开源数据恢复工具同样可解燃眉之急
高级的数据雕刻程序
TestDisk和PhotoRec只是露出的冰山一角,而更多的高级程序通常用于全面的取证工作,而不是一般的普通使用。
Foremost也许是所有数据雕刻程序的鼻祖,它原先是为美国空军特别调查办公室开发的。现在它已进入到了公共领域,所以几乎可以用在任何地方,甚至重新用于其他程序中。请注意:Foremost的二进制代码并非唾手可得;你一般需要利用源代码编译程序,才可以让它正常使用。有些Linux发行版(如Ubuntu Feisty)在软件库当中有一个预编译版本的Foremost,从而便于下载及使用。
Scalpel也是如此,它可以说是0.69版本的Foremost的改写版――运行速度更快,提高了内存利用率,还有其他许多便利功能,可实现更高级的文件检索功能。它也没有唾手可得的二进制版本,必须利用源代码进行编译。
Sleuth Kit是功能极其强大的一套工具,可以在众多平台(*NIX、BSD和使用CYGWIN库的Windows)上运行。与Foremost和Scalpel一样,它可以根据文件的散列或者签名来搜寻已删除文件,但还有其他众多功能。TSK名义上是一组命令行工具,如果你熟悉命令行,就可以使用它。但你也可以下载名为Autopsy的图形界面工具,它为工具包里面的工具提供了功能强大的前端程序。
有一批数据雕刻及恢复工具既不采用开源软件,也不采用商用软件,但在这里值得补充一下,那就是PartitionSupport.com实用程序:它们运行在32位的Windows上,提供了一批功能,可用于从各种各样的受损文件系统恢复数据。
具有恢复功能的应用程序还包括FindJPG和FindDoc,它们可以逐个磁道地彻底搜索磁盘,把所有.JPG或者.DOC文件重新构建到当前目录,就像PhotoRec那样。这些工具同样不提供源代码,但它们易于使用;如果是供个人使用,可免费获得,因而成为出色的个人或者公司内部恢复工具包。

图5:Sleuth Kit的fsstat工具的结果详细显示了从受损驱动器转储的文件系统镜像文件的信息。