Odzyskiwanie danych z partycji ext3 – cd

Do odzyskiwania danych z tego typu partycji może się przydać jeszcze jeden programik – testdisk. Jest nawet bardziej wygodny moim skromnym zdaniem.

Dla przypomnienia, proponuję być na jakimś live-cd i nie pracować na systemie (a przede wszystkim partycji) na którym skasowano plik – czas reakcji ma tu ogromne znaczenie.

Program Testdisk instalujemy go poprzez(systemy na debianie):

sudo apt-get install testdisk

Uruchamiamy:

sudo testdisk

Następnie wybieramy dysk:

TestDisk 6.11, Data Recovery Utility, April 2009
Christophe GRENIER <grenier@cgsecurity.org>

http://www.cgsecurity.org

TestDisk is free software, and
comes with ABSOLUTELY NO WARRANTY.

Select a media (use Arrow keys, then press Enter):
Disk /dev/sda – 320 GB / 298 GiB – ATA WDC WD3200BEVS-0

Odzyskiwanie skasowanych plików z partycji ext3

Inny sposób odzyskiwania danych z użyciem testdisk: http://spassite.wordpress.com/2010/03/16/odzyskiwanie-danych-z-partycji-ext3-cd/

 Zalecam metodę powyższą. W celach referencyjnych poprzedni sposób poniżej:

 

Często zdarza się mniej lub bardziej doświadczonym użyszkodnikom skasować plik tylko po to, by po chwili przypomnieć sobie, że jednak był potrzebny. Co wtedy robić?

Schemat działania wymaga przede wszystkim szybkości, gdyż z czasem dane są zamazywane.

Należy niezwłocznie odmontować partycję, na której skasowaliśmy plik! (Jeśli to jedyna partycja w systemie można przesiąść się na system odpalany z Live Cd.)

Jeżeli nasza partycja zamontowana jest w ‘/media/d’ można to zrobić poprzez:

sudo umount /media/d

Do przeprowadzenia operacji odzyskiwania potrzebny nam pakiet ext3grep. Źródło: ext3grep.tar.gz (do kompilacji potrzebowałem “e2fslibs-dev”) Deb: ext3grep_0.6.0-1_i386.deb

Na potrzeby przykładu dane wyglądają następująco:

Partycja: /dev/sda3 (odczytana poleceniem ‘cat /proc/partitions’)

Nazwa pliku do odzyskania: delete.jpg

Wyszukiwanie skasowanych plików:

Wyszukuje wszystkie skasowane pliki i katalogi z nazwą “delete”

sudo ext3grep /dev/sda3 –dump-names | grep delete
…
1/delete.jpg
…

Odzyskiwanie pliku:

sudo ext3grep /dev/sda3 –restore-file 1/delete.jpg
Running ext3grep version 0.6.0
Number of groups: 776
Minimum / maximum journal block: 1545 / 35886
Loading journal descriptors… sorting… done
Journal transaction 409337 wraps around, some data blocks might have been lost of this transaction.
Number of descriptors in journal: 31585; min / max sequence numbers: 409257 / 410419
Writing output to directory RESTORED_FILES/
Loading sda3.ext3grep.stage2………………………………………………….. done
Restoring 1/delete.jpg

Odzyskanie wszystkich skasowanych plików z całej partycji:

sudo ext3grep /dev/sda3 –restore-all

Odzyskuje wszystkie skasowane pliki które znajdzie (jeśli skasowanu uległo bardzo dużo plików w ostatnim czasie lepiej użyć dodatkowo flagi ‘–after’)

Pliki lądują w katalogu RESTORED_FILES (podkatalog tego, w którym akurat jesteśmy)

Kompletny HOWTO (po angielsku)