在硬盘中，我们删掉的文件去哪里了？而为什么文件在专门的公司又能被恢复？恢复的原理是什么？

会员1138355

同理，如果我们创建一个文件，例如写入一张照片，一篇文章，对硬盘而言又发生了什么？

会员1138286

昨天的这个时候我还在为获得了50赞而高兴，结果今天就450赞了^_^
对答案做了一些修正，以答谢大家的支持。

创建文件：
盖大楼（文件本体），同时制作一个指向楼的路标（指针）。用户通过路标就能找到楼。

“删除”文件（移动至回收站）：
在路标上写一个“拆”字。

恢复文件（从回收站恢复）：
将路标上的“拆”字抹掉。

“完全”删除文件（这里的“完全”删除指的是Shift+Delete直接删除，或从回收站删除）：
把路标拆了，楼先留着。这样，只记路标位置的用户就无法找到这个楼的具体位置了，而且也不会消耗太多的时间（毕竟拆路标比拆楼容易多了）。
此时，虽然楼还在原地，但是这块地已经被系统认定为“空地”了——文件本体占据的空间被加入到硬盘可用空间中。

恢复文件（恢复“完全”删除的文件）：
因为废弃的大楼还在原地，专业的搜救队（数据恢复工具）还是有可能找到它的。然而楼附近很可能都是废墟（被删除数据），它们可能会干扰搜救队的判断，造成抢救失败。一般来说，搜救队会尝试将楼1：1整体复制到其他场所，这样如果抢救失败了，用户还有机会请求其他搜救队的帮助；而如果原地抢救，万一失败，可能会对楼造成无法逆转的破坏。
在英文维基百科上有一些搜救队的联系方式，如有需要可以参考：List of data recovery software

恢复文件的原理：（评论区 陆涛 问起这个问题，于是补充一下）
从一片废墟中找到目标大楼的“招牌”。找到之后，以找到的楼为原型，在其他地方建造一模一样的新楼。
（招牌：绝大多数的文件都以特定内容开头和结尾，比如GIF格式图片一定是以GIF87a或者GIF89a开头、十六进制数字“3B”结尾。只要定位到特定文件头、文件尾，基本就能确定这部分数据属于同一个文件，以及判断出该文件的格式）

再创建文件：
施工队到达施工现场后，发现这里已经有大楼存在，但是这个大楼已经废弃，于是把它炸了，盖新的楼。这时候原来的楼就彻底找不到了，最多只能抢救出一部分残骸。

（注：以上信息仅对普通硬盘有效；如果使用的是SSD固态硬盘，且SSD硬盘本身和操作系统都支持 Trim 指令 ，则在执行“完全”删除操作的同时，会立刻开始拆楼，因此删除的数据无法找回。感谢评论区 老赵 和 superheasy 补充）

-------------------

2015.9.17由于评论区有两位朋友问到如何彻底删除文件，补充一段。

“粉碎”文件（使用第三方工具，在普通硬盘上彻底删除文件）：
将原来的楼炸掉，然后在废墟上搭建违章建筑（全零、全一，或者随机无用数据）。搭建完成后，将违章建筑炸掉，再搭建新的违章建筑。如此反复一定次数后，原来的楼就连渣都找不到了。
该操作需要在炸楼后盖新楼（且可能会盖好几次），因此速度非常慢。
能够完成此工作的工程队（文件粉碎工具）有很多，请自行查找。

请不要在SSD固态硬盘上使用文件粉碎工具，因为：
1.SSD硬盘的寿命与写入数据的次数有关。文件粉碎工具会多次写入数据，严重影响硬盘寿命。
2.由于耗损平均技术（ Wear leveling），在SSD硬盘上无法强行指定写入数据的位置，这一点与普通硬盘不同。也就是说，SSD硬盘上搭建的违章建筑很可能和原来的楼位置完全不同，无法达到破坏楼的效果。
3.由于上文中提到的 Trim指令，一般并不需要刻意执行“粉碎文件”操作。

会员1138340

硬盘很像一本书。这本书有如此之多的多文件，假设一个文件不论大小就是书本中的一页。那么这本书至少多达几十万页，电脑要是一页一页的找也很费劲。所以硬盘也有个目录（索引），每条目录指向一个文件（也就是指向其中一页）。

这样找到一个文件就变得简单了，同时删除一个文件也变得简单。

删除的时候只把目录上相应的条目划除（文件的删除只是删除索引），这样电脑就觉得这几页可以写新内容了。

这样其实并没有删除内容。但硬盘毕竟是一本不一样的书啊。他不需要我们用修正液或者透明胶事先去除旧的数据，磁介质是个直接覆盖写入的。所以这样的删除设计也为我们从回收站删除之后提供了后悔的可能。

用户的数据写入这几页之前，原有内容都还在书本中。
由于系统的写入数据是随机的，所以误删文件后要立即停止任何操作，开始恢复数据。

恢复软件的原理就是一页一页的翻书，找回内容。

会员1138338

给你举个例子：我有一个仓库，里面有很多像超市一样的储物柜有每个柜子有很多个小格子，你可以来找我存东西。当你有东西要存的时候，你把东西给我我给你放到某个柜子上的某一格（或者很多格，如果东西多的话），然后给你记录下你的东西放在哪些格子里面了，而且通常是按顺序的。你可以随时来找我查看一下你的东西，又或者你可以改变你要保存的东西，只要和我说一下然后把东西给我就行了。最后，如果有一天你跑过来告诉我你存的某个东西你不想要了，然后你以为我会去查我的记录看看记录的你的东西在哪些格子，然后跑去把对应的每个格子里的东西全部马上搬出来销毁吗？我才不那么干呢，我可是很忙的，我只要把我的记录本上那些对应的格子记录成空的。如果下次我需要用到放着你不要的东西的格子的时候，我顺手拿出来扔掉就行了。。。所以如果你的东西很重要，你又不想要又不想让它继续存在我的仓库里面，请一定要想办法告诉我，因为我只是一个硬盘，我不知道什么是隐私、什么不是。你给我供电、我给你干活，希望你理解。

会员1138358

老王拥有一座山，他在山上建了许许多多栋别墅来出租［文件系统］。
每当老王要把别墅租出去的时候，他会在别墅门口挂上“寻租”的字样，如果别墅已被租了，“寻租”的字样就会被撤下。

有一天你要租房子，老王把你引到山里转悠，你看中哪栋贴着“寻租”字样的别墅，就告诉老王。老王就撕下“寻租”的字样，然后让你搬进去。［新建文件］

你住进去以后买了很多家具，并布置一番，住下了［写入文件信息］。过了几个月，你准备走了，告诉老王，你的不租了，家具不要了，直接走人，家具任由你处置。［删除文件］

老王直接在你租的这栋别墅前贴上“寻租”字样，就不管了。任由你的家具摆在别墅里。

之后，可能发生两种事情：

其一，其他人要租房，看中了你搬出后那栋别墅前的“寻租”字样，告诉老王。老王说，上家家具还留着，我帮你清理一下。然后老王进屋，把你留下的家具全扔了，打扫一空，撕下“寻租”字样，请新租客入住。

注意，从你不租了，老王贴上“寻租”字样，直到新租客入住，之间隔了一段时间。

其二，某一天，你突然跟老王说，家具我还想要。老王于是把你领回去，让你搬走家具。并感慨说：“幸好这段时间没人租你的房子，不然你的家具就要被我扔了。”。［文件恢复］

所以，为什么我们删除的文件还能恢复？因为它还在那里啊。
为什么误删文件后要立即停止操作，并立即恢复文件？因为它可能被覆盖，覆盖了就找不回来了。

会员1138303

有人质疑说为何反数据恢复的话直接粉碎就不行？具体贴出当年的新闻吧，当年的新闻也只剩下这个截图了可能，刚搜到的，但是当年的确做了很大量的报道，表明我国在反数据恢复上面的先进-_-||。个人认为，粉碎可以解决问题，但是国家可能有战略层面的考虑，本屌不知，只知道有相关技术，，，，

登录/注册后看高清大图

以下是分割线
_-----------------
本屌曾经接触过一段时间的数据恢复，不算精通，原理还懂，传统硬盘的储存介质就是硬盘里面的一张光碟一样的东西，那个机械臂负责读取 内部真空是因为碟片高速转动，机械臂震动都非常精密，不允许任何灰尘以及阻力。
所有保存在硬盘里面的文件全部以01代码的形式存储。
拷贝文件需要很长时间(大文件尤其明显)是因为文件数据要转化成01代码写入硬盘，自然时间长。
删除文件就瞬间完成是因为删除文件只需要告诉文件指针(类似于标记，也相当于门口画个红色的拆)此文件不要了。
彻底删除文件(回收站清空)就只是删除标记(就是连红色的拆都没了，计算机认为这什么都没有)。
数据恢复的原理很简单，每一种文件都有特定的文件头表明这是什么文件。数据恢复软件要做的就是查找硬盘中所有头文件，然后按照头文件所标示的文件再次显示出来，根据用户需求再次保存。
如何避免数据恢复以及如何避免数据丢失？文件删除之后，实际只是文件标记没有了，并不代表硬盘中文件不存在，当初拷贝进电脑里面时候转换成的01代码都还在，只是文件头不存在，计算机认为此文件不存在，可以任意覆盖。所以误删文件之后，什么都不要动，马上关机找专业数据恢复人员恢复。倘若不想数据被回复也简单，写满硬盘，原先文件就被新文件覆盖了，这样便数据恢复也找不到了。
那我要是特别想找到我好几年前的照片怎么办？也有办法，美国军方有强大的数据恢复工具，用某种波(具体啥忘了)照射碟片(就是硬盘里面的圆盘)，根据波的不同状态可以看出之前所在位置曾经写过0还是1，据说可以追述到9次读写之前的数据，也有人说是10次。也有人说日本也有相关技术。相关资料在美剧《越狱》中也有体现，麦克当年收集监狱资料的硬盘被麦克读写多次并且扔入大海，但是军方仍然能捞出来读取其中想要的数据，就是这个原理。
那么，假如国家级的资料不想被发现如何销毁？中国在几年前就认识到这个问题，研究出来一种设备，原理也很简单，不断的往硬盘中写入垃圾数据，写满后删除继续写，如此十次以上，然后再用强磁场干扰，最后销毁，这样基本上就不会被发现数据了。

会员1138287

硬盘的物理结构大致和播放唱片的唱机差不多，有可擦写的圆形的盘片和读取数据的磁头。而且盘片和唱片很像，也是一圈一圈的磁道。 磁盘在运转的时候，盘片在电机的带动下飞速旋转，产生的微弱气流会把磁头飘起来，在盘片和磁头间产生细小的空隙，磁头就在盘片上读取01码。这就是硬盘的物理结构的简单描述。
有了物理结构还不行，因为盘片只能记录01码，满盘片的01码谁知道是哪个文件的？再说也不好管理，于是逻辑上把盘片分成了一个一个区域，这个区域就叫做扇区，一组扇区定义为一个簇，反正文件都是01码，写在哪都一样，文件有大有小，一个簇里只写一个小文件浪费空间，写大文件又不可能正好。 而且磁头读取一个文件要是一个一个磁轨的找下去，效率又很低。 于是在最早的磁盘管理里，在最外道（00磁道）建立了一个文件索引表（FAT表），硬盘上所有存储的文件都必须在在FAT表上建立一个索引，写明白自己叫什么名字，多大，在那个扇区存着，文件属性是什么等等。 这个就是硬盘的逻辑结构。当windows访问一个文件，磁头先到FAT表里找到这个文件的索引，然后在到索引指针指的地址去读这个文件的01码。
上面就是对硬盘存储的大致描述了。所以硬盘的格式化分低格和高格两种，低格就是把数据全部抹除，重新建立逻辑分区。 高格就是把FAT表清空。
现在你误删除了一个文件。在windows把一个文件删除到了垃圾箱，并且把垃圾箱清空了。  
实际情况是，文件在扇区里的内容并没有被消除，只是在FAT表里把索引删除了，所以这个文件对系统来说就不存在了，同时旧文件所占的空间也被告诉系统，“你可以用了，这块是区域释放了，你随便写东西吧。” 所以，在误删除文件后，千万不要做拷贝文件的动作，你的文件还能找回来！！所以，在误删除文件后，千万不要做拷贝文件的动作，你的文件还能找回来！！所以，在误删除文件后，千万不要做拷贝文件的动作，你的文件还能找回来！！（重要的事情说三遍）。其实windows懒到出奇了，它连索引其实都没删掉，只是把这个文件的索引的头改成了FF，表示这个文件作废了。Long long ago, 我们用工具直接去读硬盘的逻辑表，在16进制里直接改索引文件的头，这个文件就找回来了。 鉴于现在科技这么发达了，大家还是用diskdoctor 之类的工具去恢复吧，一般都能找回来。
还有一种情况就是存储FAT表（其实FAT表是有备份的）也就是索引文件的物理区域损坏了。 索引没有了， 这时候用恢复工具去跑，修复工具会找出一团一团的数据团（这里涉及文件存储过程的地址指针，我在这里也讲不明白），你可以把文件恢复成一个特殊后缀的文件，但至于是DOC, 还是TXT,还是JPG,就要一个一个弄了。具体的方法是：用16进制编辑器打开这个文件，在文件的最前面，一般都会有这个文件的属性，找到后把文件后缀改了就可以用了。 但是即便是这样，也会有丢了的文件找不回来的。毕竟索引没有了，靠文件物理地址偏移指针恢复极不可靠。 曾经帮一个朋友恢复一个DOC文件，结果恢复后，除了被误删的内容，居然后面还有一个月以前删除的另一个DOC的一部分内容。
所以，从安全角度上讲，光是在windows里删除文件是极不可靠的，用工具，会操作，分分钟就给你找回来了。 哪怕硬盘坏了，如果想恢复数据也能从盘片里读出来。 真正的安全删除软件，会在源文件的数据地址写入新的内容。 这样就没法恢复了。

以上只是简单形象的描述，磁盘的工作原理和系统管理，FAT32,NTFS,GPFS等等每个内容都是一大本书，我写的东西大家看着玩吧。

会员1138347

通常来讲，一个文件系统会把容量分成很多块，你的一个文件占用其中的一些块。块里面储存文件的内容，和下一个块的位置，构成一个链表一样的玩意。文件系统里会有一个表去存储目录、文件名和块的位置。

删除文件的时候，只是在目录结构里将块的链接去掉，将这些块标记成没用过的。这样在这些块被重用之前，你的文件实际内容还在上面。文件系统的删除操作本身是不会逐个字节去抹内容的，因为那样非常非常慢。

在写文件的时候，会逐个寻找没用过的块，把它们拿出来用。

以上为最简单而低效的文件系统，大概会被碎片问题整得很惨，也没有日志。不过基础就是这样。

会员1138348

一本书，你把目录给抠了，内容其实还在的。通过某些手段依然能看到内容。删除只是删掉了目录

会员1138320

答案基本都没错，不过真实情况要比写本书盖个楼要复杂得多。必须说说每个文件占的地方并不是连续的，比如你看起来一个几g的文件可能由成千上万个小块凑起来的。所以出现了一种叫磁盘碎片整理的工具。磁盘会不会满跟这个很有关系。

会员1138276

来知乎这么久，终于看到一个会的问题了。 我和老公都是在软件公司上班，公司是开发数据恢复软件的；老公是程序猿，我是软件客服，总是就是成天绕着数据恢复软件转，对数据恢复应该算是很了解。至于公司的数据恢复软件名字就不说了，以免广告嫌疑，总之软件比较有名，有想要的可以私信我。现在进入正题。
要理解删除的数据为什么可以恢复，首先要了解下数据存储的原理。文件保存是不连续的，一个文件的文件信息（例如，文件的大小、起始位置等。）和文件本身是放在不同的位置，就好比一本书的目录和内容。硬盘上最小的存储单位是扇区，一般扇区大小是512B（1MB=1024KB=1024*1024B），所以文件会占用很多个扇区。就像课本中每章内容会占用好几页。不过，系统保存数据的时候要比书本复杂的多，同一个文件占用的扇区是不连续的，具体占用的是哪些扇区及顺序等都保存在文件信息部分，暂且称为文件索引吧。系统在读取数据的时候是通过文件索引找到数据的。
系统删除文件的时候，只是将文件索引删除，数据本身还是保留在硬盘上。文件索引删除了，系统就无法访问数据了。所以系统在删除文件的时候可以做到秒删的，一个几十兆或几百兆的文件可以瞬间删除的，如果是正常的从硬盘删除，以现在的硬盘的读写速度是不可能的做到的。
数据恢复技术就是利用这个特点，通过分析MFT等信息找将索引找到，然后将数据恢复了。自己可以用软件恢复、也可以找数据恢复公司人工恢复（人工费会比较高）。
文件删除后数据还是保存在硬盘上，但是它所占用的位置是允许存入新的数据的。一旦有新的数据保存到这个位置上，即产生文件覆盖。被覆盖的文件是没有办法完整恢复的。由于无法保证存入的数据是否写入到删除文件做占用的扇区，所以如果想将文件覆盖变得不可恢复，需要将分区中的空闲空间存满。如果想恢复误删除的文件，那删除后千万不要存文件，否则孙大圣都救不了你。
同理，格式化恢复也是类似的恢复原理。所以格式化也不会很好的保护隐私。在处理掉手中的存储设备之前，一定要将数据彻底擦除。网上有专门的工具，可以将选择的硬盘扇区用随机数填充满，这样操作后数据就没有可恢复性了。

会员1138311

上面很多答案都回答了原理，我只说个题主最容易理解的例子。
你向电脑硬盘时拷贝一个大文件 比如几G几十G的高清电影 是不是要几分钟几十分钟？
你删除这个电影是不是不用一秒钟？
这就对了 根本电影没删吗！它只是被系统做了个不要的标记，在下次别的文件正好储存在它所在的磁道时才被覆盖。

会员1138347

最简单的来说

硬盘就是你家（或者说一间屋子），硬盘里的数据就是你家里的家具

一般的删除，其实屋子里的东西还在（不过都被人藏起来了），然后给你的感觉就是，这又变成一间空屋子了

所以从表面上来看，似乎这个东西已经被“删除”了

而假设要写新数据的时候，有可能会在你的屋子写。这时候也就是把藏起来的旧家具扔出去，然后放进去新家具

这样，你以前的数据就“真的没了”，即使用工具恢复也恢复不出来了

至于说一些恢复软件去恢复数据。也就是有人看出屋子里藏了家具，然后把这些家具都给你找出来了

会员1138302

当你删除一个文件的时候，其实不是像你想象的那样，把数据从硬盘彻底扔掉，而是给你要删除的文件区域贴了一个标签，这个标签的意思是“我这块地方可以放其他东西了”，而平时这个标签是“老子用着呢，别动我。”
但是等你把“我这块地方可以放东西”变成“老子用着呢”的时候，旧东西恐怕就不好找了，因为数据被彻底覆盖掉了。
所以当你要恢复文件的时候是有条件的，就是说你新的数据还没把原来该区域的数据覆盖掉，不然就没救了

会员1138258

翻下计组书去，看文件系统。一般都是只删索引，但不覆盖数据，所以做全盘扫描可以扫到 。

会员1138356

本来想在下班前回复掉的，然而发现还是应该插点图什么的。
在硬盘中，我们的文件（包括电影，音乐，图片之类的东西），都是一大串我们看不懂的字符。我错了，是我们看得懂（0，1），然而并不知道是什么。
他们有一些头文件(插在正式内容前面)，告诉电脑，这串字符是一张图片（或者电影），然后多大，存放在硬盘哪一块位置等信息。   

登录/注册后看高清大图

Figure 1: General Concept of File
删除文件的时候就是擦除头文件中的某一部分，然后电脑都不出这一部分内容，以为这个文件已经不见了（不要追问我之哪一部分…我承认我还不够专业，sad）。
但是实际上，我们丢失的只是一小段，有规律可循的指示。想象一下我在吃小辉哥，我的小伙伴问我在哪里。我回复出去：八佰伴的小辉哥火锅。然而被人无情的擦掉了几个字，变成了：八*伴的*辉哥火*（八佰伴，魔都著名商圈）。
你是不是还能看得懂？于是，我们做的数据恢复就像是填字游戏，帮助弱智儿童（电脑），看懂正常人(恢复软件)看得懂的句子。

登录/注册后看高清大图

Figure 2: Deleted Head File
如果表头变成图二那样你就猜不出这是一段文字的话……我也没什么好说的了>_<
我知道有很多名词可能用得有问题= =不过大致原理差不多就这样，求大神别喷
处女答，以上

会员1138298

想了想还是回答的接点地气吧
知道快捷方式吗？你可以理解为硬盘有两层，一层你能看见的，上面全是快捷方式。另一层才是文件。
删除指令只对应快捷方式那一层。文件还在那的。我只要在回到文件的那一层给它在显象层做一个快捷方式(添加索引)然后它就回来了，这就是恢复的原理。
额，继续写吧。解释几个概念

1:初级格式化
可以理解为删除所有快捷方式(其实文件还是在的，只要你不在硬盘里写入东西的话)。
2:高级格式化
删除所有快捷方式，重写并覆盖掉原磁盘内容。(这个无法恢复的)


意思是什么呢，就是文件恢复是建立在你删除这个文件(索引)，并没有在原磁盘写入东西(没有索引的文件没有被覆盖的前提下)，是成立的。

自己看起来还是有点绕，请原谅我语文不好。大神也不要跟我纠结技术层面的事，意思差不多就行了。


大楼的那个比喻很好，点赞。

会员1138318

硬盘就像纸一样
红色区域代表这是一份文件
黑色区域表示这份文件的内容

登录/注册后看高清大图

创建文件的时候,先写上红色区域,就是创建文件
然后再在黑色区域写上文件的内容

删除文件的时候,直接把红色区域抹掉,然后这份文件在电脑上就看不见了
对,就是看不见了
数据怎么恢复呢?在把红色区域重新写上就可以了,电脑就是通过红色区域来判断你是不是文件

有些时候,也有没恢复成功的
那就是当硬盘满的时候,没有地方写了,然后系统就会找不是文件的地方,也就是红色区域被抹掉的区域来存储数据,然后就把以前黑色区域覆盖掉了,这种就是不能被恢复的

打个比方:
小明在作文本上写上标题(我爱我的家) ====> 创建文件标识
小明在作文本上写上内容(祖国是我家) ====> 写入文件内容
系统在显示文件的时候,只显示有标题的文件
小明在作文本上去掉标题(************)  ====>  删除文件
小明在作文本上加上标题(我爱我的家) ====> 恢复文件
小明在作文本上用涂改液改了作文 ====> 源文件被污染不能恢复(这种情况就是不能被恢复的)

会员1138335

只是把文件的编号删除了，也就是说电脑找不到文件，并不是把文件完全粉碎

会员1138296

曾经在单片机上实现过fat32文件系统，每个分区、每个文件夹 每个文件 都有固定的信息头，文件和文件夹的信息头所占字节数是相同的这些信息头记录着以上三种类型的大小、名字、创建时间、修改时间、内容的起始位置等，结束位置可以根据大小和起始位置计算得出，文件的的内容即是文件的内容，文件夹的内容是该文件夹下所有文件和子文件夹的信息头，且内容所占的字节数是对齐的，就比如创建一个记事本，里面就写一个中文字，它的文件大小所占的字节数绝对不是2个字节，按多少字节对齐和系统有关，32位系统的话是32字节对齐即不足32字节按照32字节补齐。 好了，下面回答第一个问题，删掉的文件去哪儿？删掉有两种，一种是将信息头的头两个字节清零，当系统读到这样的信息头时认为是未使用的空间，而此时，被指向的内容未被修改，只是没有信息头指向它了，在系统中看不到这个文件但数据还是在硬盘里，这种方式的删除，数据是可以找回的，只要将那个表头信息找出来就能知道内容的位置 毕竟只是少了前两个字节的数据。另一种的话比较狠，会把信息头和内容的信息全部清零，这种情况下是找不回数据的。windows下有快速格式化和格式化两个格式化的方式，大家应该能想到他们的区别了。 第二个问题，创建一个文件，对磁盘做了什么，首先在当前文件夹的内容里找个空的地方且够大的连续区域，创建信息头，然后把内容数据记录在信息头后面。

因为真的过去很久了，大三做的东西，可能会有纰漏，还请大家指正。且仅针对fat32文件系统，其他文件系统 没研究过   逃（