відновити файли на ext4

Моя мати розмістила кілька важливих файлів на її / tmp за випадковість. Тепер, звичайно, їх немає.

Це сталося вчора (2 черевики машини з тих пір)

Я хочу спробувати відновити файли. Вони були на / tmp, який знаходився на тому ж розділі, що і решта /, тому мені потрібен інструмент, який працює на змонтованій системі (або, можливо, я міг би використовувати livecd ...)

Зараз я пробую testdisk на systemrescuecd, який я щойно завантажив. Я можу отримати деякі файли з / tmp, але не всі. (це правильний інструмент? Які саме ті "червоні" файли? лише деякі з них можна відновити?)

Ви також можете використовувати extundelete

Спочатку відключіть ( umount) файлову систему, з якої були видалені файли.
Потім прочитайте розділ Що робити, якщо ви видалили файл .

Ви можете встановити extundeleteз класичного сховища Ubuntu:

sudo apt-get install extundelete

Або ще краще, ви можете завантажити останню версію та скласти її:

cd ~/Download
tar -xf extundelete-*.*.*-.tar.bz2  #Replace *.*.* by the version
cd      extundelete-*.*.*
sudo apt-get install e2fslibs-dev   #Required for compilation
./configure
make
sudo make install
extundelete --version               #Should be your *.*.* version

Приклад використання: відновлення всіх видалених файлів з каталогу Imagesв новому створеному каталозіrestore

sudo extundelete --restore-directory Images/ -o restore /dev/sda3

Погані новини, якщо ви бачите свій файл XXXXу такому форматі:

Unable to restore inode NNN (Images/XXXX): Space has been reallocated.

Перегляньте всі відновлені файли (знайдіть свій файл):

find restore -name '*'

Створіть резервні копії файлів і видаліть цей тимчасовий каталог restore

cp restore/Images/XXXX MY_BACKUP_DIRECTORY
sudo rm -rf restore  

Відновлення даних, особливо у файлових системах EXT, слід намагатись із живого компакт-диска або іншої системи, яка не залежить від розділу, з якого ви видаляєте. Очищення диска відключеним або повторно встановленим лише для читання дуже допомагає в відновлення.

Більшу частину часу я намагаюся створити зображення розділу чи диска за допомогою ddчи подібного інструменту, щоб я не працював над самим диском:

dd if=/dev/sd[xx] of=/media/backup_drive/recovery.img

Коли ви маєте своє зображення, ви можете скористатися інструментом, як ext3grepспробувати знайти файли, які шукаєте. Ви можете спробувати багато різних комутаторів, але це може бути вдалим початком:

ext3grep --restore-file 'tmp/moms-file.txt' recovery.img

ext3grepУтиліта також надає кілька різних способів пошуку через файлову систему , якщо ви не знаєте ім'я файлу. Перевірте ext3grep --helpнаявність різних методів пошуку.

Я вважав за краще використовувати ext4magic як:

sudo ext4magic  /dev/sdc3 -r -f $USERl/Documents/ -d /tmp/local/tmp/

Зверніть увагу, що ви повинні вирішити символьне посилання самостійно

Список літератури:

http://sourceforge.net/projects/ext4magic/

http://rzr.online.fr/q/recover

Я не зміг відновити файл crontab, використовуючи ext4magic або extundelete.

У Debian тут знаходиться crontab для root:

/var/spool/cron/crontabs/root

Але, скориставшись такою командою, я зміг принаймні вручну відновити свій кронтаб із журналів.

 grep CRON /var/log/syslog.* -i| awk -F " CMD " {'print $2;'} |sort | uniq

Він видаватиме лише виконані завдання cron (без термінів), але принаймні це набагато більше, ніж починати з нуля.

Якщо ви не пам’ятаєте, як часто виконуються певні завдання в Cron, візьміть повний журнал, наприклад, syslog.1, і це дасть вам кількість рахунків за пробіг протягом дня:

grep CRON /var/log/syslog.1 -i| awk -F " CMD " {'print $2;'} |sort | uniq -c |sort -n

ПроаналізуйтеEXT

Аналіз блоків даних для даних каталогу EXT.

Детальну документацію на EXT4 можна знайти тут:

• https://ext4.wiki.kernel.org/index.php/Ext4_Disk_Layout
• https://digital-forensics.sans.org/blog/tags/ext4

Завантажте сценарій perl за допомогою

git clone https://github.com/halpomeranz/analyzeEXT

Ніякої гарантії, але можливо не вдасться відновити видалені файлові системи.