Linux Befehle sind schön kurz, doch manchmal sind sie zu schnell eingegeben als das man noch eine Chance hat den Fehlre zu bemerken. Das musste ich gerade selbst erfahren. rm * -r im backup Verzeichnis hat leider nicht nur die alten Backups gelöscht, sondern auch das backup-script selbst. Man sollte es ja eigentlich auch nicht direkt im Backup Verzeichnis ablegen, ich weiß 😛
Da ich aber nicht angefangen habe diesen Eintrag zu schreiben um anderen mein Leid zu klagen komm ich dann jetzt mal zum eigentlichen Thema.
grep restore
Ich konnte das Backup-Script wiederherstellen. Dazu habe ich als erstes die gesamte Partition nach einer eindeutigen Zeichenfolge des scriptes durchsucht – in meine Fall das Password des FTP-Servers wohin die Sicherung geschrieben wird – um dann die entsprechenden Zeilen vor und nach der Fundstelle wiederherzustellen.
grep -i -a -B10 -A100 'password' /dev/sda1 > restore.txt
foremost
Sollten nun mal Dateien abhanden gekommen sein, die nicht einfache Textdateien waren, so kann man das Tool foremost nutzen. Mit diesem Tool lassen sich jedoch auch nicht alle Dateitypen wiederherstellen. Unterstüzt werden unter anderem Bilder, Videos, Office-Dokumente, Zip- sowie RAR-Archive.
Um zum Beispiel alle Bilder wiederherzustellen sähen die Parameter für foremost wiefolgt aus.
foremost -t jpg -i /media/photos.img
Möchten Sie jedoch alle Dateien wiederherstellen mit denen foremost arbeitet, verwenden Sie die Parameter -t all
foremost -t all -i /media/rec_all.img
dd restore
Eine weitere Möglichkeit ist, die Partition nach bestimmten Begriffen zu durchsuchen und dann eine bestimmte Anzahl an Bytes um die Fundstelle herum wiederherzustellen. Das Ergebniss wird fast nie eine funktionierende Datei sein, jedoch schafft man es evtl. so Officedokumente heranzukommen, die man mit etwas Glück anschließend nur neu formatieren muss.
Also suchen Sie ertsmal nach eine möglichen Fundstelle.
grep -oab Doktorarbeit /media/restore.img
Anschließend können ab der genannten Position (2048) eine in diesem Beispiel 1 MB Datei (bs=1M) wiederherstellen.
dd if=/dev/hdg1 of=/media/part_restore.img bs=1M seek=2048 skip 2048