论文部分内容阅读
2009年2月23日，陈冠希首次在加拿大温哥华出庭作证，接受来自香港法官的调查取证。据说由于陈冠希担心回香港作证会被暗杀，要求在温哥华进行取证。这条新闻把我们又带回了2008年那个春节。从那时起，我们突然开始关注起自己的电脑隐私了：各种加密软件风靡一时；保护隐私的工具软件层出不穷；就算是菜鸟，电脑坏了也知道先卸下硬盘再去修理了……
一年多过去了，你是否已经不自觉地走向另一个极端：只记得“加密”、“彻底删除”，但是却忘记了“保护”最重要的硬盘数据呢？
在你的电脑里，最贵重的东西是什么？我想既不是1000多美元一套的Photoshop，也不是要2000块人民币的Office，更不会是某款收费的共享软件。对你来说，凝聚心血的工作文档、记录友情的聊天记录、收藏多年的数码相片才是最宝贵的东西……不要以为它们都很安全，一次停电、一次蓝屏，或者一次头脑短路引起的误删，你最重要的东西就会在瞬间离你而去，它们甚至没有机会和你说再见……
不想和你说备份的重要了，当你仔细研读这篇文章的时候，你至少有73.5%的概率删除了不该删除的东西，因此，我们要做的是帮你从数据丢失的痛苦中拯救出来。
数据丢失的6种原因
数据出现问题主要包括两大类:逻辑问题和硬件问题，相对应的恢复也分别称为软件恢复和硬件恢复。硬件故障引起的问题因为需要借助很多设备，技术难度也比较高，我们暂不介绍，这里主要介绍软件恢复。导致数据丢失的原因主要包括：病毒感染、误格式化、误分区、误克隆、误删除、操作断电等。软件类故障的特点为:无法进入操作系统、文件无法读取、文件无法被关联的应用程序打开、文件丢失、分区丢失、乱码显示等。
硬盘数据为何可以抢救
磁盘数据存放就和图书馆的书架存放一样，所有数据都一排一排地放在书架上。大文件数据就像书架上的大本字典。就像同类书籍都放在一个书架上一样，操作系统读取这些数据时，也是先找这些书籍的书签在哪儿，在哪个书架上，再读取数据。当用户删除电脑上数据，其实并没有将数据删除，而是将这些数据标上了“删除”，证明这些数据由回收站管理了，整个数据所占用的磁盘空间几乎没发生改变。相当于将图书馆中要销毁的书籍贴上了“准备移走”的标签，当用户要将回收站中的数据恢复时，需要做的仅仅是把贴上的标签给撕掉，数据也就恢复了。
本文可以学到
■EFS加密的文件，重装系统后如何才能打开？
■分区被删除之后，数据还能完整恢复吗？
■文件被删，哪个工具恢复效果最好？
■图片恢复用哪款软件最合适？
■手机中的影音、短信也能恢复吗？
Reveal 1
抢救数据切忌“刻舟求剑”
硬盘上的数据一旦被误删，就像在船上东西掉进了河里——虽然你知道它的大概位置，也有机会找回来，但随着时间推移，找回来的可能性也越来越小。因此，时间是关键，位置是关键。
数据刚刚丢失的时候，也是最容易恢复的时候。这就像在船上掉了东西进水里，马上下去找，最容易找回来。但是很多人容易犯下一些忌讳的错误，比如盲目寻找，比如刻舟求剑……
避免更大损失的4大原则
第一招：断电、拆硬盘
当发现硬盘数据丢失后，最好把硬盘拆下来，接到别的电脑上，作为从盘进行数据恢复。也可以把硬盘装到硬盘盒里，作为移动硬盘接到其他电脑上。这样做的目的是保持此硬盘不再被读写，力求保证数据恢复的最大可能性。
★实例：备份一下“肇事者”更安全
有些情况下，当我们不能保证硬盘完全不会被使用，可以使用DiskGenius等软件，利用它的扇区复制功能，将分区中所有内容复制出来留作备份，以防原始硬盘数据被覆盖。还是要注意，千万不要往准备抢救的文件所在的分区中写入任何文件，不要在该分区中安装任何软件。
选中需要备份的分区，执行菜单“分区→备份分区到镜像文件”，或点击工具栏的“备份分区”按钮，打开分区备份对话框。程序提供了三种备份方式可供选择：备份所有扇区、按存储结构备份、按文件备份。缺省为按文件备份，此方式即将源分区(卷)的所有文件及其他有效数据逐一打包备份到镜像文件中，而不备份无效扇区，因此备份速度较快。但这种方式显然不会保留被误删的文件，所以我们要选择“备份所有扇区”（见图1）。
第二招：重要数据避开“桌面”
发现文件被误删后，不少人会根据以往经验，直接去网上搜索下载数据恢复软件，下载后又将软件装在系统分区里使用。在下载的过程中，已经往系统分区里写入了大量临时文件，安装软件也对系统分区进行了写入操作。
你的重要数据放在哪里呢？桌面？“我的文档”？C盘中的某个文件夹？桌面文件夹默认是存放在系统分区的“Documents and Settings\用户名”文件夹里，“我的文档”的默认位置也是在C盘，如果希望恢复的文件在C盘，由于C盘的频繁读写，那么就很容易被覆盖了。就算你发现被误删后没有进行操作，但你能保证在第一时间发现误删吗？不一定吧，被删之后的电脑操作都很可能危害数据。因此，最好将重要数据移到C盘以外的地方。
第三招：“打开”也是“写”操作
误删除了文件之后，你也许会打开该分区里的其他文件。这同样是危害数据安全的行为！不要以为只是打开查看文件，并不会有写入操作，也不会影响数据恢复，其实恰好相反。当我们打开Office文件时，软件会在文件所在的文件夹下自动生成隐藏的备份文件。在关闭文件时，这些隐藏的备份文件会被自动删除。表面看起来文件夹中的文件没有什么变化，但实际上已经对磁盘进行了写入操作，被误删除的文件所在的存储区域可能就在这一过程中被覆盖掉了。
第四招：整理硬盘或许是个好习惯
当硬盘被格式化之后，绝大部分的数据并没有被改变，这也是许多硬盘数据能够得以修复的原因。但即便如此，如MBR（主引导记录）被破坏的话，也足够我们心烦的了。对于是否应该经常整理硬盘的争论一直没有停止，但有一点：如果你经常整理磁盘，那么你的数据区的数据可能是连续的，这样即使MBR坏了，我们也可以使用磁盘编辑软件（比如WinHex），只要找到一个文件的起始保存位置，那么这个文件就有可能被恢复。为什么呢？很简单，连续在一起的数据就好像一个完整的西瓜掉进河里，而不经常整理的硬盘就像被切成碎块的西瓜，这两种状态的西瓜掉进河里，你觉得哪种更容易完全找回来呢？
小提示：
磁盘整理工具的作用
磁盘整理工具的作用是把分散在磁盘各处保存的数据整理为连续的数据块，这样磁头在访问时可以提高效率。但由于大硬盘的普及，磁盘整理时间越来越长，整理的过程对于硬盘就成了一种损耗，因此对于它的利弊一直存在争议。
（1）
Cornel使用过的笔记本电脑数量不算多，总共只有3台。也许是人品比较好的缘故，一直没有遇到过什么大的故障，最大的一次毛病也只是换一个显示器的高压板而已。但是早在90年代那次帮人家修笔记本的经历倒是让我印象深刻：那台笔记本的电源貌似烧了，于是我随意走近中关村白颐路边的一家店铺，店门破旧，玻璃上贴着“笔记本维修”的字样。在昏暗的、乌烟瘴气的小屋子中，一个叼着烟卷的家伙漫不经心地检查了一下，当听说需要开发票，拿回去要报销，他立刻就乐了，立即报出了200元维修天价……
中关村电脑维修常见价格
接口：100元至300元；键盘：150元至500元；屏线：180元至500元；高压板：200元起；主板维修：400元起；
硬盘维修：不含数据维修，80GB以下50元起，80GB以上80元起。涉及数据恢复的费用就比较高了，一般仅此一项就要300元至500元。
Reveal 2
另类数据恢复常见问答
移动硬盘插入电脑，启动之后就显示为“本地磁盘：F”（但以前显示的是Mydisk——我给起的名字），点击时没有内容，显示没有格式化要求格式化。这是硬件故障还是软件故障？
文件系统有可能损坏，还有可能引导区出现故障，还有可能被病毒攻击所致。
Outlook2007的PST文件（数据文件）被删除，文件大小应该在1.5GB-2GB左右。尝试使用数据恢复软件恢复数据失败，未找到。所有的邮件和日程都在里面，能找回吗？
删除后如果没有覆盖操作的话，PST文件修复的成功率还是很高（见图2）。（后面的软件介绍部分有恢复方法）
(2)
(3)
4GB的U盘，里面可能病毒较多，插入电脑后不能打开，显示要格式化，但是格式化又不能进行。属性里显示容量为0。数据能修复吗？
这种现象比较常见，不要进行格式化，数据是可以恢复的。
NOKIA 6060 手机短信误删除，请问能否恢复？谢谢！
手机短信删除后没有再接收短信或通话，还可以恢复的。许多手机维修点都能做这种业务，你可以拿自己的手机来，也可以拿别人的来，维修人员不会追究拿来的是不是本人的手机，一般会收取100到300元的费用。如果你急需恢复，也可以找一些数据恢复中心，他们也提供这种服务。(见图3)
手机里有段录音被删除了，是存到手机的，不是存到手机存储卡的，可以恢复吗？
可以恢复的，不过需要把手机拆开，但这需要求助于一些数据恢复机构了，时间也比较长，大约需要2周。
手机SD卡金士顿2GB打不开了。有办法把里面的数据复制出来么?
一般SD卡打不开有两种问题：逻辑问题一般是文件系统故障，硬件问题一般是主控芯片或者电路损坏，如果是存储芯片故障就比较麻烦了。SD卡一般是精装的BGA焊接的，非常精细，操作难度很大。
Reveal 3
紧急救援——恢复刚刚被误删除的文件
误删了文件？错误地格式化了分区？别急，先擦擦汗，事情没你想象得那么糟，先不忙去找恢复软件，看看问题出在哪里，然后再对症下药。
一般来说，文件丢失，一般由两种情况产生：文件被误删除、分区被误格式化。
抢救误删的分区
在各种误删除操作中，最悲惨的莫过于分区表被破坏了，因为这意味着可能要和硬盘中所有的数据告别了。
(4)
★分区表常见误操作
第一种是分区信息丢失，操作系统无法进入。第二种是误删除，比如误删除了某个分区，或者在用Ghost还原时选择了全盘还原，结果硬盘里只剩下一个C盘。这种情况下，分区表其实是正常的，只是出现错误而已。
第二种错误出现的概率较大，解决方法如下。注意，最好是把硬盘作为从盘接到别的电脑上进行，如果条件不允许，可以找一张带有DiskGenius的WinPE盘，或者启动PE后用软盘拷贝来DiskGenius。
第一步：打开Disk Genius，选择要恢复分区表的硬盘，在菜单栏选择“硬盘→搜索已丢失分区（重建分区表）”，打开搜索丢失分区窗口。如果是Ghost还原出错的故障，就必须用高级方式。如果是其他原因造成的分区表损坏，可以采用自动方式（见图4）。
小提示：不同的搜索模式
在高级方式选项一栏还有按柱面、按磁道和按扇区搜索三种模式，其中按柱面模式的搜索速度最快。
第二步：如果是Ghost还原出错，当Disk Genius在搜索时，首先会搜索出当前正在使用的分区，我们应当选择跳过该分区才对(见图5)。
(5)
第三步：Disk Genius就会搜索到后面的分区，出现一个，就保存一个。 如果该硬盘以前经过多次分区操作，就可能会残留下很多分区信息。
搜索完成后，可以看到除了C盘以外，其他的分区都恢复了，而且里面的数据都还在。点击菜单中的“硬盘→保存分区表”即可保存分区表（见图6）。
(6)
不同门类软件恢复工具
“通用高手”Final Data
Final Data是一个很著名的恢复软件，界面简单，效率很高。一般的文件都可以通过它恢复。
第一步：安装很简单，运行软件后选择你要恢复的数据文件所在的逻辑驱动器。如果你是恢复整个硬盘的数据，可以直接选择恢复“物理驱动器”。在确定了目标任务后，Final Data会自动地搜索和分析哪些是正常的目录和文件，哪些是已被删除的文件(见图7)。
(7)
第二步：完成后Final Data会接着扫描目标驱动器的各簇，以确定每个文件的实际物理位置(见图8)。
(8)
第三步：完成所有检查后，会将目标任务驱动器的所有文件分类后以表格形式详细列出来，包括正常的目录、已删除的目录和删除的文件等大类。在表格右边的详细列表中列明了所有的文件资料，包括文件的名称、大小、目前状态（是否破损）和创建时间（见图9）。选中要恢复的文件，点击“恢复”命令即可将此已被删除文件重新移至新的驱动盘使用。
(9)
小提示
Final Data恢复已被删除文件不能移至原目标驱动盘，这一点请一定注意。
数据恢复有技巧
☆一般来说，误删除文件都是马上发现自己的误操作，所以刚删除的文件在磁盘里的文件分配表处于较靠前的位置，我们可以利用这一点，加快恢复的速度。例如您运行了Final Data，在选定了目标分区后，只要扫描5%左右的目录树，大概在3000个到5000个文件左右，就可终止扫描，然后进入下一步，一般都能找到。
(10)
☆如果您的虚拟内存设在了需要数据恢复的分区，不要启动新的任务，以免因为虚拟内存的更新变化覆盖数据。您应该在“系统”里更改虚拟内存的指向路径，然后重新启动Windows，再安装恢复软件到目标以外的分区。
☆字处理软件如WPS或WORD这类字处理软件，都有一个自动恢复的功能，其实就是在文件夹中有自动保存的临时文件，不会被删除。XP是在“C:\Documents and Settings\用户名\Application Data\Microsoft\Word\”，Vista中的位置是在“C:\Users\Cornel\AppData\Roaming\Microsoft\Word\”。
不同类文件 不同类的恢复
虽然我们介绍通用的恢复软件，但其实针对不同类型的文件格式，有专用恢复方法、恢复软件，可以达到比较好的效果。
★实例1：图片专修工具
Zero Assumption Digital Image Recovery 1.2 汉化版（下载地址：http://www.onlinedown.net/soft/37598.htm），别看软件名字那么长，还是英文，用起来一点不复杂，还是免费的。
第一步：运行软件，在主窗口中选择要恢复图片的分区，如“D:\”。然后选择下一步（见图10）。
第二步：软件开始扫描，稍候就会显示出搜索出来的图片，直接恢复即可。
小提示
★Zero支持多种图片格式，常见的图片格式都能恢复，使用起来比Final Data等软件要简单，特别适合从手机、相机存储卡中恢复图片。
★你还可以尝试国产的“安德图片恢复”软件（下载地址：http://www.newhua.com/soft/65800.htm），此款软件在恢复图片后可以预览和编号，比较方便。
★实例2：多媒体修复高手
除了图片，MP3、WAV、AVI等多媒体格式也是我们在手机、DC、DV的存储卡中经常保存的内容，这些格式的文件有没有专门的恢复工具呢？当然有，这就要请出大名鼎鼎的GetData Recover My Photos （下载地址http://www.newhua.com/soft/68564.htm）。除了常规的搜索模式外，它还有深度搜索。如果存储卡被格式化了，可以选择深度搜索。在这种模式下，可以对硬盘进行全面搜索（Deep Scan），比较适合分区表损坏的情况（见图11）。
(11)
第一步：设置想要搜索的文件类型。文件被分为图像和多媒体两类，多媒体类中只默认勾选了WAV格式。现在的数码相机大都带有摄像功能，如果你要恢复拍摄的视频文件，还得手工勾选相应的视频文件类型才行(见图12)。
第二步：点击“开始”按钮，软件就会自动搜索指定类型的文件。搜索完成后，勾选需要恢复的图片，把它们保存到指定的恢复路径即可。
(12)
★实例3：神速修复“未格式化”的闪盘
闪盘、存储卡，一连入电脑，突然显示“未格式化”，询问“是否格式化？”，你有没有遇到过这种情况？千万不要点击“是”，那样你的数据也就呜呼哀哉了。这里推荐使用R-Studio(下载地址：http://www.newhua.com/soft/8654.htm)，它的全面扫描速度相当快，扫描1GB容量的闪盘，只需不到2分钟时间。扫描完成后，在扫描结果中勾选需要恢复的文件，点击右键，选择“恢复标记的内容”，指定恢复路径即可。
网络大补贴
★Office文件修复：推荐使用 Easy Recovery（http://www.newhua.com/soft/51292.htm）的“文件修复”功能。
★压缩文件修复：推荐使用Advanced Zip Repairer（http://www.newhua.com/soft/3729.htm）
Reveal 4
不可能完成的任务
——拯救无法恢复的EFS加密文件
任务描述:
Windows自带的EFS加密非常强悍，如果某个用户把自己的登录账户删除，同时他也没有备份证书，那么任何人将无法访问其EFS加密文件。不少读者也曾打电话来询问这个问题的解决方法，但一直也没有很好的解决方法。最近在网上看到微软MVP“盆盆”的一篇文章，或许能拯救一部分这样的读者。注意，本文目前仅适用于Windows XP操作系统。
一般情况下，这些EFS加密文件已经被判了死刑，但是实际上只要满足以下条件的话，我们还是可以在末日来临之前打开逃生的天窗:
(1) 必须知道该被删账户的密码。
(2) 该被删账户的配置文件必须存在。如果使用“本地用户和组”管理单元删除账户，则配置文件保留的机会很大，如果使用“用户账户”控制面板删除账户，则有一半机会保留配置文件。如果配置文件不幸被删，则只能祈祷可以借助Easy Recovery之类的数据恢复工具进行恢复。
可能有用户会想，只需新建一个同名的用户账户，然后把原来配置文件复制给新账户，不就可以解密EFS文件了？这是不行的，原因在于账户的SID(就像身份证，同名很容易，要身份证相同就很难了)，因为新建用户的SID不可能和老账户一样，所以常规方法是不可能奏效的。我们必须另辟蹊径，让系统再造一个完全一样的SID！
1.再造SID
第一步:首先确认被删账户的SID，这里可以进入以下文件夹:
C:\Documents and Settings\Admin\Application Data\Microsoft\Crypto\RSA
在其下应该有一个以该被删账户的SID为名的文件夹，例如S-1-5-21-4662660629-873921405-788003330-1004(RID为1004)
现在我们要设法让新建账户同样具有1004的RID，这样就能达到目的。
第二步:在命令提示符窗口中，运行以下命令，以system账户身份打开注册表编辑器:
psexec -i -d -s %windir%\regedit.exe
小提示
可以在以下网站下载psexeC:http://www.sysinternals.com/Utilities/PsExec.html
第三步:定位到HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account注册表项，双击打开右侧的F键值。
第四步:这里要说明一下，Windows是以十六进制、而且以反转形式保存下一个账户的RID。什么意思呢？也就是说，如果是1004的RID，对应十六进制就是03EC，但是我们必须把它反转过来变成EC03，再扩展为4个字节，就是EC 03 00 00。
所以，我们应该把F键值的0048偏移量处，把其中四个字节改为“EC 03 00 00”。
第五步:重启以后，新建一个同名账户Admin，它的SID应该和以前是完全一样的。
2.“破解”EFS
接下来的方法就非常简单了，用新建的Admin账户身份登录系统，随便加密一个文件，然后注销，用管理员账户登录系统，把原来保留的配置文件复制到C:\Documents and Settings\Admin文件夹下。再用Admin账户登录系统，现在可以解密原来的EFS文件了。
疑难解答：
如果已经重装系统，那怎么办？
如果还记得原来账户的密码，并且配置文件没有被删除的话，还有希望。这时候可以借助sysinternals的NEWSID工具把系统的计算机SID重设为原来的值，再用前面描述的方法构造所需的RID，这样就可以获得所需的账户SID。剩余步骤完全一样。NEWSID下载地址为http://www.sysinternals.com/Utilities/NewSid.html 。
一年多过去了，你是否已经不自觉地走向另一个极端：只记得“加密”、“彻底删除”，但是却忘记了“保护”最重要的硬盘数据呢？
在你的电脑里，最贵重的东西是什么？我想既不是1000多美元一套的Photoshop，也不是要2000块人民币的Office，更不会是某款收费的共享软件。对你来说，凝聚心血的工作文档、记录友情的聊天记录、收藏多年的数码相片才是最宝贵的东西……不要以为它们都很安全，一次停电、一次蓝屏，或者一次头脑短路引起的误删，你最重要的东西就会在瞬间离你而去，它们甚至没有机会和你说再见……
不想和你说备份的重要了，当你仔细研读这篇文章的时候，你至少有73.5%的概率删除了不该删除的东西，因此，我们要做的是帮你从数据丢失的痛苦中拯救出来。
数据丢失的6种原因
数据出现问题主要包括两大类:逻辑问题和硬件问题，相对应的恢复也分别称为软件恢复和硬件恢复。硬件故障引起的问题因为需要借助很多设备，技术难度也比较高，我们暂不介绍，这里主要介绍软件恢复。导致数据丢失的原因主要包括：病毒感染、误格式化、误分区、误克隆、误删除、操作断电等。软件类故障的特点为:无法进入操作系统、文件无法读取、文件无法被关联的应用程序打开、文件丢失、分区丢失、乱码显示等。
硬盘数据为何可以抢救
磁盘数据存放就和图书馆的书架存放一样，所有数据都一排一排地放在书架上。大文件数据就像书架上的大本字典。就像同类书籍都放在一个书架上一样，操作系统读取这些数据时，也是先找这些书籍的书签在哪儿，在哪个书架上，再读取数据。当用户删除电脑上数据，其实并没有将数据删除，而是将这些数据标上了“删除”，证明这些数据由回收站管理了，整个数据所占用的磁盘空间几乎没发生改变。相当于将图书馆中要销毁的书籍贴上了“准备移走”的标签，当用户要将回收站中的数据恢复时，需要做的仅仅是把贴上的标签给撕掉，数据也就恢复了。
本文可以学到
■EFS加密的文件，重装系统后如何才能打开？
■分区被删除之后，数据还能完整恢复吗？
■文件被删，哪个工具恢复效果最好？
■图片恢复用哪款软件最合适？
■手机中的影音、短信也能恢复吗？
Reveal 1
抢救数据切忌“刻舟求剑”
硬盘上的数据一旦被误删，就像在船上东西掉进了河里——虽然你知道它的大概位置，也有机会找回来，但随着时间推移，找回来的可能性也越来越小。因此，时间是关键，位置是关键。
数据刚刚丢失的时候，也是最容易恢复的时候。这就像在船上掉了东西进水里，马上下去找，最容易找回来。但是很多人容易犯下一些忌讳的错误，比如盲目寻找，比如刻舟求剑……
避免更大损失的4大原则
第一招：断电、拆硬盘
当发现硬盘数据丢失后，最好把硬盘拆下来，接到别的电脑上，作为从盘进行数据恢复。也可以把硬盘装到硬盘盒里，作为移动硬盘接到其他电脑上。这样做的目的是保持此硬盘不再被读写，力求保证数据恢复的最大可能性。
★实例：备份一下“肇事者”更安全
有些情况下，当我们不能保证硬盘完全不会被使用，可以使用DiskGenius等软件，利用它的扇区复制功能，将分区中所有内容复制出来留作备份，以防原始硬盘数据被覆盖。还是要注意，千万不要往准备抢救的文件所在的分区中写入任何文件，不要在该分区中安装任何软件。
选中需要备份的分区，执行菜单“分区→备份分区到镜像文件”，或点击工具栏的“备份分区”按钮，打开分区备份对话框。程序提供了三种备份方式可供选择：备份所有扇区、按存储结构备份、按文件备份。缺省为按文件备份，此方式即将源分区(卷)的所有文件及其他有效数据逐一打包备份到镜像文件中，而不备份无效扇区，因此备份速度较快。但这种方式显然不会保留被误删的文件，所以我们要选择“备份所有扇区”（见图1）。
第二招：重要数据避开“桌面”
发现文件被误删后，不少人会根据以往经验，直接去网上搜索下载数据恢复软件，下载后又将软件装在系统分区里使用。在下载的过程中，已经往系统分区里写入了大量临时文件，安装软件也对系统分区进行了写入操作。
你的重要数据放在哪里呢？桌面？“我的文档”？C盘中的某个文件夹？桌面文件夹默认是存放在系统分区的“Documents and Settings\用户名”文件夹里，“我的文档”的默认位置也是在C盘，如果希望恢复的文件在C盘，由于C盘的频繁读写，那么就很容易被覆盖了。就算你发现被误删后没有进行操作，但你能保证在第一时间发现误删吗？不一定吧，被删之后的电脑操作都很可能危害数据。因此，最好将重要数据移到C盘以外的地方。
第三招：“打开”也是“写”操作
误删除了文件之后，你也许会打开该分区里的其他文件。这同样是危害数据安全的行为！不要以为只是打开查看文件，并不会有写入操作，也不会影响数据恢复，其实恰好相反。当我们打开Office文件时，软件会在文件所在的文件夹下自动生成隐藏的备份文件。在关闭文件时，这些隐藏的备份文件会被自动删除。表面看起来文件夹中的文件没有什么变化，但实际上已经对磁盘进行了写入操作，被误删除的文件所在的存储区域可能就在这一过程中被覆盖掉了。
第四招：整理硬盘或许是个好习惯
当硬盘被格式化之后，绝大部分的数据并没有被改变，这也是许多硬盘数据能够得以修复的原因。但即便如此，如MBR（主引导记录）被破坏的话，也足够我们心烦的了。对于是否应该经常整理硬盘的争论一直没有停止，但有一点：如果你经常整理磁盘，那么你的数据区的数据可能是连续的，这样即使MBR坏了，我们也可以使用磁盘编辑软件（比如WinHex），只要找到一个文件的起始保存位置，那么这个文件就有可能被恢复。为什么呢？很简单，连续在一起的数据就好像一个完整的西瓜掉进河里，而不经常整理的硬盘就像被切成碎块的西瓜，这两种状态的西瓜掉进河里，你觉得哪种更容易完全找回来呢？
小提示：
磁盘整理工具的作用
磁盘整理工具的作用是把分散在磁盘各处保存的数据整理为连续的数据块，这样磁头在访问时可以提高效率。但由于大硬盘的普及，磁盘整理时间越来越长，整理的过程对于硬盘就成了一种损耗，因此对于它的利弊一直存在争议。
（1）
Cornel使用过的笔记本电脑数量不算多，总共只有3台。也许是人品比较好的缘故，一直没有遇到过什么大的故障，最大的一次毛病也只是换一个显示器的高压板而已。但是早在90年代那次帮人家修笔记本的经历倒是让我印象深刻：那台笔记本的电源貌似烧了，于是我随意走近中关村白颐路边的一家店铺，店门破旧，玻璃上贴着“笔记本维修”的字样。在昏暗的、乌烟瘴气的小屋子中，一个叼着烟卷的家伙漫不经心地检查了一下，当听说需要开发票，拿回去要报销，他立刻就乐了，立即报出了200元维修天价……
中关村电脑维修常见价格
接口：100元至300元；键盘：150元至500元；屏线：180元至500元；高压板：200元起；主板维修：400元起；
硬盘维修：不含数据维修，80GB以下50元起，80GB以上80元起。涉及数据恢复的费用就比较高了，一般仅此一项就要300元至500元。
Reveal 2
另类数据恢复常见问答
移动硬盘插入电脑，启动之后就显示为“本地磁盘：F”（但以前显示的是Mydisk——我给起的名字），点击时没有内容，显示没有格式化要求格式化。这是硬件故障还是软件故障？
文件系统有可能损坏，还有可能引导区出现故障，还有可能被病毒攻击所致。
Outlook2007的PST文件（数据文件）被删除，文件大小应该在1.5GB-2GB左右。尝试使用数据恢复软件恢复数据失败，未找到。所有的邮件和日程都在里面，能找回吗？
删除后如果没有覆盖操作的话，PST文件修复的成功率还是很高（见图2）。（后面的软件介绍部分有恢复方法）
(2)
(3)
4GB的U盘，里面可能病毒较多，插入电脑后不能打开，显示要格式化，但是格式化又不能进行。属性里显示容量为0。数据能修复吗？
这种现象比较常见，不要进行格式化，数据是可以恢复的。
NOKIA 6060 手机短信误删除，请问能否恢复？谢谢！
手机短信删除后没有再接收短信或通话，还可以恢复的。许多手机维修点都能做这种业务，你可以拿自己的手机来，也可以拿别人的来，维修人员不会追究拿来的是不是本人的手机，一般会收取100到300元的费用。如果你急需恢复，也可以找一些数据恢复中心，他们也提供这种服务。(见图3)
手机里有段录音被删除了，是存到手机的，不是存到手机存储卡的，可以恢复吗？
可以恢复的，不过需要把手机拆开，但这需要求助于一些数据恢复机构了，时间也比较长，大约需要2周。
手机SD卡金士顿2GB打不开了。有办法把里面的数据复制出来么?
一般SD卡打不开有两种问题：逻辑问题一般是文件系统故障，硬件问题一般是主控芯片或者电路损坏，如果是存储芯片故障就比较麻烦了。SD卡一般是精装的BGA焊接的，非常精细，操作难度很大。
Reveal 3
紧急救援——恢复刚刚被误删除的文件
误删了文件？错误地格式化了分区？别急，先擦擦汗，事情没你想象得那么糟，先不忙去找恢复软件，看看问题出在哪里，然后再对症下药。
一般来说，文件丢失，一般由两种情况产生：文件被误删除、分区被误格式化。
抢救误删的分区
在各种误删除操作中，最悲惨的莫过于分区表被破坏了，因为这意味着可能要和硬盘中所有的数据告别了。
(4)
★分区表常见误操作
第一种是分区信息丢失，操作系统无法进入。第二种是误删除，比如误删除了某个分区，或者在用Ghost还原时选择了全盘还原，结果硬盘里只剩下一个C盘。这种情况下，分区表其实是正常的，只是出现错误而已。
第二种错误出现的概率较大，解决方法如下。注意，最好是把硬盘作为从盘接到别的电脑上进行，如果条件不允许，可以找一张带有DiskGenius的WinPE盘，或者启动PE后用软盘拷贝来DiskGenius。
第一步：打开Disk Genius，选择要恢复分区表的硬盘，在菜单栏选择“硬盘→搜索已丢失分区（重建分区表）”，打开搜索丢失分区窗口。如果是Ghost还原出错的故障，就必须用高级方式。如果是其他原因造成的分区表损坏，可以采用自动方式（见图4）。
小提示：不同的搜索模式
在高级方式选项一栏还有按柱面、按磁道和按扇区搜索三种模式，其中按柱面模式的搜索速度最快。
第二步：如果是Ghost还原出错，当Disk Genius在搜索时，首先会搜索出当前正在使用的分区，我们应当选择跳过该分区才对(见图5)。
(5)
第三步：Disk Genius就会搜索到后面的分区，出现一个，就保存一个。 如果该硬盘以前经过多次分区操作，就可能会残留下很多分区信息。
搜索完成后，可以看到除了C盘以外，其他的分区都恢复了，而且里面的数据都还在。点击菜单中的“硬盘→保存分区表”即可保存分区表（见图6）。
(6)
不同门类软件恢复工具
“通用高手”Final Data
Final Data是一个很著名的恢复软件，界面简单，效率很高。一般的文件都可以通过它恢复。
第一步：安装很简单，运行软件后选择你要恢复的数据文件所在的逻辑驱动器。如果你是恢复整个硬盘的数据，可以直接选择恢复“物理驱动器”。在确定了目标任务后，Final Data会自动地搜索和分析哪些是正常的目录和文件，哪些是已被删除的文件(见图7)。
(7)
第二步：完成后Final Data会接着扫描目标驱动器的各簇，以确定每个文件的实际物理位置(见图8)。
(8)
第三步：完成所有检查后，会将目标任务驱动器的所有文件分类后以表格形式详细列出来，包括正常的目录、已删除的目录和删除的文件等大类。在表格右边的详细列表中列明了所有的文件资料，包括文件的名称、大小、目前状态（是否破损）和创建时间（见图9）。选中要恢复的文件，点击“恢复”命令即可将此已被删除文件重新移至新的驱动盘使用。
(9)
小提示
Final Data恢复已被删除文件不能移至原目标驱动盘，这一点请一定注意。
数据恢复有技巧
☆一般来说，误删除文件都是马上发现自己的误操作，所以刚删除的文件在磁盘里的文件分配表处于较靠前的位置，我们可以利用这一点，加快恢复的速度。例如您运行了Final Data，在选定了目标分区后，只要扫描5%左右的目录树，大概在3000个到5000个文件左右，就可终止扫描，然后进入下一步，一般都能找到。
(10)
☆如果您的虚拟内存设在了需要数据恢复的分区，不要启动新的任务，以免因为虚拟内存的更新变化覆盖数据。您应该在“系统”里更改虚拟内存的指向路径，然后重新启动Windows，再安装恢复软件到目标以外的分区。
☆字处理软件如WPS或WORD这类字处理软件，都有一个自动恢复的功能，其实就是在文件夹中有自动保存的临时文件，不会被删除。XP是在“C:\Documents and Settings\用户名\Application Data\Microsoft\Word\”，Vista中的位置是在“C:\Users\Cornel\AppData\Roaming\Microsoft\Word\”。
不同类文件 不同类的恢复
虽然我们介绍通用的恢复软件，但其实针对不同类型的文件格式，有专用恢复方法、恢复软件，可以达到比较好的效果。
★实例1：图片专修工具
Zero Assumption Digital Image Recovery 1.2 汉化版（下载地址：http://www.onlinedown.net/soft/37598.htm），别看软件名字那么长，还是英文，用起来一点不复杂，还是免费的。
第一步：运行软件，在主窗口中选择要恢复图片的分区，如“D:\”。然后选择下一步（见图10）。
第二步：软件开始扫描，稍候就会显示出搜索出来的图片，直接恢复即可。
小提示
★Zero支持多种图片格式，常见的图片格式都能恢复，使用起来比Final Data等软件要简单，特别适合从手机、相机存储卡中恢复图片。
★你还可以尝试国产的“安德图片恢复”软件（下载地址：http://www.newhua.com/soft/65800.htm），此款软件在恢复图片后可以预览和编号，比较方便。
★实例2：多媒体修复高手
除了图片，MP3、WAV、AVI等多媒体格式也是我们在手机、DC、DV的存储卡中经常保存的内容，这些格式的文件有没有专门的恢复工具呢？当然有，这就要请出大名鼎鼎的GetData Recover My Photos （下载地址http://www.newhua.com/soft/68564.htm）。除了常规的搜索模式外，它还有深度搜索。如果存储卡被格式化了，可以选择深度搜索。在这种模式下，可以对硬盘进行全面搜索（Deep Scan），比较适合分区表损坏的情况（见图11）。
(11)
第一步：设置想要搜索的文件类型。文件被分为图像和多媒体两类，多媒体类中只默认勾选了WAV格式。现在的数码相机大都带有摄像功能，如果你要恢复拍摄的视频文件，还得手工勾选相应的视频文件类型才行(见图12)。
第二步：点击“开始”按钮，软件就会自动搜索指定类型的文件。搜索完成后，勾选需要恢复的图片，把它们保存到指定的恢复路径即可。
(12)
★实例3：神速修复“未格式化”的闪盘
闪盘、存储卡，一连入电脑，突然显示“未格式化”，询问“是否格式化？”，你有没有遇到过这种情况？千万不要点击“是”，那样你的数据也就呜呼哀哉了。这里推荐使用R-Studio(下载地址：http://www.newhua.com/soft/8654.htm)，它的全面扫描速度相当快，扫描1GB容量的闪盘，只需不到2分钟时间。扫描完成后，在扫描结果中勾选需要恢复的文件，点击右键，选择“恢复标记的内容”，指定恢复路径即可。
网络大补贴
★Office文件修复：推荐使用 Easy Recovery（http://www.newhua.com/soft/51292.htm）的“文件修复”功能。
★压缩文件修复：推荐使用Advanced Zip Repairer（http://www.newhua.com/soft/3729.htm）
Reveal 4
不可能完成的任务
——拯救无法恢复的EFS加密文件
任务描述:
Windows自带的EFS加密非常强悍，如果某个用户把自己的登录账户删除，同时他也没有备份证书，那么任何人将无法访问其EFS加密文件。不少读者也曾打电话来询问这个问题的解决方法，但一直也没有很好的解决方法。最近在网上看到微软MVP“盆盆”的一篇文章，或许能拯救一部分这样的读者。注意，本文目前仅适用于Windows XP操作系统。
一般情况下，这些EFS加密文件已经被判了死刑，但是实际上只要满足以下条件的话，我们还是可以在末日来临之前打开逃生的天窗:
(1) 必须知道该被删账户的密码。
(2) 该被删账户的配置文件必须存在。如果使用“本地用户和组”管理单元删除账户，则配置文件保留的机会很大，如果使用“用户账户”控制面板删除账户，则有一半机会保留配置文件。如果配置文件不幸被删，则只能祈祷可以借助Easy Recovery之类的数据恢复工具进行恢复。
可能有用户会想，只需新建一个同名的用户账户，然后把原来配置文件复制给新账户，不就可以解密EFS文件了？这是不行的，原因在于账户的SID(就像身份证，同名很容易，要身份证相同就很难了)，因为新建用户的SID不可能和老账户一样，所以常规方法是不可能奏效的。我们必须另辟蹊径，让系统再造一个完全一样的SID！
1.再造SID
第一步:首先确认被删账户的SID，这里可以进入以下文件夹:
C:\Documents and Settings\Admin\Application Data\Microsoft\Crypto\RSA
在其下应该有一个以该被删账户的SID为名的文件夹，例如S-1-5-21-4662660629-873921405-788003330-1004(RID为1004)
现在我们要设法让新建账户同样具有1004的RID，这样就能达到目的。
第二步:在命令提示符窗口中，运行以下命令，以system账户身份打开注册表编辑器:
psexec -i -d -s %windir%\regedit.exe
小提示
可以在以下网站下载psexeC:http://www.sysinternals.com/Utilities/PsExec.html
第三步:定位到HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account注册表项，双击打开右侧的F键值。
第四步:这里要说明一下，Windows是以十六进制、而且以反转形式保存下一个账户的RID。什么意思呢？也就是说，如果是1004的RID，对应十六进制就是03EC，但是我们必须把它反转过来变成EC03，再扩展为4个字节，就是EC 03 00 00。
所以，我们应该把F键值的0048偏移量处，把其中四个字节改为“EC 03 00 00”。
第五步:重启以后，新建一个同名账户Admin，它的SID应该和以前是完全一样的。
2.“破解”EFS
接下来的方法就非常简单了，用新建的Admin账户身份登录系统，随便加密一个文件，然后注销，用管理员账户登录系统，把原来保留的配置文件复制到C:\Documents and Settings\Admin文件夹下。再用Admin账户登录系统，现在可以解密原来的EFS文件了。
疑难解答：
如果已经重装系统，那怎么办？
如果还记得原来账户的密码，并且配置文件没有被删除的话，还有希望。这时候可以借助sysinternals的NEWSID工具把系统的计算机SID重设为原来的值，再用前面描述的方法构造所需的RID，这样就可以获得所需的账户SID。剩余步骤完全一样。NEWSID下载地址为http://www.sysinternals.com/Utilities/NewSid.html 。