PCEVA,PC绝对领域,探寻真正的电脑知识
开启左侧

Trim非万能,某些文件删除后可恢复

[复制链接]
绝对有料 发表于 2017-12-6 11:11 | 显示全部楼层 |阅读模式
点击数:720|回复数:12
转自腾讯快报PCEVA:http://kuaibao.qq.com/s/20171206A08YCJ00

当代固态硬盘都支持Trim指令,熟悉它工作原理的朋友一定会认为,固态硬盘删除文件就没有后悔药了。事实上还真的有一些例外存在,譬如小体积的日志文件在被Trim之后依然能够被恢复。


不同固态硬盘对于接受Trim指令后的处理策略不同,以SandForce为代表的主控倾向于懒惰的垃圾回收(GC)以最大限度降低写入放大率,而以浦科特TrueSpeed为代表的固件在收到Trim指令后会立刻进行垃圾回收,擦除文件原本占据的闪存页。一般来说只要闪存被擦除,文件内容就不可能被恢复了。


PCEVA(微信公众号:PCEVA)选择浦科特M6Pro 128G进行测试,首先建立一个反复以TEST字符填充的测试文件,文件长度为160字节。将其复制到M6Pro内,并用WinHEX软件记录文件所处的逻辑地址,本例中文件头偏移是03221268480:


在Trim正常的情况下,删除TEST.txt文件并让固态硬盘静置30秒、1分钟、5分钟,分别检查后发现,文件内容并没有被清空:



出现这种情况并非Trim失效了,而是因为NTFS文件系统会将长度小于900字节的文件直接存储在MFT主文件表中,删除它改变的是MFT的内容,这不会触发Trim指令。

当然,这个小漏洞只针对较小体积的文件,超过900字节的文件将不会被直接存储在MFT主文件表中。另外Trim正常工作后即便闪存还没有被擦除,通过外部直接读写也无法获取到其中的文件内容,除非你拥有能直接访问闪存的底层工具:非专业人士通常是做不到这一点的。


本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?注册

x
红色国度 发表于 2017-12-6 18:29 | 显示全部楼层
这。。。不具备实用性。追根问底的研究方法值得学习
来自苹果客户端来自苹果客户端
McLaren 发表于 2017-12-6 21:30 | 显示全部楼层
REFS的情况是怎样的?
红色狂想 发表于 2017-12-6 21:49 | 显示全部楼层
长知识了,看来不小心删除了一批大姐姐封面图后还是有可能挽回的。
easports1200 发表于 2017-12-7 09:21 | 显示全部楼层
红色狂想 发表于 2017-12-6 21:49
长知识了,看来不小心删除了一批大姐姐封面图后还是有可能挽回的。 ...

大姐姐图应该不会低于900字节吧?
lgg_wd_2 发表于 2017-12-7 11:11 | 显示全部楼层
配图里面的红圈,拿的是个电源?这东西也能恢复出数据?
dosmatters 发表于 2017-12-7 11:31 | 显示全部楼层
lgg_wd_2 发表于 2017-12-7 11:11
配图里面的红圈,拿的是个电源?这东西也能恢复出数据?

这应该是某个美剧的梗 哈哈哈哈
eikeime 发表于 2017-12-7 14:10 | 显示全部楼层
dosmatters 发表于 2017-12-7 11:31
这应该是某个美剧的梗 哈哈哈哈

好像是 Limitless
Mufasa 发表于 2017-12-7 17:21 | 显示全部楼层
这是NTFS的事情吧。。。。

很小的文件直接放到MFT,避免多次映射浪费时间。
az6338890 发表于 2017-12-7 18:53 | 显示全部楼层
配图,哈哈哈
将来ssd数据恢复并非不可能,时代会发展的
Apache 发表于 2017-12-7 20:13 | 显示全部楼层
原来是NTFS格式的bug
来自苹果客户端来自苹果客户端
红色狂想 发表于 2017-12-7 22:10 | 显示全部楼层
easports1200 发表于 2017-12-7 09:21
大姐姐图应该不会低于900字节吧?

最多也就147KB左右吧
Apache 发表于 2017-12-8 11:12 | 显示全部楼层
红色狂想 发表于 2017-12-7 22:10
最多也就147KB左右吧

你这姐姐种子好小。 长不大的。
您需要登录后才可以回帖 登录 | 注册

本版积分规则

快速回复 返回顶部