DIY计算机取证：如何恢复已删除的文件

我是僵尸电影的忠实粉丝，并且总是想知道你是否可以应用相同的概念来恢复死者的文件？我不是在谈论虚拟的“回收站”。这很简单。我正在直接谈论我删除了这个文件和现在我想要带回来的类型的东西。可以吗？

好吧，我做了一些研究和一些动手测试，我很高兴地报告说，在某些情况下，你可以从死里复活。当然，有一些警告，你还需要一些特殊的取证数据恢复工具（免费试用可用于测试目的），但我们将在一分钟内完成。

删除文件时会发生什么？

我们来谈谈删除文件时会发生什么。在许多操作系统中，文件的数据被移动到临时保留区域，例如“回收站”，在那里可以恢复或清除它，以便可以回收它占用的磁盘空间。但究竟发生了什么？在许多情况下，仅删除指向文件数据位于物理磁盘上的位置的指针。即使在清空回收站之后也可能是这种情况。

那数据怎么样？还在吗？

除非操作系统采用某种安全删除功能，否则实际数据可能仍然存在，你只是无法在文件目录中看到它，除非你有正确的工具（提示CSI标题音乐为红色 - 头上的家伙穿上他的太阳镜）。

我过去曾尝试过一些声称的文件恢复工具。我发现在实际做它声称做的事情上最有效的是来自R-Tools Technology的名为R-Studio的应用程序。 R-Studio是一种重型取证数据恢复解决方案。它的价格从49.99美元到899.99美元不等，具体取决于您购买的许可类型以及您尝试从中恢复数据的文件系统类型（即FAT32，NTFS等）。

提供免费的演示副本，允许您扫描磁盘以查找可以恢复的已删除文件。该演示只允许您恢复小于64KB的文件，但至少它允许您扫描以查看您认为丢失的文件是否仍然可以恢复。

R-tools警告您永远不应将该工具安装到您尝试从中恢复数据的同一磁盘上。这样做的原因是，当您在要从中恢复某些内容的磁盘上安装任何程序时，安装软件本身的行为可能会覆盖包含您要恢复的文件的磁盘区域。

这个软件不适合计算机新手，但在合适的人手中，R-studio是病毒攻击，系统黑客攻击后的强大灾难恢复解决方案，或者当您的西施决定将一整瓶啤酒敲到笔记本电脑上时。 （这不是偶然的，她故意这样做）。

坏人可以使用这些工具吗？

您可能想知道是否有人可以使用这些取证工具来恢复已删除的文件，我怎样才能确保删除的内容真的消失了所以坏人无法使用这些相同的工具复活它？以下三种方法可使您的文件尽可能无法恢复。

• 使用文件或整个磁盘加密解决方案，如TrueCrypt（免费提供）
• 定期使用磁盘碎片工具（不是保证的保护形式，但确实有帮助）
• 格式化硬盘驱动器时，请使用安全驱动器擦除实用程序将零或垃圾数据写入驱动器并进行多次擦除。

R-tools软件声称即使在重新格式化和重新分区（在某些情况下）之后也能够从驱动器中恢复数据。鉴于这一事实，如果您正在销售计算机，那么保留硬盘驱动器或在销售之前使用安全驱动器擦除实用程序可能是个好主意。