当前位置：

社区首页

电脑数码

电脑配件

硬盘

文章详情

彻底删除的照片去哪了？实测扇区与固态幽灵数据

专栏：第404号工位 · 极客解密
作者：工位小哥
标签：数据恢复真相 · 存储底层原理 · 固态硬盘TRIM · 手机硬件加密 · 隐私防范实操

在数码领域，有两件几乎所有人都经历过、却又充满未知与纠结的事情：

第一件，是你想在二手平台上卖掉用了几年的旧电脑、旧移动硬盘或者旧手机。哪怕你反复点了好几遍“清空回收站”，甚至右键点了“格式化”，心里依然直打鼓：“买家会不会用网上的数据恢复软件，把我的私密照片、工作文档甚至微信聊天记录全给找出来？”

第二件，是你不小心手抖误删了极其重要的照片或工作文件。你火急火燎地上网搜索，各大平台扑面而来的全是号称“神仙也能救”、“恢复率 99%”的商业恢复大师。你花了几十块钱，发现它有时候真能把你半年前删掉的几千张图片如幽灵般扫出来；但有时候换了一台新电脑尝试恢复，它又吐出一堆全是 0 字节的损毁文件。

操作系统界面上那个轻描淡写的“删除”，到底对底层存储做了什么？

为了看清底层的真相，我们在 404 工位的硬件测试台上，找来了三种最具代表性的存储设备——传统机械硬盘（HDD）、现代固态硬盘（NVMe SSD）以及主流智能手机（iPhone 与 Android）。通过底层十六进制扫描与存储通信抓包，带大家亲眼看看那些“已彻底删除”的数据，到底去了哪儿。

一、机械硬盘与普通 U 盘：删除，只是一场骗过眼睛的“障眼法”

很多人直觉上认为：我在电脑里点了“删除”，硬盘上的磁粉或者电路就会立刻把那段数据彻底抹平。

其实完全不是这样。

在传统机械硬盘、FAT32 或 exFAT 格式的普通 U 盘与相机卡上，操作系统做的事情，本质上只相当于在一本书的“目录页”上，用铅笔把某一章的名字划掉了而已。后面的正文内容，原封不动地留在纸上。

为了验证这一点，我们在一个普通磁盘分区中，存入了一张测试照片 secret_photo.jpg。在删除前，我们记录下它的几个关键信息：

照片特有的开头暗号：JPEG 标准起始十六进制字节 FF D8 FF E1
它在磁盘上的物理存放位置：扇区编号 0x004A2000

配图-07-01-文件系统删除逻辑与物理扇区裸奔原理

此时，我们在系统里按下 Shift + Delete（永久删除）。

在屏幕上，文件瞬间消失了，磁盘剩余空间也多出了 4MB。

但紧接着，我们直接绕过操作系统的常规文件列表，用底层磁盘工具直接去刚才那个物理位置“推门看一眼”：

# 绕过文件系统，直接从该扇区位置读取数据 dd if=/dev/sdb1 bs=512 skip=4857856 count=2 | hexdump -C

屏幕上打出的真实底层数据让人一目了然：

开头依然是醒目的 ff d8 ff e1，结尾依然是标准的 ff d9（图片结束标记），中间还清清楚楚地印着相机的型号。

整张图片的二进制数据，在没有被新文件写入覆盖之前，完完整整地留在物理存储空间中！

为什么市面上的数据恢复软件常常能得手？

所谓的恢复软件，其实并没有什么神秘的高科技，主要就靠两招死板的手法：

在常见的硬盘系统里，每个文件都有自己的“档案卡片”。你按删除，系统只是在卡片上随手改了个状态，标记成“已注销、空间可用”，意思是“以后有新文件可以往这里写”。但里面的旧数据根本没动。恢复软件跑过来把卡片上的注销标记取消，一秒钟就能让原来的文件名、文件夹层级完好复原。

大海捞针盲搜（特征扫描恢复）：

哪怕你把整个目录索引都清空、格式化了，恢复软件还能暴力硬扫——从磁盘第 1 个扇区挨个往后翻。

只要翻到 FF D8 FF E1 这个“照片开头暗号”，就知道后面跟着一张图；顺着往下读，直到碰见 FF D9“结尾暗号”，把中间这段直接生切出来保存。这就是为什么很多找回来的照片丢失了原本的名字、统一变成了 FILE0001.JPG，但打开一看画面依然完整。

结论一：在机械硬盘、普通 U 盘和内存卡里，“常规删除”就相当于把房间挂了个“招租”牌子。在新的房客（新文件）搬进来把你原来的东西填满覆盖之前，旧行李其实一直在屋里放着。

二、固态硬盘（SSD）的反转：为什么一删就直接变全零？

那是不是说，所有电脑里的文件删了都能找回来？

如果你把实验搬到现代电脑的 内置固态硬盘（SSD） 上，情况就会大不一样。

我们在现代固态硬盘上重复上面的实验：存入同一张图片，记录好它的存储位置。

在系统里执行删除，并让系统发出清理通知（TRIM）：

rm secret_photo.jpg # 触发系统向固态硬盘发送空间释放通知 fstrim -v /

删除仅仅过去了 3 秒钟，我们再次去刚才那个相同的物理位置读取数据：

0004a200 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 |................| * 0004a240

终端屏幕上只吐出了一长串整整齐齐的 00。中间的星号 * 表示：往后所有被划掉的区域，直接全部变成了纯零！

在这类现代内置固态硬盘上，普通恢复软件跑去扫描，读出来的自然全是一堆空荡荡的零字节坏文件。

配图-07-02-固态硬盘TRIM指令与FTL逻辑解绑实测对比

为什么固态硬盘要如此积极地“填零”？

这主要不是为了保护你的隐私，而是由固态硬盘内部闪存芯片的天性决定的性能自救：

闪存无法在旧字上面直接改写：

机械硬盘就像黑板，拿粉笔可以随时在旧字迹上直接写新字；但固态硬盘的闪存芯片更像方格草稿纸，写字只能在空白格子里写。如果格子里有旧内容，它不能直接覆盖，必须先把整整一大页（往往是几兆大小的一个区块）全部拿橡皮擦干净，才能重新动笔。

提前打扫卫生（TRIM 通知机制）：

如果不提前通知，固态硬盘根本不知道你已经删了文件。等到以后磁盘空间满了要写新文件时，固态硬盘才手忙脚乱地一边搬运有用数据、一边现场擦除大区块，此时写入速度会直接出现断崖式暴跌（这就是早期老固态越用越卡的根源）。

主控直接“解绑装傻”：

所以只要你一删文件，现代操作系统就会发一个叫 TRIM 的通知告诉固态硬盘：“这片地方我不要了”。固态硬盘的主控芯片收到后，立刻在自己的地址簿里把这片地方“解绑”。此后再有任何软件跑来读取这个地址，主控看都不用看芯片颗粒，直接懒洋洋地返回一长串纯零。

工程小贴士：在专业硬件取证领域，如果主控还没来得及对底层芯片执行物理清空，用昂贵且专用的硬件仪器直接读取闪存芯片，在极短时间窗口内理论上仍可能有残留碎片；但在日常使用与普通民用恢复软件的视角下，恢复通道已经基本关闭。

🚨 注意例外：外接 USB 移动固态硬盘盒

但是，这里有一个日常极容易踩坑的例外！

如果你的固态硬盘不是直接插在电脑主板上，而是装在几十块钱的外接 USB 移动硬盘盒里，情况可能会完全不同。

市面上大量廉价的移动硬盘盒转接芯片，根本听不懂操作系统发出的这套“提前清理通知（TRIM）”，直接在传输中把通知给吞掉了。

我们在系统里对外接硬盘盒进行查询：

lsblk --discard /dev/sdc

输出显示：丢弃支持一栏全是 0B（意味着通知完全送不进去）。

在这样的外置移动固态硬盘里，由于清理通知从未到达过固态芯片，你删掉的文件依然像在机械硬盘里一样，完好地封存在芯片里，依然有被别人用恢复软件扫出来的可能！

结论二：电脑内置的现代固态硬盘，删除后通常很快就会被主控清空返回全零；但如果是装在普通 USB 硬盘盒里的移动固态，删除依然大概率只是在目录上画了个叉，数据本身可能依然在裸奔。

三、智能手机：为什么卖手机不用怕，但微信单删却能被找回？

聊完电脑，回到大家最常关心的核心问题：“卖旧手机到底安不安全？网上那些宣称能‘恢复几年前微信记录’的是怎么回事？”

其实，这里必须分清两种完全不同的情况：整机恢复出厂设置（全盘） 与 日常在 App 内部随手单删某句话（局部）。

1. 恢复出厂设置后，数据还能被找回来吗？

结论是：只要你的手机正常设置了锁屏密码，点击系统自带的恢复出厂设置后，常规手段几乎不可能把数据恢复出来。

现代智能手机（包括 iPhone 和近些年主流的 Android 手机），早已全系标配了芯片级硬件加密。

在手机的闪存芯片里，从来没有一条未加密的明文数据：

+-----------------------------------------------------------------------------------+ | 现代智能手机硬件加密与秒级销毁模型 | +-----------------------------------------------------------------------------------+ | | | 用户私密文件 (照片/聊天记录) | | │ | | ▼ | | [ 独立硬件加密模块 ] <──────── 提取一把把独立小钥匙 | | │ │ | | ▼ (密文存进芯片) │ (被总钥匙保护) | | [ 手机闪存芯片 ] ▼ | | 里面存的全是像天书一样的密文 [ 独立安全芯片 (如苹果 Secure Enclave) ] | | 存放: 掌管全家钥匙的【主凭据总钥匙】 | | │ | | 用户执行【恢复出厂设置】 | | │ | | ▼ | | [ 瞬间物理砸碎销毁总钥匙 ] | | (只抹掉这几个字节，全盘密文瞬间永远失去解密可能) | +-----------------------------------------------------------------------------------+

它的原理其实非常好理解：

一文件一把锁：你拍下的每一张照片、存下的每一个视频，在写进存储芯片时，都被套上了一个带密码锁的小盒子；
总钥匙锁进防弹保险柜：开这成千上万个盒子的总钥匙，被单独锁在手机内部一个独立的安全芯片里（苹果叫 Secure Enclave，安卓叫安全安全域 TEE）；
出厂重置只砸钥匙（密码学擦除）：

当你点击系统里的“抹掉所有内容和设置 / 恢复出厂设置”时，手机根本不需要大费周章地把几百 G 的存储从头到尾擦写一遍。

它只在千分之一秒内做了一件事：在安全芯片里，把掌管所有数据的“总钥匙”当场物理销毁！

总钥匙一旦灰飞烟灭，剩下的那几百 G 密文，就算别人拿风枪把芯片吹下来焊进读取器，读出来的也只是一堆谁也解不开的乱码天书。以目前人类的计算能力，强行暴力破解无缺陷的高强度加密几乎是不可能完成的任务。

结论三：只要现代手机设置了锁屏密码并执行了系统官方的出厂抹掉，市面上那些号称花几百块就能把照片全部复原的广告，绝大部分都是利用信息差的忽悠套路（除非数据原本就开着自动云同步，别人是从云端重新拉下来的）。

2. 既然如此，为什么有人真能查到“被删掉的微信聊天记录”？

这就引出了许多人认知里的最大盲区：很多人的手机根本没有恢复出厂设置，而是在手机正常使用时，在微信对话框里左滑单删了某条消息。

这时候，手机的总钥匙完好无损，系统也在正常解密运行。

而微信这类软件，把聊天记录保存在本地的一个数据库小账本里。

我们在调试环境中把微信本地的聊天数据账本拆开看：

# 检查数据库未整理的空闲区域 sqlite3 EnMicroMsg.db "PRAGMA freelist_count;" # 扫描未被覆盖的文本碎片 strings -n 6 EnMicroMsg.db | grep -E "卡号|老地方"

终端里立刻跳出了刚被单删的那两句话：

[已删记录残留] "银行卡号 622202 验证码 7349"

[已删记录残留] "今晚八点老地方见"

配图-07-03-现代手机FBE文件级加密与密钥销毁架构

这背后的道理其实非常接地气：

账本只做记号，没撕纸：你在微信里删一条消息，为了保证速度不卡顿，软件并不会立刻拿涂改液把这句话从账本里彻底抠掉。它只是在这一行的开头悄悄打了个小记号：“此行已作废，以后写新消息可以占用”。但原来的文字依然留在那里；
临时缓存还没清理：删除记录通常会先记在临时日志里，只要数据库没有进行深度碎片整理，那些字迹就会在空隙里停留很长时间。

网上那些“微信恢复大师”，根本不是什么攻破了底层芯片，纯粹是在手机还没恢复出厂设置的前提下，跑去翻了翻账本里打了作废记号、但还没被新字迹覆盖的纸条而已。

这根本不是把死数据救活，而是在垃圾桶还没被倒出去之前，跑过去翻了翻垃圾袋。

四、二手设备处置指南：怎么处理才能放心转手？

搞清楚了不同设备的底层特性，我们在转手旧手机、旧电脑与旧硬盘时，只要按照以下三套标准步骤操作，就能科学、稳妥地防范隐私风险：

1. 针对智能手机（iPhone / Android）

第一步：退出你的 Apple ID 或安卓厂商云账号，关闭“查找设备”功能与相册云同步；
第二步：确认手机设有锁屏密码（这能保证硬件加密体系处于正常启用状态）；
第三步：直接点击系统里的 【抹掉所有内容和设置】（恢复出厂设置）。
无需做画蛇添足的动作：网上有人教你恢复出厂后把手机重新拷满无用的大视频再删一遍，对于具备硬件加密的现代手机而言，这除了白白损耗芯片寿命外，并不会带来额外的安全收益。

2. 针对电脑内置固态硬盘（SSD）

切忌用某些软件去反复写几十遍磁盘：那不仅会白白损耗闪存寿命，而且由于固态硬盘有均衡磨损机制，有些隐藏区域软件根本覆写不到。
推荐做法：重启电脑进入主板 BIOS 设置界面，在工具栏里找到主板自带的 Secure Erase（安全擦除）。主控会在几秒钟内完成底层重置，既干净又完全不伤寿命。