如果只能使用Windows本身提供的工具，那么我们可以认为清空回收站之后，被删除的文件已经彻底清除了。不过事实并非如此，只要有专用的硬件和软件，即使数据已经被覆盖、驱动器已经重新格式化、引导扇区彻底损坏，或者磁盘驱动器不再运转，我们还是可以恢复几乎所有的文件。
解析Windows系统文件的完全清除(下)
四、被遗忘的角落
删除和覆盖文件还不能清除硬盘上的所有敏感数据，因为数据可能隐藏在某些意料之外的地方，所以文件占用的每一个扇区都必须彻底 清洗??所谓扇区，就是大小为512字节的数据片断，每个簇包含多个扇区。
向磁盘写入文件时，文件的最后一部分通常不会恰好填满最后一个扇区，这时操作系统就会随机地提取一些内 存数据来填充空余区域。从内存获取的数据称为RAM Slack（内存渣滓），它可能是计算机启动之后创建、访问、修改的任何数据。另外，最后一个簇中没有用到的扇区就原封不动，即保留原来的 数据，称为Drive Slack（磁盘渣滓）。问题在于许多号称安全删除文件的工具不会正确清除内存渣滓和磁盘渣滓，而这些被称为渣滓的地方却可能包含大量的敏 感信息。
在NTFS文件系统中，每个文件包含多个流，其中一个流用来保存访问权限之类的信息，另一个流用来保存真正的文件数据。除此之外， NTFS还允许额外的数据流，即ADS（Alternative Data Stream），ADS可以用来保存任何信息，最常见的用途是保存图形文件的缩略图。由于许多安全删除文件的工具不能清除ADS，所以即使存放文 件实际数据的流已经清除，但缩略图仍可能泄露机密。微软知识库文章319300（http://support.microsoft.com）介绍了如何防止系统创建缩 略图使用的流，即删除注册键HKEY_LOCAL_MACHINE\System\Currentcontrolset\Control\Contentindex\FilterTrackers。
●ADS：ADS这个缩写词经常用来表示活动目录服务（Active Directory Services），不过本文中ADS是指“可选数字流”，是文件主体数据之外的附属信息存储区域。就象你的公文包，包里面是正式存放物品的主空 间，但包的外面还会有一二个附属小口袋便于快速取用物品，这些小口袋就相当于ADS。
ADS已是人们熟知的隐藏数据和病毒之地，经常被计算机犯罪分子利用。但除此之外，硬盘上还有其他可以隐藏数据的区域。
扇区是在低级格式化期间创建的，通常由硬盘制造厂完成。低级格式化工具会标记出损坏的扇区，从而避免磁盘控制器向损坏的区域写 入数据。簇包含多个扇区，由高级格式化工具创建，如Windows或DOS的format命令。如果高级格式化期间发现坏扇区，整个簇被标记为坏簇， 但是，坏簇里面还有好的扇区，有些人就利用这些扇区来隐藏数据。
在老式磁盘上，数据还可以隐藏在称为扇区缝隙的地方。老式磁盘的每一个磁道都有数量相同的扇区，但外圈的磁道显然要比内圈的磁 道长，有些人就利用外圈磁道上扇区之间的缝隙来保存数据。新型磁盘利用一种称为分区记录（Zoned Recording）的技术避免了这种空间浪费，它能够根据磁道的位置调整每个磁道的扇区数量。
要访问磁盘上的这类隐藏区域，必须使用绕过操作系统磁盘访问功能的工具。搜索一下网络，可以看到正规的专业工具都很昂贵，例如 EnCase Forensic Edition（www.guidancesoftware.com）要2000多美元；Directory Snoop可能最便宜，也要29美元，但它不支持NTFS。
综上所述，我们可以说恢复数据实际上要比彻底清除数据简单。如果你不小心删除了某个重要的文件（谁都会遇到这类事情），恢复工 具就是救命的稻草。反之，如果你想出售二手机或二手磁盘，应当考虑一下是否有必要彻底地清洗一下硬盘。
网友评论