数据恢复软件安全吗_只读扫描和破解版的区别

01只读扫描读的是什么

扫描的时候，软件按扇区顺序读，把读到的内容在内存里分析，结果写进它自己的数据库。整个过程不往原盘写一个字节。

这种操作对盘的损耗和正常打开文件差不多。一块盘设计能读几百万次，扫一遍连零头都用不上。

只读扫描不碰原盘，写操作会改结构

判断一个软件是不是真只读，看它扫描时盘上的灯。读的时候闪，写的时候也闪，看灯分不出来，得看它有没有弹「是否修复」的框。

02哪些动作其实是写

「修复文件系统」「重建分区表」「修复引导」「把 RAW 转回 NTFS」，这四个按钮全是写操作。

写分区表最危险。它按软件猜出来的结构覆盖原来的，猜错了，原来的分区结构就真没了，之后谁也找不回来。

修复文件系统、重建分区表、格式化后恢复

还有「格式化后恢复」这个功能，有的软件会先帮你格式化一遍再扫。这一下就把目录清干净了，本来还能靠目录项找回的文件，只能按簇硬扫。

03破解版的三类风险

第一类是捆绑。安装包里塞下载器，勾选框默认全选，装完浏览器主页被改，多出五六个插件。

第二类是挖矿或者远控。恢复软件要读全盘的权限，这个权限被拿去干什么，你没法验证。

第三类是假软件。界面做得跟正版一样，扫出来的列表是随机生成的，你付了钱，导出的是空文件。

这三类里捆绑最常见，判断方法也简单：看安装包的体积。正版一百多兆，破解包往往三百兆往上，多出来的那部分就是塞进去的东西。

04装的时候注意三件事

装在系统盘，别装在丢了数据的盘上。装的过程要写几百兆，装在原盘上就是自己压自己。

装完先断网跑一遍。断网能挡住大部分偷偷上传的行为，也能防止软件自动更新装些乱七八糟的东西。

导出到第三块盘。原盘只读，系统盘不写，导出盘专门放结果，这三块分开，谁都不影响谁。

装系统盘、原盘只读、导出第三块

判断标准很简单：动原盘的一律不做，只往别的盘写的才做。

05怎么确认它没上传

任务管理器里看网络占用。扫描的时候如果持续有几兆的上传，不正常，读盘不该产生这么大的上行流量。

再严一点，用防火墙把这个程序的外网权限关掉。关了还能正常扫、正常导，说明它本来也不需要联网。

任务管理器、防火墙、离线机器

企业环境更简单，找一台不连内网的机器做，扫完把结果拷出来，机器重装。麻烦一点，但省心。

06还有两个问题