ghost的映像

初探文件存储
在了解被删除文件是如何恢复之前，你先得知道文件是如何存储在磁盘上的。通常在Windows平台下使用的三种文件系统是FAT（文件分区表），FAT32（32位文件分区表）和NTFS（NT文件系统）。在FAT文件系统下，每一个磁盘被分成固定大小的簇。簇最少为512字节，其大小可以成倍增长，最大为32K。每个簇都由唯一的索引号——一个16位二进制数来标识。因为16位二进制数最大为65536，所以FAT分区所拥有的簇的数量不可能超过65536个。簇的个数和大小的限制，就是FAT分区为什么不能超过2GB的原因。
FAT中的入口连接着组成一个文件的各个簇，文件的目录入口包含其第一个簇的索引号，而该簇在FAT中的入口又包含着下一个簇的索引号，依此类推。一个文件的最后一簇对应的FAT入口则包含着一个特殊的文件终止符（参见图1）。未使用的簇和损坏的簇也会用特殊代码标识出来。FAT32文件的原理几乎与此相同，但它的簇更小，而且由于FAT入口是32位，所以其容量理论上可以超过40亿字节。
NTFS是一个相当高级的文件系统。它的主文件表（MFT）是一个非常完整的数据库，它负责对磁盘上的每个文件进行索引。每个MFT的入口通常为1K大小，其中记录了大量的文件信息。NTFS可以在文件的MFT入口中存储非常小的文件的全部内容；对于大一些的文件，这些入口会标识出包含文件数据的簇。
文件删除
不管使用什么文件系统，当你删除文件时，Windows通常都不会让它真正地“人间蒸发”。实际上，操作系统将文件的目录入口和关于文件原始位置的信息移动到一个隐藏目录下——也就是我们常说的回收站（Recycle Bin）。文件的数据簇并没有被删除，甚至没有被移动。只有目录入口的位置发生了改变。
当回收站被填满时，老的文件会被真正的删除，当你清空回收站时，它们也会被删除掉。虽然在删除文件时，你可以通过按住Shift键来跳过回收站这道手续，但文件的数据还是保存下来了！在FAT和FAT32下，Windows会标记文件簇的FAT入口来指明它们可以再使用，然后通过把文件名的第一个字符改成某个特殊的标记字符，使这个文件的目录入口标记为删除。在NTFS下，这个过程也很相似；文件的MFT入口、目录入口、数据簇会被标记成可用。但是，文件的数据仍然被