清空回收站也沒用，固態(tài)硬盤上刪掉的文件也能被找回來！
作者：admin 日期：2023-09-21 瀏覽： 次
清空回收站也沒用，固態(tài)硬盤上刪掉的文件也能被找回來！
當(dāng)代固態(tài)硬盤都支持Trim指令，熟悉它工作原理的朋友一定會(huì)認(rèn)為，固態(tài)硬盤刪除文件就沒有后悔藥了。事實(shí)上還真的有一些例外存在，譬如小體積的日志文件在被Trim之后依然能夠被恢復(fù)。
不同固態(tài)硬盤對于接受Trim指令后的處理策略不同，以SandForce為代表的主控傾向于懶惰的垃圾回收（GC）以最大限度降低寫入放大率，而以浦科特TrueSpeed為代表的固件在收到Trim指令后會(huì)立刻進(jìn)行垃圾回收，擦除文件原本占據(jù)的閃存頁。一般來說只要閃存被擦除，文件內(nèi)容就不可能被恢復(fù)了。
泰州數(shù)據(jù)恢復(fù)
PCEVA（微信公眾號：PCEVA）選擇浦科特M6Pro 128G進(jìn)行測試，首先建立一個(gè)反復(fù)以TEST字符填充的測試文件，文件長度為160字節(jié)。將其復(fù)制到M6Pro內(nèi)，并用WinHEX軟件記錄文件所處的邏輯地址，本例中文件頭偏移是03221268480：
在Trim正常的情況下，刪除TEST.txt文件并讓固態(tài)硬盤靜置30秒、1分鐘、5分鐘，分別檢查后發(fā)現(xiàn)，文件內(nèi)容并沒有被清空：
出現(xiàn)這種情況并非Trim失效了，而是因?yàn)镹TFS文件系統(tǒng)會(huì)將長度小于900字節(jié)的文件直接存儲在MFT主文件表中，刪除它改變的是MFT的內(nèi)容，這不會(huì)觸發(fā)Trim指令。
當(dāng)然，這個(gè)小漏洞只針對較小體積的文件，超過900字節(jié)的文件將不會(huì)被直接存儲在MFT主文件表中。另外Trim正常工作后即便閃存還沒有被擦除，通過外部直接讀寫也無法獲取到其中的文件內(nèi)容，除非你擁有能直接訪問閃存的底層工具：非專業(yè)人士通常是做不到這一點(diǎn)的。