> > А вот удаленные файлы скопировать не получится.
> Получится. Методом копирования образа целиком.
И всё равно для исследования может потребоваться оригинальный жёсткий диск, потому что у современных жёстких дисков есть резервные области, которыми потихоньку замещаются сбойные сектора. Сбойные сектора замещаются электроникой самого диска путём переназначения их номеров номерами секторов из числа резервных. Копированием образа целиком данные из этих переназначенных секторов получить невозможно.
> почему не получится? если копировать по секторам и если вдруг сектор битый, то электроника диска сама достанет и отдаст его замену из резервной области.
Угадай с трёх раз, что там будет записано в подменяющем секторе из резервной области? Правильно, нули. Подмена же выкатывается тогда, когда электроника не в состоянии считать (читай: восстановить) информацию из замещаемого сектора. Вот она и подгоняет вместо него пустой и чистый сектор, а данные, путь и битые, скрывает. Кроме того, ходят упорные слухи, что какими-то специфическими командами можно скрывать даже исправные сектора жёсткого диска, распределяя на их место резервные, что позволяет эффективно препятствовать даже посекторному копированию данных.
> > Копированием образа целиком данные из этих переназначенных секторов получить невозможно.
> Вообще возможно. Если копировать правильно и на правильном оборудовании. Так делают, например, при восстановлении данных. Но это уметь надо.
Ну так копирование образа целиком, оно же посекторное копирование, в обиходе -- это dd, а вовсе нифига не копирование на правильном оборудовании, в обход штатной электроники диска.
Сейчас, сейчас
> Получится. Методом копирования образа целиком.
И всё равно для исследования может потребоваться оригинальный жёсткий диск, потому что у современных жёстких дисков есть резервные области, которыми потихоньку замещаются сбойные сектора. Сбойные сектора замещаются электроникой самого диска путём переназначения их номеров номерами секторов из числа резервных. Копированием образа целиком данные из этих переназначенных секторов получить невозможно.