假如只能使用Windows自身供给的工具，那么咱们可以以为清空回收站之后，被删除的文件已经彻底肃清了。不外事实并非如斯，只有有专用的硬件跟软件，即便数据已经被笼罩、驱动器已经从新格局化、领导扇区彻底破坏，或者磁盘驱动器不再运行，我们仍是可以恢复简直所有的文件。
一、磁盘如何保留数据
要懂得如何恢复已删除的数据，首先要搞明白磁盘如何保存数据。硬盘驱动器里面有一组盘片，数据就保存在盘片的磁道(Track)上，磁道在盘片上呈同心圆分布，读/写磁头在盘片的名义挪动访问硬盘的各个区域，因而文件可以随机地散布到磁盘的各个地位，统一文件的各个局部不必定要次序寄存。
存放在磁盘上的数据以簇为分配单位，簇的大小因操作系统和逻辑卷大小的不同而不同。如果一个硬盘的簇大小是4 K，那么保存1 K的文件也要占用4 K的磁盘空间。大的文件可能占用多达数千、数万的簇，疏散到整个磁盘上，操作系统的文件子系统负责各个部门的组织和管理。
当前，Windows支持的硬盘文件系统共有三种。第一种是FAT，即所谓的文件调配表(File Allocation Table)，它是最古老的文件系统，从DOS时期开端就已经有了。Windows 95引入了第二种文件系统，即FAT 32，Windows NT 4.0则引入了第三种文件系统NTFS。这三种文件系统的基础原理都一样，都用一个相似目录的构造来组织文件，目录结构包括一个指向文件首簇的指针，首簇的FAT进口又包含一个指向下一簇地址的指针，依此类推，直至呈现文件的停止标志为止。
二、Windows不能真正清除文件
在Windows中，如果我们用惯例的措施删除一个文件，文件本身并未被真正扫除。例如，如果我们在Windows资源治理器中删除一个文件，Windows会把文件放入回收站，即使我们清空了回收站(或者不启动回收站功能)，操作系统也不会真正消除文件的数据。
Windows所谓的删除实际上只是把文件名称的第一个字母改成一个特别字符，而后把该文件占用的簇标记为闲暇状况，但文件包含的数据仍在磁盘上，下次将新的文件保存到磁盘时，这些簇可能被新的文件使用，从而覆盖本来的数据。因此，只要不保存新的文件，被删除文件的数据实际上仍然完全无缺地保存在磁盘上。
因此，我们可以用工具软件绕过操作系统，直接操作磁盘，恢复被删除的文件。这类工具软件良多，EasyRecovery就是其中的佼佼者。
如果不警惕删除了某个主要文件，想要恢复,www.jiajuu.com/post/465.html，这时千万不要覆盖它。即时停用计算机，不要再向磁盘保存任何文件，包含不要把恢复工具安装到已删除文件所在的硬盘，因为任何写入磁盘的内容都有可能覆盖已删除文件开释的磁盘簇。如果必须装置恢复工具，可以安装到其他硬盘分区、软盘，或者罗唆拆下硬盘到另一台机器上去恢复。
三、覆盖七次才干清除的蛛丝马迹
如果数据已经覆盖，用通常的恢复工具就无能为力了，但这并不象征着我们绝对不能抢救丧失的数据。读取硬盘上被覆盖的数据通常有两种方法。
读/写磁头向磁盘写入数据时，它会将磁化数据位的信号调整到某个恰当的强度，但信号不是越强越好，不应超越一定的界线，免得影响相邻的数据位。因为信号强度不足以使存储媒介到达饱和的磁化状态，所以实际记录在媒介上的信号受到以前保存在同一位置的信号的影响，例如，如果原来记载的数据位是0，当初被一个1覆盖，那么实际记录在磁盘媒介上的信号强度确定不如原来数据位是1的强度。
专用的硬件装备可能准确地检测出信号强度的实际值，将这个值减去当前数据位的尺度强度，就得到了被覆盖数据的副本。实践上，这个进程可以向前递推七次，所以如果要彻底清除文件，必须重复覆盖数据七次以上，每次都用随机天生的数据覆盖。
第二种数据恢复技术的根据是，磁头每次读/写数据时，不可能相对精确地定位在同一个点上，写入新数据的位置不会恰好覆盖在原来的数据上。原有数据总是会留下一些痕迹，利用专用的设备可以剖析出原有数据的副本--称为影子数据。当然，如果我们反复履行覆盖操作，原有数据的痕迹也会越来越弱。
● 影子数据:被覆盖的数据总是与新写入的不离左右，就象人的影子老是紧随着人，因此被覆盖的数据就称为影子数据。英文功力好的读者可以参见这篇专著:http://www.forensics-intl.com/art15.html。
通常而言，可以恢复已删除、覆盖的数据应当算是一件好事，当然，某些必须彻底清除数据的场合除外。这方面最为有名的标准是美国国防部订破的磁盘清洗标准，它请求数据必须覆盖三次:第一次用一个8位的字符覆盖，第二次用该字符的补码(0和1全反转的字符)覆盖，最后用一个随机字符覆盖。不过这个清洗方式不实用于包含高度机密信息的媒介，这类媒介必须进行消磁处理，或者烧毁其物理载体。当然，对大多数场所来说，简单的覆盖处置已经足够。
四、被遗忘的角落
删除和覆盖文件还不能清除硬盘上的所有敏感数据,www.jiajuu.com/post/465.html，由于数据可能隐藏在某些预料之外的处所，所以文件占用的每一个扇区都必须彻底清除所谓扇区，就是大小为512字节的数据片段，每个簇包含多个扇区。
向磁盘写入文件时，文件的最后一部分通常不会刚好填满最后一个扇区，这时操作系统就会随机地提取一些内存数据来填充空余区域。从内存获取的数据称为RAM Slack(内存垃圾)，它可能是计算机启动之后创建、访问、修正的任何数据。另外，最后一个簇中不用到的扇区就一成不变，即保存原来的数据，称为Drive Slack(磁盘渣滓)。问题在于许多号称平安删除文件的工具不会准确清除内存渣滓和磁盘渣滓，而这些被称为渣滓的地方却可能包含大批的敏感信息。
在NTFS文件系统中，每个文件包含多个流，其中一个流用来保存访问权限之类的信息，另一个流用来保存真正的文件数据。除此之外，NTFS还容许额定的数据流，即ADS(Alternative Data Stream)，ADS可以用来保存任何信息，最常见的用处是保存图形文件的缩略图。因为很多保险删除文件的工具不能清除ADS，所以即使存放文件实际数据的流已经清除，但缩略图仍可能泄漏秘密。微软常识库文章319300(http://support.microsoft.com)先容了如何避免系统创建缩略图使用的流，即删除注册键HKEY_LOCAL_MACHINE\System\Currentcontrolset\Control\Contentindex\FilterTrackers。
●ADS:ADS这个缩写词时常用来表现运动目录服务(Active Directory Services)，不过本文中ADS是指“可选数字流”，是文件主体数据之外的从属信息存储区域。就象你的公文包，包里面是正式存放物品的主空间，但包的外面还会有一二个附属小口袋便于疾速取用物品，这些小口袋就相称于ADS。
ADS已是人们熟知的隐蔽数据和病毒之地，常常被盘算机犯法分子应用。但除此之外，硬盘上还有其余可以隐藏数据的区域。
扇区是在低级格式化期间创建的，通常由硬盘制作厂实现。初级格式化工具会标记出损坏的扇区，从而防止磁盘把持器向损坏的区域写入数据。簇包含多个扇区，由高等格式化工具创立，如Windows或DOS的format命令。如果高级格式化期间发明坏扇区，全部簇被标记为坏簇，然而，坏簇里面还有好的扇区，有些人就利用这些扇区来隐藏数据。
在老式磁盘上，数据还可以隐藏在称为扇区缝隙的地方。老式磁盘的每一个磁道都有数量雷同的扇区，但外圈的磁道显然要比内圈的磁道长，有些人就利用外圈磁道上扇区之间的缝隙来保存数据。新型磁盘利用一种称为分区记载(Zoned Recording)的技巧避免了这种空间挥霍，它能够依据磁道的位置调剂每个磁道的扇区数目。
要拜访磁盘上的这类暗藏区域，必需应用绕过操作体系磁盘访问功效的工具。搜寻一下网络，能够看到正规的专业工具都很昂贵，例如EnCase Forensic Edition(www.guidancesoftware.com)要2000多美元;Directory Snoop可能最廉价，也要29美元，但它不支撑NTFS。
综上所述，我们可以说恢复数据实际上要比彻底清除数据简略。如果你不当心删除了某个重要的文件(谁都会碰到这类事件)，恢复工具就是救命的稻草。反之，如果你想出卖二手机或二手磁盘，应该斟酌一下是否有必要彻底地荡涤一下硬盘。(
相关的主题文章：
一、磁盘如何保留数据
要懂得如何恢复已删除的数据，首先要搞明白磁盘如何保存数据。硬盘驱动器里面有一组盘片，数据就保存在盘片的磁道(Track)上，磁道在盘片上呈同心圆分布，读/写磁头在盘片的名义挪动访问硬盘的各个区域，因而文件可以随机地散布到磁盘的各个地位，统一文件的各个局部不必定要次序寄存。
存放在磁盘上的数据以簇为分配单位，簇的大小因操作系统和逻辑卷大小的不同而不同。如果一个硬盘的簇大小是4 K，那么保存1 K的文件也要占用4 K的磁盘空间。大的文件可能占用多达数千、数万的簇，疏散到整个磁盘上，操作系统的文件子系统负责各个部门的组织和管理。
当前，Windows支持的硬盘文件系统共有三种。第一种是FAT，即所谓的文件调配表(File Allocation Table)，它是最古老的文件系统，从DOS时期开端就已经有了。Windows 95引入了第二种文件系统，即FAT 32，Windows NT 4.0则引入了第三种文件系统NTFS。这三种文件系统的基础原理都一样，都用一个相似目录的构造来组织文件，目录结构包括一个指向文件首簇的指针，首簇的FAT进口又包含一个指向下一簇地址的指针，依此类推，直至呈现文件的停止标志为止。
二、Windows不能真正清除文件
在Windows中，如果我们用惯例的措施删除一个文件，文件本身并未被真正扫除。例如，如果我们在Windows资源治理器中删除一个文件，Windows会把文件放入回收站，即使我们清空了回收站(或者不启动回收站功能)，操作系统也不会真正消除文件的数据。
Windows所谓的删除实际上只是把文件名称的第一个字母改成一个特别字符，而后把该文件占用的簇标记为闲暇状况，但文件包含的数据仍在磁盘上，下次将新的文件保存到磁盘时，这些簇可能被新的文件使用，从而覆盖本来的数据。因此，只要不保存新的文件，被删除文件的数据实际上仍然完全无缺地保存在磁盘上。
因此，我们可以用工具软件绕过操作系统，直接操作磁盘，恢复被删除的文件。这类工具软件良多，EasyRecovery就是其中的佼佼者。
如果不警惕删除了某个主要文件，想要恢复,www.jiajuu.com/post/465.html，这时千万不要覆盖它。即时停用计算机，不要再向磁盘保存任何文件，包含不要把恢复工具安装到已删除文件所在的硬盘，因为任何写入磁盘的内容都有可能覆盖已删除文件开释的磁盘簇。如果必须装置恢复工具，可以安装到其他硬盘分区、软盘，或者罗唆拆下硬盘到另一台机器上去恢复。
三、覆盖七次才干清除的蛛丝马迹
如果数据已经覆盖，用通常的恢复工具就无能为力了，但这并不象征着我们绝对不能抢救丧失的数据。读取硬盘上被覆盖的数据通常有两种方法。
读/写磁头向磁盘写入数据时，它会将磁化数据位的信号调整到某个恰当的强度，但信号不是越强越好，不应超越一定的界线，免得影响相邻的数据位。因为信号强度不足以使存储媒介到达饱和的磁化状态，所以实际记录在媒介上的信号受到以前保存在同一位置的信号的影响，例如，如果原来记载的数据位是0，当初被一个1覆盖，那么实际记录在磁盘媒介上的信号强度确定不如原来数据位是1的强度。
专用的硬件装备可能准确地检测出信号强度的实际值，将这个值减去当前数据位的尺度强度，就得到了被覆盖数据的副本。实践上，这个进程可以向前递推七次，所以如果要彻底清除文件，必须重复覆盖数据七次以上，每次都用随机天生的数据覆盖。
第二种数据恢复技术的根据是，磁头每次读/写数据时，不可能相对精确地定位在同一个点上，写入新数据的位置不会恰好覆盖在原来的数据上。原有数据总是会留下一些痕迹，利用专用的设备可以剖析出原有数据的副本--称为影子数据。当然，如果我们反复履行覆盖操作，原有数据的痕迹也会越来越弱。
● 影子数据:被覆盖的数据总是与新写入的不离左右，就象人的影子老是紧随着人，因此被覆盖的数据就称为影子数据。英文功力好的读者可以参见这篇专著:http://www.forensics-intl.com/art15.html。
通常而言，可以恢复已删除、覆盖的数据应当算是一件好事，当然，某些必须彻底清除数据的场合除外。这方面最为有名的标准是美国国防部订破的磁盘清洗标准，它请求数据必须覆盖三次:第一次用一个8位的字符覆盖，第二次用该字符的补码(0和1全反转的字符)覆盖，最后用一个随机字符覆盖。不过这个清洗方式不实用于包含高度机密信息的媒介，这类媒介必须进行消磁处理，或者烧毁其物理载体。当然，对大多数场所来说，简单的覆盖处置已经足够。
四、被遗忘的角落
删除和覆盖文件还不能清除硬盘上的所有敏感数据,www.jiajuu.com/post/465.html，由于数据可能隐藏在某些预料之外的处所，所以文件占用的每一个扇区都必须彻底清除所谓扇区，就是大小为512字节的数据片段，每个簇包含多个扇区。
向磁盘写入文件时，文件的最后一部分通常不会刚好填满最后一个扇区，这时操作系统就会随机地提取一些内存数据来填充空余区域。从内存获取的数据称为RAM Slack(内存垃圾)，它可能是计算机启动之后创建、访问、修正的任何数据。另外，最后一个簇中不用到的扇区就一成不变，即保存原来的数据，称为Drive Slack(磁盘渣滓)。问题在于许多号称平安删除文件的工具不会准确清除内存渣滓和磁盘渣滓，而这些被称为渣滓的地方却可能包含大批的敏感信息。
在NTFS文件系统中，每个文件包含多个流，其中一个流用来保存访问权限之类的信息，另一个流用来保存真正的文件数据。除此之外，NTFS还容许额定的数据流，即ADS(Alternative Data Stream)，ADS可以用来保存任何信息，最常见的用处是保存图形文件的缩略图。因为很多保险删除文件的工具不能清除ADS，所以即使存放文件实际数据的流已经清除，但缩略图仍可能泄漏秘密。微软常识库文章319300(http://support.microsoft.com)先容了如何避免系统创建缩略图使用的流，即删除注册键HKEY_LOCAL_MACHINE\System\Currentcontrolset\Control\Contentindex\FilterTrackers。
●ADS:ADS这个缩写词时常用来表现运动目录服务(Active Directory Services)，不过本文中ADS是指“可选数字流”，是文件主体数据之外的从属信息存储区域。就象你的公文包，包里面是正式存放物品的主空间，但包的外面还会有一二个附属小口袋便于疾速取用物品，这些小口袋就相称于ADS。
ADS已是人们熟知的隐蔽数据和病毒之地，常常被盘算机犯法分子应用。但除此之外，硬盘上还有其余可以隐藏数据的区域。
扇区是在低级格式化期间创建的，通常由硬盘制作厂实现。初级格式化工具会标记出损坏的扇区，从而防止磁盘把持器向损坏的区域写入数据。簇包含多个扇区，由高等格式化工具创立，如Windows或DOS的format命令。如果高级格式化期间发明坏扇区，全部簇被标记为坏簇，然而，坏簇里面还有好的扇区，有些人就利用这些扇区来隐藏数据。
在老式磁盘上，数据还可以隐藏在称为扇区缝隙的地方。老式磁盘的每一个磁道都有数量雷同的扇区，但外圈的磁道显然要比内圈的磁道长，有些人就利用外圈磁道上扇区之间的缝隙来保存数据。新型磁盘利用一种称为分区记载(Zoned Recording)的技巧避免了这种空间挥霍，它能够依据磁道的位置调剂每个磁道的扇区数目。
要拜访磁盘上的这类暗藏区域，必需应用绕过操作体系磁盘访问功效的工具。搜寻一下网络，能够看到正规的专业工具都很昂贵，例如EnCase Forensic Edition(www.guidancesoftware.com)要2000多美元;Directory Snoop可能最廉价，也要29美元，但它不支撑NTFS。
综上所述，我们可以说恢复数据实际上要比彻底清除数据简略。如果你不当心删除了某个重要的文件(谁都会碰到这类事件)，恢复工具就是救命的稻草。反之，如果你想出卖二手机或二手磁盘，应该斟酌一下是否有必要彻底地荡涤一下硬盘。(
相关的主题文章：
全站熱搜
留言列表
