ext3 gelöschte Daten wiederherstellen

[perls255]

Habe mir ein File (VirtualBox-Imagedatei) auf einer ext3-Partition versehentlich gelöscht (ja, bei rm den falschen Pfad angegeben oder zu früh Enter gedrückt, wie man will...). Was man im Internet so findet, macht sehr wenig Mut auf eine erfolgreiche Wiederherstellung, aber ich habe ein Tool gefunden, das mir zumindest die Datei mit fast originaler Größe (5MB Abweichung bei ~ 5GB, könnte auch an verschiedener Blocksize liegen oder so) und wohlbehaltenem Datei-Datum wiederhergestellt hat - mit einem einzigen, denkbar einfachen Aufruf:

Code: Alles auswählen

ext3grep --restore-file foo.vdi /dev/hda9

Noch kann ich nicht bestätigen, ob das File wirklich exakt dem ursprünglichen entspricht, aber es sieht sehr vielversprechend aus und ich will hier auf jeden Fall den Hinweis auf ext3grep hinterlassen:
http://www.xs4all.nl/~carlo17/howto/undelete_ext3.html und http://code.google.com/p/ext3grep/downloads/list

Das Tool kann wohl noch einiges mehr, aber das hab' ich (bisher) gar nicht gebraucht. Vielleicht kann das jemand im Wiki eintragen und sonst an jeder Stelle, wo es eventuell Hilfesuchende suchen und dann finden können. So richtig unmittelbar taucht es bei G**gle leider nicht auf

Danke & Grüße,
perls255

[Danielx]

Interessant!

Gibt es sogar schon in Lenny:
ext3grep

Gruß,
Daniel

[cirrussc]

Also finde ich auch sehr Interessant.
Danke für die Info und den Selbstversuch

[core]

moin moin,

wenn ihr mögt könnt ihr euch auch mal Testdisk anschauen, habe damit bisher eigentlich nur gute Erfahrungen Sammeln können.

Link kann man hier finden,

www.testdisk.org

* BeFS ( BeOS )
* BSD disklabel ( FreeBSD/OpenBSD/NetBSD )
* CramFS, Compressed File System
* DOS/Windows FAT12, FAT16 and FAT32
* HFS, HFS+ and HFSX, Hierarchical File System
* JFS, IBM's Journaled File System
* Linux ext2 and ext3
* Linux LUKS encrypted partition
* Linux RAID md 0.9/1.0/1.1/1.2
o RAID 1: mirroring
o RAID 4: striped array with parity device
o RAID 5: striped array with distributed parity information
o RAID 6: striped array with distributed dual redundancy information
* Linux Swap (versions 1 and 2)
* LVM and LVM2, Linux Logical Volume Manager
* Mac partition map
* Novell Storage Services NSS
* NTFS ( Windows NT/2000/XP/2003/Vista/2008 )
* ReiserFS 3.5, 3.6 and 4
* Sun Solaris i386 disklabel
* Unix File System UFS and UFS2 (Sun/BSD/...)
* XFS, SGI's Journaled File System

diese Filesysteme werden Unterstützt allerdings findet das ding nur Verlorengegangen Partitionen, aber auf der Herstellerseite gibt es ebenfalls ein Tool was sich PhotoRec nennt ist eigentlich mehr oder weniger zur Imagerettung gedacht, findet aber auch Problemlos normale Dateien, den Link findet man hier ...

Link: http://www.cgsecurity.org/wiki/PhotoRec

[cirrussc]

Testdisk ist ja bekannt, aber ext3grep war mir neu

[Huck Fin]

Und wie installiere ich das ext3grep ??

[Danielx]

Und wie installiere ich das ext3grep ??

Wie üblich das entsprechende Paket installieren:
ext3grep

[Huck Fin]

also mit apt-get install ext3grep bekomm ich
"konnte Paket nicht finden"

ich benutze etch 1/2

[Danielx]

ich benutze etch 1/2

Hast du dir den Link zu dem Paket, welchen ich schon zwei mal in diesem Thread gepostet habe, angesehen?
ext3grep
Das Paket gibt es erst ab Lenny.

Gruß,
Daniel

[Huck Fin]

Hi,
den Link hab ich mir angeschaut.
Hat mir aber nix gesagt.
Ich bin noch nicht so ganz fit in Linux.
Hab ich keine Chance, das anders zu installieren ?
So über Eintrag in sources.list ?

[Danielx]

Hab ich keine Chance, das anders zu installieren ?

Sollte nicht schwer sein, das selbst zu kompilieren.

So über Eintrag in sources.list ?

Vielleicht bietet das irgendwer an, keine Ahnung...

Gruß,
Daniel

[smurffit]

Wenn Du Glück hast, kannst Du das Paket herunterladen von packages.debian.org und dann mit

Code: Alles auswählen

dpkg -i <Paketname>

installieren. Wenn Du Pech hast fehlen Dir Abhängigkeiten.

[xcomm]

Hi perls255,

meinen Dank für Deinen Hinweis! Selbst nach all den Jahren finden sich Online scheinbar nur Hinweise auf recover, mc und debugfs lsdel welche alle scheinbar nur mit ext2 tun.

Code: Alles auswählen

vi /boot/foo
 bar
rm /boot/foo
mount -o remount,ro /dev/sda1
umount /dev/sda1

ext3

Code: Alles auswählen

export n=aptitude; $n update; $n install ext3grep

Ext3grep läuft beim 1. Aufruf über die gesamte Platte und legt im `pwd` Folgendes an:

Code: Alles auswählen

 sda1.ext3grep.stage1
 sda1.ext3grep.stage2
./RESTORED_FILES/

Man sollte es immer im selben `pwr` starten, sonst macht ext3grep erneut einen langwirigen Vollscan der gesamten Platte.


1) Wenn man die vermissten Dateien beim Namen kennt:

Code: Alles auswählen

ext3grep --restore-file boot/vmlinuz /dev/sda1

ls -latrF ./RESTORED_FILES/boot/vmlinuz

2) Man kennt nicht alle gelöschten Dateinamen exakt und muss man sie suchen.

Code: Alles auswählen

ext3grep --dump-names /dev/sda1 | tee -a dateinamen
grep foo dateinamen

ext2

Code: Alles auswählen

# Um die Tools im folgenden zu testen benötigt Ihr eine ext2 Partition, die ich nicht hatte. ;-) 
# tune2fs -O ^has_journal /dev/sda1
# fsck -n /dev/sda1
# mount -t ext2 /dev/sda1 /boot
# vi /boot/foo
# bar
# rm /boot/foo
# umount /dev/sda1

1)

Code: Alles auswählen

debugfs /dev/sda1
debugfs 1.41.3 (12-Oct-2008)
debugfs:  lsdel
Inode  Owner  Mode    Size      Blocks   Time deleted
    12      0 100600   4096      4/     4 Tue Feb 17 13:52:37 2009
    13      0 100644      4      1/     1 Tue Feb 17 13:52:41 2009
2 deleted inodes found.
(END) q
debugfs:  dump <12> /tmp/foo
debugfs:  lsdel
debugfs:  dump <13> /tmp/foo1
debugfs:  quit
ls -latrF /tmp/foo*
-rw-r--r-- 1 root root 4096 17. Feb 14:01 /tmp/foo
-rw-r--r-- 1 root root    4 17. Feb 14:02 /tmp/foo1

http://www.martin-bock.de/pc/pc-0207.html

2)
Recover ist ein Script, welches auf debugfs aufsetzt und die Bedienung vereinfachen soll.

Code: Alles auswählen

recover /dev/sda1
 ...Fragen beantworten
recover /dev/sda1
Recover v1.3b by Tom Pycke <Tom.Pycke@advalvas.be>

Getting inodes (this can take some time)...
debugfs 1.41.3 (12-Oct-2008)

In what year did you delete the file? (eg. 1999): 2009
In what month did you delete the file? (Jan, Feb, Mar, Apr, May, Jun, Jul, Aug, Sep, Oct, Nov, Dec or -1=unknown): Feb
On which day of the week did you delete the file? (Mon, Tue, Wed, Thu, Fri, Sat, Sun or -1=unknown): Tue
What was the first possible day of the month on which you deleted the file? (1 - 31): 17
What was the last possible day of the month on which you deleted the file? (1 - 31): 18
What was the soonest possible hour(0-23) when you deleted the file? 13
What was the latest possible hour(0-23) when you deleted the file? 14
What was the soonest possible minute(0-59) when you deleted the file? 0
What was the latest possible minute(0-59) when you deleted the file? 59
What was the minimum possibly file size in bytes? (0-2147483640): 0
What was the maximum possibly file size in bytes? (0-2147483640): 2147483640

        Name : User ID	|        Name : User ID	|        Name : User ID	|
----------------------	|----------------------	|----------------------	|
        root : 0	|      daemon : 1	|         bin : 2	|
         sys : 3	|        sync : 4	|       games : 5	|
         man : 6	|          lp : 7	|        mail : 8	|
        news : 9	|        uucp : 10	|       proxy : 13	|
    www-data : 33	|      backup : 34	|        list : 38	|
         irc : 39	|       gnats : 41	|      nobody : 65534	|
 Debian-exim : 102	|      rasche : 1000	|      identd : 100	|
  messagebus : 101	|        sshd : 103	|         gdm : 104	|
       saned : 110	|    gkrellmd : 106	|         ntp : 112	|
     tomcat4 : 107	|    arpwatch : 108	|       statd : 109	|
   haldaemon : 111	|       mysql : 105	|       avahi : 113	|
     bitlbee : 114	|      cupsys : 115	|     proftpd : 116	|
    logcheck : 118	|       hplip : 119	|    chipcard : 120	|
 beagleindex : 121	|     libuuid : 122	|    zeroinst : 117	|
    festival : 123	|    vde2-net : 124	|Debian-console-log : 125	|
     dnsmasq : 126	|
What was the user ID of the deleted the file? (-1 if you have no idea): 0
=> 12 4096 FEB TUE 17 13:52:37 2009
=> 13 4 FEB TUE 17 13:52:41 2009
2 inodes found. Where shall i dump them? (directory):  /tmp

Please type some text the deleted file should have included (type: * if you don't know it): *

Please wait...
Dumping inode 12 to /tmp
Dumping inode 13 to /tmp

Do you want to refilter the inodes? [yn] n

ls latrF /tmp/dump*
-rw-r--r-- 1 root root 4096 17. Feb 13:57 /tmp/dump12
-rw-r--r-- 1 root root    4 17. Feb 13:57 /tmp/dump13

3)
Das folgende klappte bei mir leider nicht, soll aber gehen.

Code: Alles auswählen

mc
 >undel:/dev/sda1

Code: Alles auswählen

#( Und nach dem Test der ext2 undelete-Möglichkeiten würdet Ihr das ext3 Journal restoren.
# tune2fs -j /dev/sda1
# mount /dev/sda1 )

Regards, xcomm

[Danielx]

Inzwischen gibt es übrigens auch eine Weiterentwicklung:
extundelete

Das kommt z.B. auch mit EXT4 zurecht.

Gruß,
Daniel