Второе рождение удаленных файлов

Крис Касперски ака мыщъх

Хакер, номер #082, стр. 082-098-5

Обнаружив подходящую inode, перемещаем курсор к первому блоку в списке DIRECT BLOCKS (где он и находится по умолчанию) и жмем gt;. В появившемся меню выбираем пункт "Block mode, viewing block under cursor", (которому, кстати говоря, соответствует горячая клавиша gt;). Редактор перемещает нас на первый блок удаленного файла. Просматривая его содержимое в hex-режиме, пытаемся определить "на глаз", похож ли он на наш файл или нет? Для возврата к просмотру списка inode, можно нажать gt;, а для восстановления файла: gt;, затем еще раз gt; и имя файла-приемника. Все! Файл восстановлен!

В некоторых случаях предпочтительнее восстанавливать файлы по их содержимому. Предположим, удаленный файл содержал строку "hello, world". Нажимаем gt; (search), а затем gt; (Search all block). Если забыть нажать gt;, то редактор будет пропускать блоки, принадлежащие удаленным файлам при поиске, что явно не входит в наши планы.

Теперь нажимаем gt; для перевода lde в block-mode, давим gt; и вводим ASCII-строку для поиска. Редактор, пошуршав некоторое время жестким диском, находит нужный блок. Смотрим, действительно ли это тот блок, который нам нужен, или произошло недоразумение (ложное срабатывание). Если блок действительно наш, жмем gt;, и редактор сообщает номер inode, которой этот блок принадлежит (он отображается внизу экрана, не спутай его с номером последней просмотренной inode, отображаемой вверху). Клавиша gt; переводит нас в режим inode, после чего остается нажать gt; и ввести номер inode, которую мы хотим просмотреть. Если дата удаления выглядит вполне правдоподобно, нажимаем gt;/gt; и сбрасываем файл на диск. Все это работает только с ext2fs, и не пригодно для ext3fs, поскольку, как уже говорилось, она затирает схему размещения файлов на диске, и данные приходится восстанавливать буквально по кусочкам.

[заключение]

Ручное восстановление файлов под ext2fs совсем несложное дело, и этому может научиться любой желающий. Восстановление данных — это искусство, которому учатся годами, и если у тебя есть желание узнать больше, заходи на мой ftp-сервер nezumi.org.ru. Здесь можно найти уйму интересных материалов по восстановлению. А еще у меня запланирована книжка, которая так и называется: "Техника восстановления данных под Windows и UNIX".