cofnąć usunięcie plików na ext4

Moja matka umieściła na swoim / tmp kilka ważnych plików na wypadek. Teraz oczywiście ich nie ma.

Stało się to wczoraj (od tego czasu 2 buty maszyny)

Chcę spróbować cofnąć usunięcie plików. Były na / tmp, który był na tej samej partycji co reszta /, więc potrzebuję narzędzia, które działa na zamontowanym systemie (a może mógłbym użyć LiveCd ...)

W tej chwili próbuję dysk testowy na zapisanym systemie, który właśnie pobrałem. Mogę pobrać niektóre pliki z / tmp, ale nie wszystkie. (czy to właściwe narzędzie? Czym dokładnie są te „czerwone” pliki? tylko niektóre z nich można odzyskać?)

Możesz także użyć extundelete

Najpierw odmontuj ( umount) system plików, w którym pliki zostały usunięte.
Następnie przeczytaj rozdział Co zrobić, jeśli plik został usunięty .

Możesz zainstalować extundeletez klasycznego repozytorium Ubuntu:

sudo apt-get install extundelete

Lub lepiej, możesz pobrać najnowszą wersję i skompilować ją:

cd ~/Download
tar -xf extundelete-*.*.*-.tar.bz2  #Replace *.*.* by the version
cd      extundelete-*.*.*
sudo apt-get install e2fslibs-dev   #Required for compilation
./configure
make
sudo make install
extundelete --version               #Should be your *.*.* version

Przykład użycia: przywróć wszystkie usunięte pliki z katalogu Imagesdo nowo utworzonego katalogurestore

sudo extundelete --restore-directory Images/ -o restore /dev/sda3

Złe wieści, jeśli widzisz plik XXXXw następującym formacie:

Unable to restore inode NNN (Images/XXXX): Space has been reallocated.

Zobacz wszystkie przywrócone pliki (poszukaj pliku):

find restore -name '*'

Wykonaj kopię zapasową plików i usuń ten katalog tymczasowy restore

cp restore/Images/XXXX MY_BACKUP_DIRECTORY
sudo rm -rf restore  

Odzyskiwanie danych, szczególnie w systemach plików EXT, powinno być podejmowane z płyty CD na żywo lub innego systemu, który nie zależy od partycji, z której jest usuwane. Odmontowanie lub ponowne zamontowanie dysku jako odczytu tylko bardzo pomaga w odzyskiwaniu.

Przez większość czasu próbuję utworzyć obraz partycji lub dysku za pomocą ddlub podobnego narzędzia, aby nie pracować na samym dysku:

dd if=/dev/sd[xx] of=/media/backup_drive/recovery.img

Po uzyskaniu obrazu możesz użyć narzędzia, takiego jak ext3greppróba znalezienia plików, których szukasz. Istnieje wiele różnych przełączników, które możesz wypróbować, ale może to być dobry początek:

ext3grep --restore-file 'tmp/moms-file.txt' recovery.img

ext3grepNarzędzie zapewnia również kilka różnych sposobów przeszukiwania systemu plików, jeśli nie znasz nazwy pliku. Sprawdź ext3grep --helpróżne metody wyszukiwania.

Wolałem używać ext4magic jako:

sudo ext4magic  /dev/sdc3 -r -f $USERl/Documents/ -d /tmp/local/tmp/

Pamiętaj, że musisz rozwiązać dowiązanie symboliczne samodzielnie

Bibliografia:

http://sourceforge.net/projects/ext4magic/

http://rzr.online.fr/q/recover

Nie mogłem odzyskać mojego pliku crontab przy użyciu ext4magic lub extundelete.

W Debianie crontab dla roota jest tutaj:

/var/spool/cron/crontabs/root

Ale za pomocą następującego polecenia udało mi się przynajmniej ręcznie odzyskać mój plik crontab z dzienników.

 grep CRON /var/log/syslog.* -i| awk -F " CMD " {'print $2;'} |sort | uniq

Będzie wyświetlać tylko wykonane zadania crona (bez synchronizacji), ale przynajmniej jest to o wiele więcej niż rozpoczęcie od zera.

Jeśli nie pamiętasz, jak często uruchamiane są niektóre zadania cron, weź pełny dziennik, np. Syslog.1, a to da ci licznik uruchomień w ciągu dnia:

grep CRON /var/log/syslog.1 -i| awk -F " CMD " {'print $2;'} |sort | uniq -c |sort -n

Analizuj EXT

Analizuj bloki danych dla danych katalogu EXT.

Szczegółową dokumentację dotyczącą EXT4 można znaleźć tutaj:

• https://ext4.wiki.kernel.org/index.php/Ext4_Disk_Layout
• https://digital-forensics.sans.org/blog/tags/ext4

Pobierz skrypt perla za pomocą

git clone https://github.com/halpomeranz/analyzeEXT

Brak gwarancji, ale może być w stanie odtworzyć usunięte systemy plików.