根据这个解释 [1] 如何从 SQLite 数据库中恢复已删除的记录,当您删除记录时会发生两件事:包含已删除记录的区域被添加到空闲列表(作为空闲块)和内容区域中的“标题”被覆盖。
内容本身没有(或只有几个字节)被覆盖,因此例如通过使用十六进制编辑器打开数据库文件,您仍然可以看到已删除记录的部分内容。
因此,要检查这是否正确,这是一个最小的示例:
sqlite3 example.db
sqlite> CREATE TABLE 'test'(aColumn VARCHAR(25));
sqlite> INSERT INTO test VALUES('AAAAAAAAAA');
sqlite> INSERT INTO test VALUES('BBBBBBBBBB');
sqlite> INSERT INTO test VALUES('CCCCCCCCCC');
sqlite> DELETE FROM test WHERE aColumn = 'BBBBBBBBBB';
我现在期待的是——用十六进制编辑器打开文件——在 CCCC…和 AAAA…之间仍然有一些 B(但 B 之前的一些字节或前几个 B 应该被覆盖)。真正发生的是带有 Bs 的整个区域已被空字节覆盖。
这也发生在较大的数据库中。内容区域总是用空字节清理,因此不可能恢复任何东西。
我必须使用任何选项或标志来获得博文中显示的结果吗?
我需要以这种方式创建我的 SQLite 数据库,以便能够使用取证工具恢复已删除的记录(或其中的一部分)。