Debian: gelöschte Datei wiederherstellen

0

Linux Befehle sind schön kurz, doch manchmal sind sie zu schnell eingegeben als das man noch eine Chance hat den Fehlre zu bemerken. Das musste ich gerade selbst erfahren. rm * -r im backup Verzeichnis hat leider nicht nur die alten Backups gelöscht, sondern auch das backup-script selbst. Man sollte es ja eigentlich auch nicht direkt im Backup Verzeichnis ablegen, ich weiß 😛

Da ich aber nicht angefangen habe diesen Eintrag zu schreiben um anderen mein Leid zu klagen komm ich dann jetzt mal zum eigentlichen Thema.

grep restore

Ich konnte das Backup-Script wiederherstellen. Dazu habe ich als erstes die gesamte Partition nach einer eindeutigen Zeichenfolge des scriptes durchsucht – in meine Fall das Password des FTP-Servers wohin die Sicherung geschrieben wird – um dann die entsprechenden Zeilen vor und nach der Fundstelle wiederherzustellen.

grep -i -a -B10 -A100 'password' /dev/sda1 > restore.txt

foremost

Sollten nun mal Dateien abhanden gekommen sein, die nicht einfache Textdateien waren, so kann man das Tool foremost nutzen. Mit diesem Tool lassen sich jedoch auch nicht alle Dateitypen wiederherstellen. Unterstüzt werden unter anderem Bilder, Videos, Office-Dokumente, Zip- sowie RAR-Archive.

Um zum Beispiel alle Bilder wiederherzustellen sähen die Parameter für foremost wiefolgt aus.

foremost -t jpg -i /media/photos.img

Möchten Sie jedoch alle Dateien wiederherstellen mit denen foremost arbeitet, verwenden Sie die Parameter -t all

foremost -t all -i /media/rec_all.img

dd restore

Eine weitere Möglichkeit ist, die Partition nach bestimmten Begriffen zu durchsuchen und dann eine bestimmte Anzahl an Bytes um die Fundstelle herum wiederherzustellen. Das Ergebniss wird fast nie eine funktionierende Datei sein, jedoch schafft man es evtl. so Officedokumente heranzukommen, die man mit etwas Glück anschließend nur neu formatieren muss.

Also suchen Sie ertsmal nach eine möglichen Fundstelle.

grep -oab Doktorarbeit /media/restore.img

Anschließend können ab der genannten Position (2048) eine in diesem Beispiel 1 MB Datei (bs=1M) wiederherstellen.

dd if=/dev/hdg1 of=/media/part_restore.img bs=1M seek=2048 skip 2048
Teilen.

Über den Autor

Seit der Ausbildung zum Fachinformatiker Systemintegration (2002-2005) bei der DaimlerChrysler AG, beruflich im Bereich der E-Mail Kommunikation (Exchange, Linux) sowie des ActiveDirectory, mit entsprechenden Zertifizierungen (MCSE 2003, MCITP Ent.-Admin 2008, MCSE 2012, LPIC 1-3) tätig. Abgeschlossenes Studium zum Master of Science der IT-Management an der FOM sowie zertifizierter Datenschutzbeauftragter. Aktuell im Projektmanagement tätig.

Antworten