[psac]

如果只能使用Windows本身提供的工具，那麼我們可以認為清空資源回收桶之後，被移除的文件已經徹底清除了。不過事實並非如此，只要有專用的 硬體和軟體，即使資料已經被覆蓋、驅動器已經重新格式化、啟始扇區徹底損壞，或者磁碟機不再運轉，我們還是可以恢復幾乎所有的文 件。

一、磁牒如何儲存資料

要理解如何恢復已移除的資料，首先要搞清楚磁牒如何儲存資料。硬碟驅動器裡面有一組碟片，資料就儲存在碟片的磁軌（Track）上，磁 道在碟片上呈同心圓分佈，讀/寫磁頭在碟片的表面移動訪問硬碟的各個區域，因此文件可以隨機地分佈到磁牒的各個位置，同一文件的各個部 分不一定要順序存放。

存放在磁牒上的資料以簇為分配服務機構，簇的大小因操作系統和邏輯磁碟區大小的不同而不同。如果一個硬碟的簇大小是4 K，那麼儲存1 K的文件 也要佔用4 K的磁牒空間。大的文件可能佔用多達數千、數萬的簇，分散到整個磁牒上，操作系統的文件子系統負責各個部分的組織和管理。

當前，Windows支持的硬碟文件系統共有三種。第一種是FAT，即所謂的mbr（File Allocation Table），它是最古老的文件系統，從DOS時代開始就已經有了。Windows 95引入了第二種文件系統，即FAT 32，Windows NT 4.0則引入了第三種文件系統NTFS。這三種文件系統的基本原理都一樣，都用一個類似目錄的結構來組織文件，目錄結構包含一個指向文件首簇 的游標，首簇的FAT入口又包含一個指向下一簇位址的游標，依此類推，直至出現文件的結束標記為止。

二、Windows不能真正清除文件

在Windows中，如果我們用一般的辦法移除一個文件，文件本身並未被真正清除。例如，如果我們在Windows檔案總管中移除一個文件， Windows會把文件放入資源回收桶，即使我們清空了資源回收桶（或者不啟動資源回收桶功能），操作系統也不會真正清除文件的資料。

Windows所謂的移除實際上只是把檔案名稱的第一個字母改成一個特殊字串，然後把該檔案佔用的簇標記為空閒狀態，但文件包含的資料仍 在磁牒上，下次將新的文件儲存到磁牒時，這些簇可能被新的文件使用，從而覆蓋原來的資料。因此，只要不儲存新的文件，被移除文件的數 據實際上仍舊完整無缺地儲存在磁牒上。

因此，我們可以用工具軟體繞過操作系統，直接操作磁牒，恢復被移除的文件。這類工具軟體很多，EasyRecovery就是其中的佼佼者。

如果不小心移除了某個重要文件，想要恢復，這時千萬不要覆蓋它。立即停用電腦，不要再向磁牒儲存任何文件，包括不要把恢復工具安 裝到已移除文件所在的硬碟，因為任何寫入磁牒的內容都有可能覆蓋已移除文件解壓縮的磁牒簇。如果必須安裝恢復工具，可以安裝到其他硬碟 分區、軟碟，或者乾脆拆下硬碟到另一台電腦上去恢復。

三、覆蓋七次才能清除的蛛絲馬跡

如果資料已經覆蓋，用通常的恢復工具就無能為力了，但這並不意味著我們絕對不能挽救丟失掉的資料。讀取硬碟上被覆蓋的資料通常有兩種 辦法。

讀/寫磁頭向磁牒寫入資料時，它會將磁化資料位的信號調整到某個適當的強度，但信號不是越強越好，不應超出一定的界限，以免影響相 鄰的資料位。由於信號強度不足以使儲存於媒介達到飽和的磁化狀態，所以實際記錄在媒介上的信號受到以前儲存在同一位置的信號的影響，例 如，如果原來記錄的資料位是0，現在被一個1覆蓋，那麼實際記錄在磁牒媒介上的信號強度肯定不如原來資料位是1的強度。