recuperar arquivos apagados no ext4

Minha mãe colocou alguns arquivos importantes nela / tmp por acidente. Agora, é claro, eles se foram.

Isso aconteceu ontem (2 botas da máquina desde)

Eu quero tentar recuperar os arquivos. Eles estavam em / tmp, que estava na mesma partição que o restante de /, então eu preciso de uma ferramenta que seja executada em um sistema montado (ou talvez eu possa usar um livecd ...)

No momento, estou tentando o testdisk em um sistema que acabou de baixar. Posso obter alguns arquivos de / tmp, mas não todos. (é a ferramenta certa? Quais são exatamente esses arquivos "vermelhos"? São apenas alguns deles recuperáveis?)

Você também pode usar extundelete

Primeiro desmonte ( umount) o sistema de arquivos em que os arquivos foram excluídos.
Em seguida, leia o capítulo O que fazer se você excluiu um arquivo .

Você pode instalar a extundeletepartir do repositório clássico do Ubuntu:

sudo apt-get install extundelete

Ou melhor, você pode baixar a versão mais recente e compilá-la:

cd ~/Download
tar -xf extundelete-*.*.*-.tar.bz2  #Replace *.*.* by the version
cd      extundelete-*.*.*
sudo apt-get install e2fslibs-dev   #Required for compilation
./configure
make
sudo make install
extundelete --version               #Should be your *.*.* version

Exemplo de uso: restaure todos os arquivos excluídos do diretório Imagespara o novo diretório criadorestore

sudo extundelete --restore-directory Images/ -o restore /dev/sda3

Más notícias se você vir seu arquivo XXXXno seguinte formato:

Unable to restore inode NNN (Images/XXXX): Space has been reallocated.

Veja todos os arquivos restaurados (procure seu arquivo):

find restore -name '*'

Faça backup dos seus arquivos e remova esse diretório temporário restore

cp restore/Images/XXXX MY_BACKUP_DIRECTORY
sudo rm -rf restore  

A recuperação de dados, especialmente em sistemas de arquivos EXT, deve ser tentada a partir de um CD ao vivo ou outro sistema que não depende da partição da qual você está excluindo a exclusão. Desmontar ou montar o disco como somente leitura ajuda bastante no esforço de recuperação.

Na maioria das vezes, tento criar uma imagem da partição ou do disco usando dduma ferramenta semelhante, para não trabalhar no próprio disco:

dd if=/dev/sd[xx] of=/media/backup_drive/recovery.img

Depois de ter sua imagem, você pode usar uma ferramenta como ext3grepa de tentar encontrar os arquivos que está procurando. Você pode tentar várias opções diferentes, mas isso pode ser um bom começo:

ext3grep --restore-file 'tmp/moms-file.txt' recovery.img

O ext3greputilitário também fornece várias maneiras diferentes de pesquisar no sistema de arquivos se você não souber o nome do arquivo. Verifique ext3grep --helpos vários métodos de pesquisa.

Eu preferi usar ext4magic como:

sudo ext4magic  /dev/sdc3 -r -f $USERl/Documents/ -d /tmp/local/tmp/

Observe que você deve resolver o link simbólico por conta própria

Referências:

http://sourceforge.net/projects/ext4magic/

http://rzr.online.fr/q/recover

Não consegui recuperar meu arquivo crontab usando ext4magic ou extundelete.

No Debian, o crontab para root está aqui:

/var/spool/cron/crontabs/root

Mas, usando o comando a seguir, consegui recuperar pelo menos manualmente meu crontab dos logs.

 grep CRON /var/log/syslog.* -i| awk -F " CMD " {'print $2;'} |sort | uniq

Ele produzirá apenas os trabalhos cron executados (sem intervalos), mas pelo menos isso é muito mais do que começar do zero.

Se você não se lembra de quantas vezes certas tarefas cron são executadas, faça um log completo, por exemplo, syslog.1 e isso fornecerá a contagem de execuções durante o dia:

grep CRON /var/log/syslog.1 -i| awk -F " CMD " {'print $2;'} |sort | uniq -c |sort -n

AnalyzeEXT

Analisar blocos de dados para dados do diretório EXT.

Documentação detalhada sobre EXT4 pode ser encontrada aqui:

• https://ext4.wiki.kernel.org/index.php/Ext4_Disk_Layout
• https://digital-forensics.sans.org/blog/tags/ext4

Faça o download do script perl com

git clone https://github.com/halpomeranz/analyzeEXT

Nenhuma garantia, mas pode reconstruir os sistemas de arquivos excluídos.