问文件的数据恢复取决于它的扩展名吗？

EN

文件基本上是物理文件系统上的数据和逻辑文件系统上的引用。包含其扩展名的文件名是逻辑层的一部分。一旦文件从该层中删除，物理块(现在没有来自逻辑层的引用)被标记为可用。在这个阶段，文件的内容仍然是可读的，直到它被另一个文件覆盖，但是名称和扩展名都消失了。

因此，删除文件的数据恢复更多地取决于数据格式而不是扩展名。有些格式，除非文件是支离破碎的，更容易被清晰和严格定义的开始和结束所识别。一些例子包括：

• JPEG图像(和派生格式)是分段序列，每个开始和大多数结束都有一个新的标记，如图像的0xFFD8开始和图像的0xFFD9结束。
• ZIP存档由文件条目组成，以引用这些文件的中心目录结束。它就像单个文件中的一个小文件系统。
• TAR档案对每个文件有一个512字节的头，然后将文件舍入为512字节并填充(通常为零)。
• 例如，从文本文件中可以很容易识别，因为它可以从<?xml开始，由根元素和子元素组成，每个元素都有一个定义的结尾。
• 现代Microsoft Office文件。Office文件是ZIP打包的基于XML的文档。

由于这些文件是可识别的，所以它们的恢复速度更快。时间取决于需要定义、识别和分析的格式。例如，如果您知道您只是在JPEG图像之后，您可以将此过程缩小到JPEG标记。