简单工具成功恢复了，也见过专业软件什么都找不到。主要看你之前多长时间意识到的问题，附近有没有人使用过这个存储设备，你原来的文件大概多大。

小文件的机会大：如果你覆盖了一个500MB的PDF文件，但你打断了中断了写入过程，这个PDF还没完全写完，这时候你的电脑立刻被强制关机了，那么那些没写完成的部分就是另一种恢复机会了。但如果你将来无法找到这个文件，可以尝试用专业的文件恢复工具。

对于文件被覆盖，恢复的可能性不像删除那样高得吓人，但会比删除后还花时间，要做的就是尽快找到原始文件占用的空间位点，并通过软件扫描原始磁盘结构来读出那些仍残留的数据。记住，"立刻断掉外部接入数据源"这点是关键不是儿戏，再多没用的内容会增加你找不到"数据原来位置"和"数据是否保留"的机会。

一些曾经成功的小文件例子：比如不小心覆盖了几个几百KB的便签文件，文件内容或图片还未被全部覆写完，有恢复软件可以尝试将其按原样重现出来。但是50GB的视频文件很不幸被覆盖了新文件又写了十几张文件，那再考虑别的方法吧。

如果你真的没有办法再低估也不肯花钱找专业人士找回被覆盖文件，也可以尝试像磁盘编辑工具这种专业技术，但这需要知道文件格式才行，对于普通用户来说，完全没有必要非要自己动手，最好是用上述推荐的专业数据恢复工具先尝试一下，看看屏幕上有没有弹出那些貌似以前你的文件的图标。

总之，文件被覆盖确实比删除更难恢复一些，可能性也更小，但也不是完全没希望。关键步骤是在发生覆盖时第一时间停止使用这块区域，然后选择合适的数据恢复工具进行尝试。不过，如果你没有把握或者文件非常重要，建议还是找专业恢复服务比较稳妥。