介质取证-删不掉的文件也能恢复数据

电子数据取证过程中，删除数据恢复当属让办案人员头疼的一大难点，包括恢复涉案聊天记录、文件、音视频、图片/照片等等。

根据数据类型的不同，想要直接恢复数据，其难度也不同。因而间接挖掘删除数据线索的方法，也成为了另一种有效的“恢复手段”。

此前，航哥与大家分享过微信取证过程中的数据恢复关键技巧，本文航哥就再以电脑中的图片文件为例，与大家分享：利用电脑中一些“删不掉”的文件，“恢复”图片文件。

许多小伙伴应该都遇到过这种情况：电脑里面有一些文件想删却删不掉，而且还会一直提示“文件正在使用”的弹窗。就算好不容易删除了，不就后它又会“重生”，让人误以为电脑是不是中了什么病毒。

而其中有一种典型文件类型就是Windows系统中的thumbs.db文件。

简单来说，thumbs.db就是Windows电脑中的缩略图数据库文件，当机主通过“缩略图查看”方式查看图片文件时，系统就会自动生成一个thumbs.db的文件，这样能够有效提升图片的显示刷新效率。

一般情况下，thumbs.db文件都是隐藏的，不容易被发现。

而从Windows Vista开始，整个文件系统的预览缩略图均集中存储在一个位置：

%user%AppDataLocalMicrosoftWindowsExplorer

系统可以不用进入文件的文件夹位置以访问该文件的缩略图缓存。

与thumbs.db文件相似，macOS系统中也有一类“被隐藏”、“删除可重生”的特殊文件，它就是.DS_Store文件。

它是macOS操作系统中用于存储文件夹的自定义属性的隐藏文件，如图标位置、视图设置、背景图像等。使用“访达”查看文件夹，它就会自动创建。