Вопрос: Есть ли способ увидеть удаленный файл «trace»?


Я хочу проверить, удалили ли кто-то / что-то удаленные файлы на нашем сервере (Microsoft Windows Server 2003 R2) даже после удаления в корзине. Есть ли способ просмотреть след удаленных файлов?

Файловый шредер утверждает, что Windows оставляет след когда файлы удаляются:

Фактически, операция «удалить» в Windows только удаляет биты информации из файлов, поэтому они выглядят удаленными в ОС. Получить эти файлы легко, используя вышеупомянутое специализированное программное обеспечение для восстановления файлов.

Были также Почта несколько удаленных файлов след на самом жестком диске:

Теоретически, я слышу, что вы (если вы CIA) можете взять оптический микроскоп на жесткий диск и восстановить совсем немного того, что было на нем, даже если оно было перезаписано с тех пор. Все на жестком диске 0s и 1s, но если они смотрят на него магнитно, они могут видеть, что некоторые из 1s были 0s и так далее. Я не знаю, как далеко продвигаются эти навыки, но я считаю, что эта возможность существует.

Я хочу увидеть имя файла и дату удаления удаленного файла, возможно ли это?

Пожалуйста помоги. Заранее спасибо.


0
2018-04-17 06:14


Источник




Ответы:


Было также сообщение о том, что удаленные файлы несколько оставляют след на самом жестком диске

Удаленные файлы оставляют намного больше, чем трассировку.

Поскольку этот вопрос отмечен  этот ответ предполагает использование файловой системы NTFS.

Когда вы «постоянно» (т. Е. Из корзины) удаляете файл в операционной системе Windows, Windows не удаляет весь файл. Вместо этого он просто удаляет ссылки на файл из таблицы основных файлов (MFT), которая действует как «индекс», используемый файловой системой для поиска фактических данных файла. Из MSDN:

В MFT есть хотя бы одна запись для каждого файла на томе файловой системы NTFS, включая сам MFT. Когда файлы удаляются с тома файловой системы NTFS, их записи в MFT помечены как свободные и могут быть повторно использованы.

Это все, что происходит. Настоящий данные остается на диске. С помощью надлежащих инструментов эти файлы можно легко восстановить, пока какой-либо другой файл не сохранил свои данные поверх удаленных данных.


1
2018-05-03 02:56





Я хочу увидеть имя файла и дату удаления удаленного файла, возможно ли это?

Указанные способы восстановления могут (если кластеры диска не были повторно использованы) смогут восстановить исходный каталог. Но я бы ожидал, что каталог, как правило, будет обновлен, поэтому это кажется маловероятным.

В Windows: нет, если только вы не включили проверку файлов в файловой системе (т. Е. Не ретроспективно).


0
2018-04-17 06:20