Как восстановить перезаписанный файл linux

Источник

Как восстановить в Linux файл, перезаписанный другим?

Как стереть все на жестком диске компьютера

Я сделал это в командной строке (Ubuntu 12.04, ext4)

Есть ли способ восстановить required_file? Я вложил в это так много работы. Обычно я делаю резервные копии файлов, но на этот раз забыл.

• Я бы не стал использовать машину и нашел бы хорошее программное обеспечение (не знаю такого для Linux), которое может восстанавливать удаленные файлы. Ваши данные, скорее всего, все еще будут там.

Если ваш файл находился в файловой системе / home, ‘home был смонтирован на / dev // sda2, а soldier — это ключевая фраза, которая, вероятно, будет уникальной для перезаписанного файла.

recovered_file, вероятно, будет большим, но может содержать текст из перезаписанного файла. Если перезаписанный файл не был в основном текстовым, этот подход бесполезен.

Важно принять меры, чтобы операционная система не производила дальнейших операций записи в файловую систему, содержащую ваш файл. Хороший способ — загрузиться с live-CD. Если вы можете размонтировать файловую систему или перемонтировать ее только для чтения, это тоже хорошо.

Возможно, вам будет интересно прочитать http://carlo17.home.xs4all.nl/howto/undelete_ext3.html — хотя это больше относится к удаленным файлам, чем к перезаписанным. Однако, если вы ранее редактировали свой перезаписанный файл, похоже, что редактор оставил несколько удаленных копий на диске в качестве естественной части процесса редактирования.

• Большое спасибо за этот ответ. Спас мой день! Мне каким-то образом удалось переопределить файл .tex с помощью Texmaker, и я неожиданно столкнулся со старой версией, созданной двумя днями ранее. Описанный поиск обнаружил полностью отсутствующий текст / код несколько мгновений назад. Спасибо!

Прекратите использование / отключите соответствующий раздел как можно скорее.

Рассмотрим эту ветку, где упоминается extundelete. Кроме того, существуют photorec, в первую очередь, и скальпель, которые являются очень мощными резчиками файлов, которые могут помочь восстановить ваш файл (например, путем поиска более старых версий или резервных копий вашего файла, которые еще не были перезаписаны).

Все эти инструменты доступны в ваших репозиториях Ubuntu apt (Photorec идет с тестовый диск пакет).

Не забудьте сохранить результаты восстановления на другом разделе, отличном от того, из которого вы восстанавливаете данные.

Однако, если ваш файл действительно был перезаписанный (т.е. та же область жесткого диска, где хранился старый файл, использовалась для хранения нового файла), тогда нет возможности восстановить файл (Примечание: это действительно только для жестких дисков — ssds store (и «перезаписать «) файлы другим способом). Если вам повезет, вы сможете восстановить только те части файла, которые не были перезаписаны, например если новый файл был меньше старого.

• Обратите внимание, что можно восстановить перезаписанные данные на обычных жестких дисках, но это невозможно сделать из дома, для этого требуется профессиональная помощь в восстановлении данных (которая обычно стоит больших денег). Успех зависит от того, сколько раз вы его перезаписывали (обычно достаточно одного или двух раз).
• @Thomas: ваша информация устарела, никто никогда не публиковал отчет о фактическом восстановлении предыдущего содержимого перезаписанных секторов. В настоящее время принято считать, что это невозможно для современных жестких дисков. См. Anti-forensics.com/disk-wiping-one-pass-is-enough и infosecisland.com/blogview/…
• @Thomas. Рассмотрите эту статью, в которой дается краткое изложение того, почему одной перезаписи достаточно, чтобы безопасно стереть данные с жестких дисков.

Я не думаю, что required_file был фактически перезаписан этим действием. Он был скорее «отвязан» от соответствующего индексного дескриптора, чтобы «исчезнуть». Также some_arbit_file не изменил свое местоположение — это был скорее «указатель», который ранее указывал на required_file, который теперь указывает сюда.

Есть инструменты, которые помогут вам в некоторых случаях, например, Sleuthkit или Testdisk. Но они требуют некоторой ручной работы — а это не так просто сделать, если вы не знаете, с чего начать. Также есть сценарий под названием ext3undel, который использует эти инструменты и автоматизирует процесс, или автономная утилита extundelete.

Что бы вы ни пытались сделать: совсем не касайтесь затронутого раздела диска, это увеличивает ваши шансы на восстановление потерянного файла. Лучше всего выполнить все действия на другой машине, а подключение затронутого диска только для чтения даже для восстановления повысит ваши шансы. Не имея другой машины, вы можете попробовать live CD (убедитесь, что не смонтировали затронутый диск в режиме записи!). Даже будучи LiveCD, они позволяют устанавливать программное обеспечение в память, поэтому вы можете получить и запустить любой из вышеупомянутых инструментов. Имейте под рукой дополнительный носитель (например, карту памяти, SD-карту, внешний диск . ) для хранения восстановленных файлов и запускайте процесс — что бы вы ни выбрали — оттуда.

Источник

Случайно перезаписал файл, помогите

Привет. Случайно перезаписал файл с помощью tar, было это примерно так:

# tar -cz /var/lib/mysql > /home/mysql.tar.gz

# rm -r /var/lib/mysql

# tar -cz /var/lib/mysql > /home/mysql.tar.gz

Вместо последней строчки должно было быть совершенно нечто другое, но кого это теперь волнует. Короче, /home/mysql.tar.gz теперь весит 42байта. Таким образом я удалил и БД и бекап БД.

Кто-нибудь подскажет, как можно полазить по inod’ам и найти старую версию /home/mysql.tar.gz?

есть ещё и undelete для EXT3,4.

Есть, но против overwritten они не помогают, как я понял А в /var/lib/mysql было более 1000 файлов

Тебе уже ничего не поможет, нужно было стразу перемонтировать в режим только для чтения.

Есть, но против overwritten они не помогают, как я понял А в /var/lib/mysql было более 1000 файлов

1. photorec может восстановить вам многие из 1000+ файлов в /var/lib/mysql

2. при перезаписи > /home/mysql.tar.gz гарантированно уничтожается в EXT3,4 только первый блок. Остальные НЕ уничтожаются, т.к. файл усекается до нулевого размера (кстати, про первый блок это тоже мои догадки, надо сырцы смотреть, возможно при усечении до нуля берётся не первый блок, а какой-то из свободных). Разнообразные undelete могут найти информацию про старые блоки в журнале. (внимание! _могут_, но не обязаны). Хотя, после энтропийного кодирования gzip’ом будет сложновато выделить информацию без первого блока, но я думаю — можно. За десяток килорублей (5К сразу + 5К в случае успеха), я-бы взялся за решение этой интересной проблемы (я про gzip, восстановлением заниматься не интересно, обратитесь в ближайшую контору. Это ремесло).

и да, частично убитую MySQL базу довольно просто восстановить штатными методами. Буквально сегодня восстановил (а лениво было бекап разворачивать, да и БД чисто тестовая).

нужно было стразу перемонтировать в режим только для чтения.

ну это само собой разумеется. Почему вы решили, что это не было сделано?

Бд убита не частично, а полностью (кроме этого, mysqld был закрыт, то есть lsof даже бы не спас)

Ладно, буду восстанавливать БД по html-кешу данных. Мир, труд, скоро май.

повторяю: удаленные файлы бд можно восстановить photorec’ом

Он не удалил, он ПЕРЕЗАПИСАЛ. Сам контент файла. Всё, это п..ц.

Это был корневой раздел /

Таким образом я удалил и БД и бекап БД.
кого это теперь волнует

Вы сами ответили на свой вопрос. На ошибках учимся.

Он не удалил, он ПЕРЕЗАПИСАЛ. Сам контент файла. Всё, это п..ц.

перечитай первый пост: он перезаписал файл /home/mysql.tar.gz, а вот /var/lib/mysql/ он просто удолил. Есть за что бороться, особенно если /home/ и /var/ в разных разделах ФС.

ну и опять-таки повторюсь — для ПЕРЕЗАПИСИ требуются специальные меры. Файл нельзя усекать до нуля, как делает это перенаправление >. Т.е. перенаправление не пишет в этот файл, а _сначала_ уменьшает его размер до нуля байт, а уж потом начинает писать туда данные. Где эти данные окажутся — неизвестно.

Оффтопик. Если MySQL устанавливал не ты, есть шанс что твой предшественник настроил бекапы. И ещё есть дохленький шанс что простейший бекап настроили мейнтейнеры mysql из твоего дистрибутива

Источник

Как восстановить файл, перезаписанный другим в Linux?

Я сделал это в командной строке (Ubuntu 12.04, ext4)

Есть ли способ восстановить требуемый_файл? Я вложил так много работы в это. Я обычно делаю резервные копии файлов, но на этот раз я забыл.

3 ответа 3

Некоторые люди предлагают

Там, где ваш файл находился в файловой системе /home, ‘home был смонтирован на /dev //sda2, а военная является ключевой фразой, которая, вероятно, будет уникальной для перезаписанного файла.

recovered_file может быть большим, но может содержать текст из перезаписанного файла. Если перезаписанный файл не был в основном текстовым, этот подход бесполезен.

Важно принять меры для предотвращения дальнейшей записи операционной системой файловой системы, содержащей ваш файл. Хороший способ — это загрузка с live-CD. Если вы можете размонтировать файловую систему или перемонтировать ее только для чтения, это тоже хорошо.

Вам может быть интересно прочитать http://carlo17.home.xs4all.nl/howto/undelete_ext3.html — хотя это относится больше к удаленным файлам, чем к перезаписанным. Однако, если вы ранее редактировали перезаписанный файл, вполне вероятно, что редактор оставил несколько удаленных копий на диске как естественную часть процесса редактирования.

Прекратите использовать / размонтировать соответствующий раздел как можно скорее.

Рассмотрим эту тему, где упоминается extundelete . Кроме того, существуют photorec, прежде всего, и скальпель, которые являются очень мощными резчиками файлов, которые могут помочь восстановить ваш файл (например, путем поиска более старых версий или резервных копий вашего файла, которые еще не были перезаписаны).

Все эти инструментов доступны в вашей Ubuntu метких хранилищ (PhotoRec поставляется с пакетом TestDisk).

Не забудьте сохранить результаты восстановления в другом разделе, чем тот, из которого вы восстанавливаете данные.

Однако, если ваш файл действительно был перезаписан (т. Е. Та же область жесткого диска, на которой был сохранен старый файл, использовалась для хранения нового файла), то нет возможности восстановить файл (Примечание: это действительно только для жесткие диски — ssds хранит (и «перезаписывает») файлы другим способом). Если вам повезет, вы сможете восстановить только те части файла, которые не были перезаписаны, например, если новый файл был меньше старого.

Я не думаю, что требуемый_файл был фактически перезаписан этим действием. Это было скорее «несвязано» с соответствующим инодом, чтобы «исчезнуть». Кроме того, some_arbit_file не изменил своего местоположения — это был скорее «указатель», который ранее указывал на required_file, который сейчас указывает здесь.

Существуют инструменты, которые помогут вам в таких случаях, например, Sleuthkit или Testdisk. Но они требуют некоторой ручной работы — и это не так легко сделать, если вы не знаете, с чего начать. Также есть скрипт ext3undel, который использует эти инструменты и автоматизирует процесс, или отдельная утилита extundelete.

Все, что вы пытаетесь сделать: вообще не трогать поврежденный раздел диска, увеличивает ваши шансы на восстановление потерянного файла. Лучше всего выполнить все действия на другом компьютере, а подключенный диск только для чтения, даже для восстановления, также повышает ваши шансы. Если у вас нет другого компьютера, вы можете попробовать live CD (не устанавливайте поврежденный диск в режиме записи и здесь!). Даже будучи LiveCD, они позволяют устанавливать программное обеспечение в памяти, поэтому вы можете получить и запустить любой из вышеупомянутых инструментов. Имейте под рукой дополнительный носитель (например, карту памяти, SD-карту, внешний диск . ) для хранения восстановленных файлов и запуска процесса — в зависимости от того, что вы выбрали — оттуда.

Источник