Восстановление удаленных файлов в Linux

Статья обновлена 2011.11.14

Как восстановить удаленные файлы в Linux?

Вот и случилось то, что никому не пожелаю. Удалил случайно нужные файлы. Теперь нужно как то их восстановить.

Программы для восстановления удаленных файлов в Linux.

Поискав в интернете, нашел следующий список программ для восстановления файлов в Линукс:

Scalpel ¹, ext3grep ⁰, PhotoRec ⁶, Foremost ¹, The Sleuth Kit, Magicrescue ¹, NtfsUnDelete, RecoverJpeg

ntfsundelete из пакета ntfstools

Восстанавливать, как видно из названия, она может только с NTFS. Полезная вещь если у вас один из разделов с которого будете восстанавливается NTFS, в моем случае она не подходит, т. к. мне нужно восстановить данные с Ext3

The Sleuth Kit

The Sleuth Kit — это набор программ по восстановлению данных (fls, icat, ffind, ifind, mmls, fsstat, etc.), появляющихся при установке пакета sleuthkit. Чем-то очень напоминает вышеописанный ntfsundelete, но в отличии от него, может работать не только с NTFS разделами. Поддерживаемые файловые системы: NTFS, FAT, UFS1, UFS2, FFS, Ext2, Ext3 и ISO 9660.

photorec

Программа photorec как дополнение к testdisk и создавался, по утверждениям разработчиков, специально для восстановления фотографий и прочих файлов изображений, но несмотря на это он может восстанавливать абсолютно любые файлы и обладает богатой функциональностью. Интерфейс - консольный визард. Восстанавливает информацию с носителей и из образов.

Recoverjpeg

recoverjprg — программа созданная специально для того, чтобы восстанавливать jpeg’и больше ничего

Scalpel

Программа написанная на основе foremost версии 0.69 (актуальная версия foremost на момент написания статьи 1.5.6). По умолчанию не восстанавливает ничего, нужно отредактировать файл /etc/scalpel.conf и раскоментировать строки с нужными типами файлов.

magicrescue

Содержится в одноименном пакете и восстанавливает файлы как прямо с носителя, так и с его образа

foremost

Содержится в одноименном пакете и восстанавливает файлы как прямо с носителя, так и с его образа

ext3grep

Содержится в одноименном пакете и восстанавливает файлы как прямо с носителя, так и с его образа

Подробно в описание программ вдаваться не будем, если будет интересно, пишите, сделаем обзор отдельно нужной вам программы.

Пример восстановления файлов в Linux ext3

В этой статье опишу мою попытку постановить поврежденные данные.

Случайно была удалена директория с профилем от почтового клиента, её данные и попробуем восстановить.

При выборе программы для восстановления, первая попалась мне Scalpel, но её использовать я не стал, т. к. в сети нашел масса отзывов по её малой эффективности.

Далее испробовал photorec

Восстановление удаленных файлов в Линкс с помощью photorec

Запускаем команду photorec /dev/sda7

Утилита мне нашла кучу файлов txt, html, в которых находились письма хранимые в профиле, а так же настройки профиля хранимые в txt файлах, но настройки в ini файлах не нашла, хотя по сути это тот же формат txt.

Решил испробовать другую утилиту, которая понимает ini формат или хотя бы имеет возможность добавлять свои форматы.

Из foremost, scalpel и magicrescue утилит, разрешающих добавлять свои файлы, выбор пал на foremost.

Восстановление удаленных файлов в Линукс с помощью foremost

Отзывы об этой проге отличные и добавление формата для меня показалось более простым.

Редактируем файл

/etc/foremost.conf

Копируем из него

# txt y 100000 -----BEGIN\040PGP

Вписываем ниже и изменяем на

# ini y 100000 -----BEGIN\040PGP

После чего убираем спереди #

Запускаем

foremost /dev/sda7

Результат восстановленных файлов получите здесь:

/home/ВАШ_ЛОГИН/output/ (директория output образуется в той директории из которой запускается программа)

Можно указывать нужные вам для поиска расширения и пути для сохранения, пример:

foremost -t doc -o /home/ВАШ_ЛОГИН/recovered/ /dev/sda7

В итоге я получил нужные мне файлы, но сам результат восстановления, по сравнению с восстановлением на Windows NTFS меня разочаровал.

Здесь я получил файлы с произвольными названиями, а не с теми, что были в оригинале, не осталась привязка к каталогам, все в общих каталогах. Для больших файлов возможно это приемлемо, но для 1000сяч текстовых файлов — большая проблема по дальнейшему анализу их принадлежности.

Так что, лучше делать резервные копии данных и внимательно смотреть что удаляете, чем потом тратить часы на восстановление.

Статья обновлена 2011.11.14