利用文件系统过滤驱动实现 类似还原卡功能 的原理是什么？

[njdragonfly]

用文件系统过滤驱动实现C盘还原功能，类似还原卡这样的功能，原理是什么？
我知道当捕获到 写操作 时把写操作 重定向到另外一个文件；但是当 删除，移动 一个文件时要做什么操作呢？
各位大牛说说。

[linaxing]

有个叫DeepFreeze 的软件实现的就是这个功能，不过是运行在windows上的。没有仔细想过其实现的细节。我猜想，它是维护了一个临时的文件系统，这个临时文件系统是位于真正的文件系统之上的。所以的创建，删除，移动都是在这个临时文件系统上进行，因此并不会影响到真实的文件系统。