ripristinare i file su ext4

Mia madre ha inserito alcuni file importanti su / tmp per incidente. Ora, ovviamente, se ne sono andati.

Questo è successo ieri (2 stivali della macchina da allora)

Voglio provare a ripristinare i file. Erano su / tmp, che era sulla stessa partizione del resto di /, quindi ho bisogno di uno strumento che gira su un sistema montato (o forse potrei usare un livecd ...)

In questo momento, sto provando testdisk su un systemrescuecd che ho appena scaricato. Posso ottenere alcuni file da / tmp, ma non tutti. (è lo strumento giusto? Cosa sono esattamente quei file "rossi"? Sono solo alcuni di essi recuperabili?)

Puoi anche usare extundelete

Innanzitutto, smontare ( umount) il file system in cui i file sono stati eliminati.
Quindi leggi il capitolo Cosa fare se hai eliminato un file .

Puoi installare extundeletedal classico repository Ubuntu:

sudo apt-get install extundelete

O meglio, puoi scaricare l' ultima versione e compilarla:

cd ~/Download
tar -xf extundelete-*.*.*-.tar.bz2  #Replace *.*.* by the version
cd      extundelete-*.*.*
sudo apt-get install e2fslibs-dev   #Required for compilation
./configure
make
sudo make install
extundelete --version               #Should be your *.*.* version

Esempio di utilizzo: ripristinare tutti i file eliminati dalla directory Imagesnella nuova directory creatarestore

sudo extundelete --restore-directory Images/ -o restore /dev/sda3

Cattive notizie se vedi il tuo file XXXXnel seguente formato:

Unable to restore inode NNN (Images/XXXX): Space has been reallocated.

Vedi tutti i file ripristinati (cerca il tuo file):

find restore -name '*'

Eseguire il backup dei file e rimuovere questa directory temporanea restore

cp restore/Images/XXXX MY_BACKUP_DIRECTORY
sudo rm -rf restore  

Il recupero dei dati, specialmente sui file system EXT, dovrebbe essere tentato da un CD live o da un altro sistema che non dipende dalla partizione da cui si sta deselezionando. Ottenere il disco smontato o rimontato in sola lettura aiuta moltissimo nello sforzo di recupero.

Il più delle volte provo a creare un'immagine della partizione o del disco usando ddo uno strumento simile, in modo che non stia lavorando sul disco stesso:

dd if=/dev/sd[xx] of=/media/backup_drive/recovery.img

Una volta che hai la tua immagine, puoi usare uno strumento come ext3grepprovare a trovare i file che stai cercando. Ci sono molti switch diversi che puoi provare, ma questo potrebbe essere un buon inizio:

ext3grep --restore-file 'tmp/moms-file.txt' recovery.img

L' ext3greputilità offre anche diversi modi per cercare nel file system se non si conosce il nome del file. Verifica ext3grep --helpi vari metodi di ricerca.

Ho preferito usare ext4magic come:

sudo ext4magic  /dev/sdc3 -r -f $USERl/Documents/ -d /tmp/local/tmp/

Nota che devi risolvere symlink da solo

Riferimenti:

http://sourceforge.net/projects/ext4magic/

http://rzr.online.fr/q/recover

Non sono riuscito a recuperare il mio file crontab usando ext4magic o extundelete.

Su Debian, il crontab per root è qui:

/var/spool/cron/crontabs/root

Ma, usando il seguente comando, sono stato in grado di recuperare manualmente il mio crontab dai registri.

 grep CRON /var/log/syslog.* -i| awk -F " CMD " {'print $2;'} |sort | uniq

Produrrà solo i lavori cron eseguiti (senza tempi), ma almeno questo è molto più che iniziare da zero.

Se non ricordi con quale frequenza vengono eseguiti determinati lavori cron, prendi un registro completo, ad es. Syslog.1 e questo ti darà il conteggio delle corse nel corso della giornata:

grep CRON /var/log/syslog.1 -i| awk -F " CMD " {'print $2;'} |sort | uniq -c |sort -n

AnalyzeEXT

Analizzare blocchi di dati per i dati della directory EXT.

La documentazione dettagliata su EXT4 è disponibile qui:

• https://ext4.wiki.kernel.org/index.php/Ext4_Disk_Layout
• https://digital-forensics.sans.org/blog/tags/ext4

Scarica lo script perl con

git clone https://github.com/halpomeranz/analyzeEXT

Nessuna garanzia, ma potrebbe essere in grado di ricostruire i filesystem cancellati.