restaurer des fichiers sur ext4

Ma mère a placé des fichiers importants sur son / tmp par accident. Maintenant, bien sûr, ils sont partis.

Ce qui est arrivé hier (2 bottes de la machine depuis)

Je veux essayer de restaurer les fichiers. Ils étaient sur / tmp, qui était sur la même partition que le reste de /, donc je besoin d'un outil qui fonctionne sur un système monté (ou je pourrais peut-être utiliser un LiveCD ...)

En ce moment, je suis en train TestDisk sur un SystemRescueCd que je viens de télécharger. Je peux obtenir des fichiers de / tmp, mais pas tous. (Est-ce le bon outil? Quels sont exactement ces fichiers « rouges »? Ne sont que certains d'entre eux récupérables?)

Vous pouvez aussi utiliser extundelete

Tout d' abord Démontez ( umount) le système de fichiers où les fichiers ont été supprimés.
Ensuite , lisez le chapitre Que faire si vous avez supprimé un fichier .

Vous pouvez installer à extundeletepartir du dépôt de Ubuntu classique:

sudo apt-get install extundelete

Ou mieux, vous pouvez télécharger la dernière version et le compiler:

cd ~/Download
tar -xf extundelete-*.*.*-.tar.bz2  #Replace *.*.* by the version
cd      extundelete-*.*.*
sudo apt-get install e2fslibs-dev   #Required for compilation
./configure
make
sudo make install
extundelete --version               #Should be your *.*.* version

Exemple d'utilisation: restaurer tous les fichiers supprimés du répertoire Imagesdans le nouveau répertoire créérestore

sudo extundelete --restore-directory Images/ -o restore /dev/sda3

Mauvaise nouvelle si vous voyez votre fichier XXXXdans le format suivant:

Unable to restore inode NNN (Images/XXXX): Space has been reallocated.

Voir tous les fichiers restaurés (recherchez votre fichier):

find restore -name '*'

Sauvegardez vos fichiers et supprimez ce répertoire temporaire restore

cp restore/Images/XXXX MY_BACKUP_DIRECTORY
sudo rm -rf restore  

La récupération de données, en particulier sur les systèmes de fichiers EXT, doit être tentée à partir d'un CD live ou d'un autre système qui ne dépend pas de la partition à partir de laquelle vous supprimez la suppression. Le démontage ou le remontage du disque en lecture seule contribue grandement à l'effort de récupération.

La plupart du temps, j'essaie de créer une image de la partition ou du disque à l'aide d' ddun outil similaire, de sorte que je ne travaille pas sur le disque lui-même:

dd if=/dev/sd[xx] of=/media/backup_drive/recovery.img

Une fois que vous avez votre image, vous pouvez utiliser un outil comme ext3greppour essayer de trouver les fichiers que vous recherchez. Il existe de nombreux commutateurs différents que vous pouvez essayer, mais cela pourrait être un bon début:

ext3grep --restore-file 'tmp/moms-file.txt' recovery.img

L' ext3greputilitaire propose également plusieurs méthodes de recherche dans le système de fichiers si vous ne connaissez pas le nom du fichier. Vérifiez ext3grep --helples différentes méthodes de recherche.

J'ai préféré utiliser ext4magic comme:

sudo ext4magic  /dev/sdc3 -r -f $USERl/Documents/ -d /tmp/local/tmp/

Notez que vous devez résoudre le lien symbolique par vous-même

Les références:

http://sourceforge.net/projects/ext4magic/

http://rzr.online.fr/q/recover

Je n'ai pas pu récupérer mon fichier crontab en utilisant ext4magic ou extundelete.

Sur Debian, la crontab pour root est ici:

/var/spool/cron/crontabs/root

Mais, en utilisant la commande suivante, j'ai pu au moins récupérer manuellement ma crontab à partir des journaux.

 grep CRON /var/log/syslog.* -i| awk -F " CMD " {'print $2;'} |sort | uniq

Il sera sortie que les travaux exécutés Cron (pas de timings), mais au moins cela est beaucoup plus à partir de zéro.

Si vous ne vous souvenez pas combien de fois certains effectuent des travaux exécutés Cron, prendre un journal complet syslog.1 par exemple et cela vous donnera le nombre de passages creux de la journée:

grep CRON /var/log/syslog.1 -i| awk -F " CMD " {'print $2;'} |sort | uniq -c |sort -n

AnalyzeEXT

Analyser les blocs de données pour les données du répertoire EXT.

Une documentation détaillée sur EXT4 se trouve ici:

• https://ext4.wiki.kernel.org/index.php/Ext4_Disk_Layout
• https://digital-forensics.sans.org/blog/tags/ext4

Télécharger le script perl

git clone https://github.com/halpomeranz/analyzeEXT

Aucune garantie, mais peut être en mesure de reconstruire les systèmes de fichiers supprimés.