文件恢复，神奇的“后悔药”
专题快递
通过前面的介绍，我们已经了解了文件存储和文件删除的机理，并了解了一些文件保护的简单方法，下面我们就来谈一谈如何恢复被删除文件。
一、被删除文件的恢复原理
现在我们知道了，在文件删除时，当我们用DOS命令删除一个文件或者在Windows下删除一个文件并清空回收站后，被删除文件原先在磁盘中的存储空间并没有被清空归零，文件删除其实只是对被删除文件作了一个删除标记，而被你删除的文件内容其实会一直保存下去直到你往硬盘中写入了其他内容将它们覆盖为止。所以文件恢复的原理其实非常简单，只要你在覆盖前把被删除文件文件头上的删除标记去掉，就可以将这个被删除文件恢复了。
原理虽然简单，但实际操作中却没有这么容易，这里面涉及几个问题：其一，被删除掉的文件我们使用一般的操作方法是无法看到的，也就是说，如果我们不借助于一些程序或软件，我们根本无法识别被删除的是什么文件，它的文件名是什么；其二，当我们删除文件后，特别是删除文件后又进行其他读写盘操作时，我们无法知道被删除文件的存储空间是否被其他内容所覆盖，它是否还可以进行文件恢复等。换句话说，我们要进行被删除文件的恢复，不通过操作系统以外的其他程序或软件是无法顺利完成的。
谈到文件数据的恢复，有些朋友可能会想到Debug软件，以往很长一段时间，一些对计算机文件系统比较熟悉的人经常利用诸如Debug之类的软件进行手工分析、判断和恢复，由于使用Debug软件进行文件恢复要直接与二进制代码打交道，工作量大，危险性高，稍有疏忽就可能造成不可挽回的损失，所以笔者建议对计算机文件系统不很精通的朋友不要采用这种比较早期的文件数据恢复手段。
此后随着计算机技术的发展，市场上出现了一些可以进行分析处理的数据恢复工具，它们大都要求事先安装，并同时受操作平台的控制。
一般恢复被删除文件的工具的工作原理大都是通过扫描硬盘的数据区，根据残存的数据重建系统引导区、分区表和目录表，从而达到恢复数据的目的。如果这些已回收的硬盘空间被写入了新的数据，将导致被删除文件数据的丢失；如果新写入的文件没有覆盖或仅仅覆盖原有文件的部分空间，通过这些工具的强大扫描恢复功能，这些尚存的数据大部分还是可以恢复出来的，这一点特别对于一些简单类型的文件如文本文件、数据库文件等等，可以达到最大程度的恢复，从而将用户的损失降低到最小。
下面笔者主要介绍一些比较实用的被删除文件恢复方法。
二、DOS下的文件恢复命令──Undelete
如果你使用电脑的时间比较长，那么你或许会记得在DOS系统中恢复被删除文件的救命稻草──Undelete，只可惜由于该命令本身的致命缺陷，在Windows操作系统中你已经很难找到它的影踪了。使用该命令恢复被删除文件的缺点主要有三个：不支持长文件名(但可以恢复长文件名文件)、操作不直观(需要用键盘输入命令)以及不支持FAT32文件系统(其中不支持FAT32文件系统是最难以令人接受的，特别对现在的“海量”硬盘而言，很难想象谁还会使用FAT16文件系统)。
它的使用方法如下：在MS—DOS方式的命令提示符后，先输入“LOCK盘符”(将要恢复文件所在盘锁定)，然后输入“CD\目录”(进入需要恢复文件目录)，输入“Undelete”，接着按系统提示键入“Y”和要恢复的被删除文件文件名的第一个字符即可逐一恢复文件。
使用Undelete命令，你还可以加上一些命令参数，如：
Undelete/list(显示所有被删除文件名，无法恢复的文件会加有“* *”标记。)
Undelete/all(自动恢复全部删除文件)
另外，你还可以键入Undelete/?了解Undelete命令的其他用法。
三、Norton SystemWorks的Unerase功能
前面我们介绍了Norton SystemWorks的Norton保护功能，下面我们将详细介绍一下如何使用Norton SystemWorks对被删除文件的恢复，这就是UnErase(反删除)功能。Norton SystemWorks的UnErase功能可以协助你恢复那些受到Norton保护、标准Windows资源回收站或是Novell Salavage防护的被删除文件，同时它也可以用来恢复那些未受到以上保护却仍可以恢复的被删除文件，如我们在DOS下删除或在Windows系统中的回收站中删除的文件，只要它们原先的存储空间未被其他内容所覆盖，我们都可以使用Norton SystemWorks的UnErase功能将它们恢复。
此外，UnErase可以依照文件档案名称或是档案中可能包含的字，来搜寻被删除的文件，这一点对于那些你只记得主题，但是不记得档案名称的文件来说，特别的有用。UnErase使用时还有一点也很方便，那就是可以快速查看要恢复文件的内容，你可以在任何结果清单中，在名称栏位上按下鼠标右键，在菜单中选择“快速检视”来确认该文件是否你想要的文件，使用起来十分方便。下面笔者就谈一谈它的具体操作：
当我们安装完成Norton SystemWorks后，你要启动UnErase功能，有两种方法：一种为双击桌面上的“Norton SystemWorks”图标，在（图1）窗口中点击Norton Utilities，然后点击面板左方的“寻找与解决问题”，最后在右边窗格按下“UnErase精灵”；另一种方法则更为简单，用鼠标右键点击Norton防护资源回收筒(即你原先的回收站)，在其菜单中选择“UnErase精灵”就可以了。
UnErase提供了三种方法用以寻找要恢复文件档案（图2）：寻找最近删除的文件、寻找全部受保护的文件及寻找所有可恢复的文件，它们的操作基本相同。下面以寻找最近删除的文件为例。
选择该选项后，点击“Next”，UnErase会首先寻找并显示最近删除的档案名称，最多可以找到25个被删除的档案，你要恢复的文件如果在此列表中，你可以直接使用其中的“Recover(恢复)”按钮直接恢复。当然如果此列表中找不到你要的文件，你可以选择继续搜寻(点击“Next”)，它会提示你输入搜寻条件，如完整的文件名或文件名的一部分、要搜寻的文件类型（图3）、文件中包含的文字、删除前文件存储路径等，这些搜寻条件都是为了简化搜寻过程而设定的，如果有些条件你无法选择，你可以直接点击“Next”跳过它。最后UnErase会把所有被删除文件中符合以上条件的文件显示出来，选定要的文件，点击“Recover”按钮就可以恢复该文件了。另外你还可以选中文件后，按鼠标右键，在菜单中选择“恢复到”，在新窗口中指定要恢复文件档案的存储地，点击“OK”就可以把该文件另存档了。
前面介绍过，UnErase也可以恢复所有未保护的文件档案，但这时我们在寻找列表中看到通常文件名称的第一个字符会变为问号，(DOS会将文件名称的第一个字符覆写，但是如果文件有长文件名的话，UnErase精灵可以根据档案的长档名来重新建立档案)。这时若要恢复这些文件，必须提供第一个字符，但这个字符可以是任何一个字符，并不需要与原始文件名称完全一样也可以安全恢复原文件。另外对于未进行保护的文件档案，根据软件预设值，在显示搜寻结果时，UnErase精灵只会列出可复原的文件档案。如果文件先前的磁碟储存位置已被其他内容占用的话，文件的名称会变成不可恢复的灰色。即使对于这些不可恢复的文件，通过UnErase精灵，你仍然有机会恢复多数不可恢复文件档案中的大部分资料，具体操作方法可以参见软件的说明。
四、其他优秀文件恢复工具
1.文件保护神EasyRecovery(（图4）)
图4
软件性质：共享软件(试用限制：每次限恢复五个文件)
软件版本：V4.1
操作平台：Win 98/95
文件大小：754KB
软件下载：http://www.onlinedown.net/easyrecovery.htm
软件简介：
EasyRecovery是一种“非破坏性”而且是“只读”的磁盘恢复工具。当硬盘因为中毒(如CIH、Worm.ExploreZip病毒)、被格式化(Format)、被重新分区过(Fdisk)、操作系统毁损、应用程式错误等原因所导致的文件毁损，EasyRecovery通通都可以把档案救回来，并不会在原来的磁盘上写入任何的资料，而是把需要复原的资料写在另外一个地方。所以，最好准备另外一块IDE硬盘作为储存复原资料用。
当硬盘的启动扇区、文件分区表已经毁损，目录结构混乱，甚至操作系统都已经无法辨识时，它可以将硬盘里面的资料找出来。在复原的过程中，EasyRecovery会自动利用内存(Memory)建立一个虚拟硬盘(Virtual Drive)。在这个虚拟硬盘中，记录着已经毁损的文件及其目录结构。然后会建议你把这些信息复制到另外一个完好的储存设备上储存起来。EasyRecovery有好几个版本，分别适用于不同的分区格式。
2.反删除的行家Recover4 all(（图5）)
图5
软件性质：共享软件(试用限制：仅能恢复10KB以下的文件)
软件版本：V1.03
操作平台：Win 95/98
文件大小：240KB
软件下载：http://ourworld.compuserve.com/homepages/kaus
软件简介：
Recover4 all是Win95/98下被删除文件的恢复工具，它能将在Win95/98下刚刚删除的文件找出来并挽救回来，但它不能在DOS/Win3.1/NT下执行。
Recover4 all的操作很简单，你只要选择好盘符，Recover4 all会自动开始扫描硬盘，搜索被删除的文件和文件夹。扫描完成后，双击左侧的文件夹，在右侧的框架中就会显示已删除的文件。选中文件后，按Recover就可以恢复已删除的文件。
3.拯救文件的利器Recover98(（图6）)
图6
软件性质：共享软件(试用限制：每次只能救三个文件)
软件版本：V3.5
操作平台：Win 2000/98/95/NT
文件大小：757KB
软件下载：http://www.lc-tech.com
软件简介：
Recover98是拯救文件的利器，它是一个容易操作且功能强大的档案反删除软件，它能救回整个目录与个别的档案。假若你不小心Format你的硬盘，它也能救回你硬盘上的资料。若你的硬盘遭病毒感染而毁损了分区、启动扇区、文件分配表等，经由适当的设定，Recover98能帮助你救回你的资料。在有些情况下，例如操作系统不稳定，而你Format硬盘并且重装了操作系统后，才发觉忘了备份一些重要的档案，那么Recover98能轻易的帮助你救回硬盘上尚存且未被覆盖的资料。
该软件绝不会破坏你想拯救的任何资料，对于被拯救的硬盘，它只做读取的动作，而不会写入资料。它能搜寻整个受损的文件系统，只要这些资料依然残存，即使Format或Fdisk，它也能帮你救回你宝贵的资料。
4.时光倒流器GoBack(（图7）)
图7
软件性质：共享软件(试用限制：每次只能救三个文件)
软件版本：V3.5
操作平台：Win 2000/98/95/NT
文件大小：1.72MB
软件下载：http://www.onlinedown.net/goback.htm
软件简介：
GoBack是一个功能强大的系统与文件的保护工具，它在1999年度是PC Magazine技术卓越奖的入围者，2000年PC Magazine磁盘程序编辑选择奖获得者。它的功能大大超过了我们熟悉的Ghost系列软件，因为它对文件和系统的保护，不是简单的备份与恢复，也不是像著名的LC公司的Revial系列那样对未被覆盖的删除文件进行简单地恢复，它可以处理的错误包括我们病毒攻击、自己的误操作、人为破坏、软件安装与删除时的BUG、系统崩溃无法启动，甚至对那些已被覆盖的删除文件它也可以手到擒来。它可以把你的硬盘恢复到几分钟、几小时甚至几天之前的状态，从而可以最简单地修复各种电脑故障；GoBack另一项重要功能是可以为你恢复某一个或某一些被删除的文件，即使这些文件已经完全被其他文件覆盖了，它也可以帮你还原出来。
要恢复一个丢失的文件，你可以进行以下操作：在Windows操作界面下点击桌面右下角任务栏中的GoBack图标，或者双击桌面的GoBack快捷方式，你将进入GoBack的主菜单，点击其中的“Recover file”按钮。进入GoBack的文件恢复窗口，它上面自动列出所有过去发生变化的文件，在最上方列出的是你最近更改或删除掉的文件。你还可以通过“Locate Files Matching”来快速查找你的目标文件，如输入“*.exe”，查找所有的EXE文件。找到你要找的文件后，你可以将它恢复也可以只是点击“Open”浏览一下它的内容。要恢复时点击“Recover to”，在新窗口选择适当的文件夹和名称，点击“Save”就可以了。
恢复改动过的文件，还有另一种更简单的方法，用鼠标右键点击一个你最近改动过的文件，会发现右键菜单中多了一项“Show Revisions”，选择它，你就可以在跳出的窗口中找到最近修改的几个版本，选择你想要的版本，点击“Save”将它恢复或点击“Open”浏览内容。
5.文件恢复救星FinalData(（图8）)
图8
软件性质：共享软件(试用限制：每次限恢复一个文件)
软件版本：V1.0
操作平台：Win 2000/Me/98/95/NT
文件大小：593KB
软件下载：http://download.pchome.net/system/disk/4320.html
软件简介：
FinalData是一款优秀的文件恢复工具，它的主要功能有：能恢复被删除的文件、染上病毒的文件；能恢复被快速格式化的磁盘上的文件；即使你把磁盘整个分区都已经删除了，它还能通过对物理磁盘的扫描来恢复分区和里面的文件；能直接恢复被删除的整个目录；你能具体设置搜索范围(包括软盘)，加快搜索速度，节省搜索时间等。
它的操作只要四个步骤，就可以轻松救回所有你删除并从资源回收站清除的文件，它支持双字节文件系统。FinalData的操作界面很简单，选择硬盘、扫描、选择要恢复的档案就可以了。本软件启动后，会开始扫描根目录并进行检查，如果你只是要救回从资源回收站不小心删除的档案，可直接按“Cancel”键取消扫描过程，当你的文件分区表是正常的情况下，不用浪费扫描时间，就可以救回你的文件。若是你的文件分区表、MBR(Master Boot Record)、启动扇区(Boot Sector)有问题，就必须进行磁盘扫描的动作。选择你要进行检查的簇(Cluster)，然后按下“OK”进行搜寻。找到你要恢复的文件或文件夹后，选定它，点击“文件→复还保存”或直接点工具栏中的红十字图标，选择好保存驱动器及路径，点击“保存”，软件就可自动完成恢复。