Восстановление файлов в консоли
Каждый кто хоть раз открывал консоль командной строки в Ubuntu 12.04 Desktop сталкивался, что случайно удалял файл(ы) посредством команды rm и в последствии задавался вопросом, а как можно их восстановить?
К примеру в Nautilus удаляемые файлы помещаются в скрытый каталог (.Trash) (за подробностями прошу сюда), из которого в последствии их можно восстановить, но консоль, что делать с ней. Вот про этот момент и будет моя заметка.
В репозитариях Ubuntu 12.04 Desktop присутствует утилита trash-cli в задачу которой входит весь функционал работы компонента Корзина в Nautilus‘e. Trash-cli используется для:
- поиска удалённых файлов в корзину Trash
- просмотр удалённых файлов
- восстановления и очистки.
Выведем описание утилиты из репозитариев Ubuntu 12.04 Desktop :
ekzorchik@polygon:~$ apt-cache search trash-cli
trash-cli — command line trashcan utility
Устанавливаем ее в нашу систему:
ekzorchik@polygon:~$ sudo apt-get install trash-cli
Данный пакет trash-cli включает в себя в precise:
/usr/bin/trash-empty Remove for ever any trashed file and trashed directory
/usr/bin/restore-trash Restore for Command line trash utility
/usr/bin/trash-list List trashed files
/usr/bin/trash-put Names of files or directory to move in the trashcan
У каждого пользователя системы есть своя корзина в ней хранятся Ваши удаленный файлы:
ekzorchik@polygon:~$ ls .local/share/Trash/
files info
Создадим алиас на удаление (~/.bashrc, для каждого пользователя, если у Вас их много работает в системе, то придется настроить alias для каждого), для всех пользователей системы:
ekzorchik@polygon:~$ sudo nano /etc/bash.bashrc
alias rm=’trash-put’
Создадим и удалим каталог:
ekzorchik@polygon:~$ mkdir 3
ekzorchik@polygon:~$ rm 3 -R
Посмотреть список удалённых файлов можно:
ekzorchik@polygon:~$ trash-list
2013-05-26 12:33:16 /home/ekzorchik/3
Восстановим удаленные файлы (каталоги) или файл (каталог):
ekzorchik@polygon:~$ restore-trash
0 2013-05-26 12:35:08 /home/ekzorchik/3
1 2013-05-26 12:37:26 /home/ekzorchik/bratva
What file to restore [0..1]: 0 (указываем нумерацию по файлами каталогам которые хотим восстановить)
На заметку: Если нужно восстановить несколько файлов следует указывать, так: 0123 без пробела и без запятых. Если каким либо образом по другому, то программа вываливается в ошибку.
Очистить корзину:
ekzorchik@polygon:~$ trash-empty
Вот собственно и всё о чем я хотел поведать в этой заметке. Удачи. С уважением ekzorchik.
От ekzorchik
Всем хорошего дня, меня зовут Александр. Я под ником — ekzorchik, являюсь автором всех написанных, разобранных заметок. Большинство вещей с которыми мне приходиться разбираться, как на работе, так и дома выложены на моем блоге в виде пошаговых инструкции. По сути блог — это шпаргалка онлайн. Каждая новая работа где мне случалось работать вносила новые знания и нюансы работы и соответственно я расписываю как сделать/решить ту или иную задачу. Это очень помогает. Когда сам разбираешь задачу, стараешься ее приподнести в виде структурированной заметки чтобы было все наглядно и просто, то процесс усвоения идет в гору.
10 способов восстановления удалённых файлов в linux
Я никого не знаю, кто хотя бы раз случайно не удалил файл и не попытался бы его восстановить. В Windows восстановление файлов — относительно легкая операция. Но как это сделать в Linux? Точнее, если что-то было удалено из командной строки в экране Терминала, как восстановить этот файл? В некоторых дистрибутивах Linux, таких как Ubuntu, существует корзина, но в большинстве других её нет. Удалённые файлы просто отправляются в небытье.
Второй совет — делать резервные копии. Для копирования важных каталогов и файлов на другую систему или раздел можно воспользоваться утилитой rsync. С помощью crontab это можно делать ежедневно или даже ежечасно.
Итак, рассмотрим 10 способов восстановления удалённых файлов:
- Recover — автоматизирует некоторые шаги восстановления утерянного файла, описанные в Linux Ext2fs Undeletion Mini-HOWTO ( перевод ). Эта утилита значительно увеличит эффективность восстановления. Она рекомендуется тем, кто не знает, как восстанавливать файлы.
- athena-delete — была написана для проекта Athena по запросам множества новых пользователей UNIX, случайно удалявших нужные им файлы.
- unrm — небольшая консольная утилита, которая при некоторых условиях, может восстановить почти 99% удалённых данных (похожа на утилиту undelete в DOS). Перед её использованием внимательно прочитайте файл FAQ и желательно Linux Ext2fs Undeletion Mini-HOWTO. Применение:
unrm [-b (no block padding)][-e (every block)][-f fstype][-vW] device [block. ]
e2undel -d device -s path [-a][-t] -d файловая система, где искать удалённые файлы -s каталог, в который сохранять восстановленные файлы -a работать на всех файлах -t попытаться определить тип удалённых файлов без имён -l просто выдать список валидных файлов в лог-файл undel
Комментарии
- Dankoozy on June 21, 2007 4:10 pm Don’t forget a utility called ‘foremost’. I used it for recovering stuff off microdrives and CF cards. First I make an image of the thing onto the hard disc, then I run foremost on that image which recovers the files. Its detection is based on the headers of certain file formats, though it will work on any filesystem the types of files it will recover is slightly limited.
http://foremost.sourceforge.net/ - В.А.Костромин, 10 ноября 2010 г. Заметка сильно устарела. Часть приведенных выше ссылок уже не работают (Recover, rfs), разработка других утилит давно заброшена (последние обновления e2undel — April 2004, anyfs-tools — 10 Aug 2008, findfile — March 18, 2004, e2retrieve тестировалась на Suse 8.2 и Redhat 6.2).
Как восстановить удалённый файл в Linux
Если PhotoRec не принесла результатов, то попробуйте другие инструменты.
Использование Scalpel
Scalpel – это программа с открытым исходным кодом для восстановления файлов используя базу данных заголовков, колонтитулов. Может восстанавливать с образов дисков или устройств с сырыми блоками, заголовки и колонтитулы устанавливаются пользователем. Программа используется не только для восстановления файлов, но и цифровых криминалистических исследований.
Установка Scalpel в Ubuntu, Linux Mint и Debian
Откройте терминал и скопируйте в него команду:
sudo apt-get install scalpel
После завершения установки scalpel, вам нужно найти файл scalpel.conf:
Обычно он размещается в /etc/scalpel/scalpel.conf или /etc/scalpel.conf. Откройте этот файл текстовым редактором, вы увидите, что все строки закомментированы (начинаются с #). Т.е. перед запуском scalpel вам нужно раскомментировать форматы файлов, которые вы хотите восстановить. Если раскомментировать весь файл, то потребуется много времени и появится много ложных результатов.
Допустим, я хочу восстановить только файлы .jpg, тогда я просто раскомментирую секцию jpg в конфигурационном файле scalpel.
# GIF and JPG files (very common) gif y 5000000 \x47\x49\x46\x38\x37\x61 \x00\x3b gif y 5000000 \x47\x49\x46\x38\x39\x61 \x00\x3b jpg y 200000000 \xff\xd8\xff\xe0\x00\x10 \xff\xd9
В командной строке вам нужно указать расположение удалённых файлов, которые вы пытаетесь восстановить (в данном примере это /dev/sda1):
sudo scalpel /dev/sda1-o output
Переключатель -o указывает на директорию вывода, где вы хотите сохранить ваши восстановленные файлы. Перед запуском программы убедитесь, что это директория является пустой, в противном случае вы получите ошибку. Вывод команды:
Scalpel version 1.60 Written by Golden G. Richard III, based on Foremost 0.69. Opening target "/dev/sda1" Image file pass 1/2. /dev/sda1: 6.1% |***** | 6.6 GB 39:16 ETA
Как вы видите, теперь scalpel выполняет свои действия, процесс восстановления удалённых файлов занимает время, которое зависит от объёма диска, который вы сканируете, и от скоросоти машины.
Использование extundelete
extundelete – утилита, позволяющая восстанавливать файлы, которые были удалены с разделов ext3/ext4.
Установить extundelete в Ubuntu, Linux Mint и Debian можно выполнив команду:
sudo apt-get install extundelete
Как только вы поняли, что удалили нужные файлы, надо отмонтировать раздел:
или перемонтировать в режиме «только чтение»
Так же следует создать резервную копию раздела прежде, чем начинать с ним работу по восстановлению файлов:
dd bs=4M if=/dev/ of=partition.backup
Зайдите в каталог, в который будут восстанавливаться удаленные данные. Он должен быть расположен на разделе отличном от того, на котором хранились восстанавливаемые данные:
Запустите extundelete, указав раздел, с которого будет происходить восстановление и файл, который необходимо восстановить:
sudo extundelete /dev/ —restore-file //
Можно так же восстанавливать содержимое каталогов:
sudo extundelete /dev/ —restore-directory /
Можно задать для восстановления рамки по времени удаления восстанавливаемых файлов, например так:
sudo extundelete —after /dev/ —restore-directory /
Дату необходимо указывать в UNIX-времени:
Некоторые файлы могут восстановиться под другим именем и расширением, хотя это не повлияет на содержимое файла.
Полный список параметров extundelete можно посмотреть на странице https://kali.tools/?p=2574
Использование foremost
foremost производит поиск и восстановление данных по сигнатурам. Хорошо подходит для восстановления фотографий и скриншотов с битых карт памяти и флешек.
Установка foremost в Ubuntu, Linux Mint и Debian:
sudo apt-get install foremost
Пример использования для восстановления изображений с диска /dev/sdb в каталог ~/out_dir:
sudo foremost -t jpg,gif,png,bmp -i /dev/sdb -o ~/out_dir
Полный список параметров foremost можно посмотреть на странице https://kali.tools/?p=2494
Удалён файл, открытый в программе
Если вы считаете, что удалённый файл ещё открыт в какой-то программе (например, фильм, который в настоящий момент проигрывается медиа плеером) и вы знаете имя файла, но для начала попробуйте эту процедуру:
lsof|grep "путь/до/файла" progname 5559 user 22r REG 8,5 1282410 1294349 /path/to/file
Запоминаем номер во втором столбце, это 5559, и номер в четвёртой колонке, это 22. Тогда команда восстановления:
cp /proc/5559/fd/22 restored.file
Если этот трюк не дал результата, то немедленно размонтируйте файловую систему с удалённым файлом или переведите её в режим только чтения.