Второе рождение удаленных файлов

Крис Касперски ака мыщъх

Хакер, номер #082, стр. 082-098-4

[подготовка к восстановлению]

Если ты только что удалил файл, то лучшим способом восстановления будет RESET. Без шуток! Система сбрасывает дисковые буферы не сразу, а спустя некоторое время, поэтому своевременная перезагрузка или отключение питания часто спасает ситуацию, и после загрузки файл окажется цел и невредим, правда, на самом диске могут образоваться значительные разрушения, так что риск неблагоприятного исхода очень велик, и лучше воспользоваться более традиционными средствами восстановления.

Первым делом размонтируй дисковый раздел или перемонтируй его "только на чтение". Лечение активных разделов обычно заканчивается очень печально. Если восстанавливаемые файлы находятся на системном разделе, в этом случае можно прибегнуть к LiveCD. Лучше всего использовать Knoppix. Он поддерживает большое количество оборудования, не требователен к ресурсам и содержит все необходимые утилиты для восстановления.

Редактируя диск напрямую, его легко испортить. Одно неверное движение руки — и гигабайты данных обращаются в прах. Поэтому при наличии свободного места рекомендуется создать копию раздела и все дальнейшие опыты проводить уже над ней. В мире Windows для этой цели требуется специальные утилиты (например, Norton Ghost), но Linux – совсем другое дело. Здесь все необходимое находится под рукой. Копию раздела проще всего создать командой "cp /dev/sdb1 dump", где sdb1 – имя устройства, а dump — имя файла-дампа. Файл-дамп можно разместить на любом свободном разделе или даже перегнать на соседнюю машину по сети. Все дисковые утилиты (lde, debugsf, fschk) не заметят подвоха и будут работать с ним, как с "родным" разделом. При желании его даже можно смонтировать как файловую систему: "mount dump mount_point –o loop", чтобы убедиться, что восстановление прошло успешно. Команда "cp dump /dev/sdb1" копирует восстановленный дамп обратно в раздел.

[ручное восстановление данных в дисковом редакторе]

Чаще всего линуксоиды редактируют диски при помощи lde (Linux Disk Editor), представляющий собой профессиональный редактор консольного типа, переваривающий ext2fs, minix, xiafs и отчасти FAT. Бесплатен, распространяется в исходных текстах (lde.sf.net) и работает практически в любом *nix.

Как с ним работать? Сначала открываем восстанавливаемый раздел или файл-дамп: "lde /dev/sdb1" или "lde dump" соответственно. Lde самостоятельно определяет тип файловой системы и после нажатия любой клавиши переходит в режим отображения супер-блока. Теперь клавиша gt; переводит нас в режим inode, а gt; в блочный режим. Жмем gt;, и редактор переходит к первой inode, принадлежащей корневому каталогу. Для перехода к следующей inode служит клавиша gt;, а gt;, соответственно, к предыдущей. Таким образом, можно пролистать все inode. Как отличить, какие из них принадлежат удаленным файлам? В этом нам поможет поле LINKS. Если файл удален, оно равно нулю, и тогда "DELETION TIME" содержит время последнего удаления (мы же ведь помним, когда удаляли файл?). Хорошая идея — просканировать таблицу inode и отсортировать файлы по дате удаления. Файлы, удаленные последними, окажутся в конце списка. Как вариант, можно искать дату удаления контекстным поиском.