Kustutatud failide taastamine Ubuntus

Scalpel

Sissejuhatus

Mõnikord võib juhtuda, et olete ära kustutanud kettalt vajalikud failid ning taipate kadu alles siis, kui on juba liiga hilja. Paanitsemiseks pole põhjust, kuna faile on võimalik alati taastada. Kuidas on failide taastamine võimalik, kuigi olete kustutanud vajamineva faili ära? Kui te kustutate faili ära, siis see tegelikkuses ei kao kuhugile, vaid see koht märgitakse ära kui kasutamiseks vaba maa. Isegi siis on faili taastamine võimalik, kui olete vahepeal operatsioonisüsteemi ära vahetanud. Kuid tähtis on teada seda, et mida rohkem on kettale kirjutatud pärast faili kustutamist, seda väiksem on tõenäosus seda päästa.

Taastada on võimalik erinevates formaatides faile ning isegi terveid partitsioone.

Vajalik on teada mis kettalt on soov taastada faile, siis seda saab teha käsuga

df -h

Näidetes taastan faile kettalt /dev/sdb1

Photorec

Photorec on andmete taastaja mis taastab faile nagu videod, dokumendid ning pildid. Photorec ignoreerib failisüsteemi ning asub kohe faile taastama. See töötab isegi siis, kui failisüsteem on vigane või see on ümber vormindatud. Photorec on Testdiski kaasprogramm. Photorec tuvastab paljusid failiformaate, mida on üle 390. Arvatavasti on photorec parim programm mida annab failide taastamiseks kasutada.

Kasutamine

Installeerimine

sudo apt-get install testdisk

Käivitamine

sudo photorec

Valime ketta mida soovime taastada

Valime partitsiooni tabeli tüübi

Valime terve ketta või partitsiooni

Valime failisüsteemi

Valime asukoha. Kui asukoht on määratud vajutage klaviatuuril "Y" ning peale seda hakkabki taastamine pihta.

Taastamine on valmis. Programmist välja saamiseks vajutage Quit

Foremost

Foremost on konsoolipõhine programm, mis võimaldab taastada faile baseerudes nende päisele, jalusele ning sisemistele andmestruktuuridele. Algselt oli see loodud Ameerika Ühendriikide õhujõudude tarbeks. Foremost suudab taastada faile mitmetelt failisüsteemidelt nagu fat, ext3 ja NTFS. Seda saab käivitada ka live cd -lt.

foremost [-v|-V|-h|-T|-Q|-q|-a|-w-d] [-t <type>] [-s <blocks>] [-k <size>]

[-b <size>] [-c <file>] [-o <dir>] [-i <file]

Tähtsamad käsud, kuid alati võib kasutada ka foremost -h ning man foremost täpsema info saamiseks.

-h Abi

-V Autoriõiguse informatsioon

-v Käivitab verbose mode-i. Kuvab kõik teabe ekraanile.

-q Käivitab quick mode-i. Ainult sektori algusest otsitakse talle sobivaid päiseid. See kiirendab programmi tööd, kuid võib mõned varjatud failid vahele jätta. Näiteks: Quick mode ei leia JPEG faile, mis on peidetud Microsoft Wordi dokumentidesse.

Samuti quick mode ei ole soovitatav kasutada NTFS failisüsteemi uurimiseks.

Mõnikord võib teatud päistega kaasneda ebameeldivusi. Kui pärast taastamist selgub, et ühest MPEG failist on taastamise käigus saanud mitukümmend poolikut faili, siis quick mode on probleemi lahendajaks.

-i Sisestusfail

-o Kataloog, kuhu kõik taastatud failid kirjutatakse. Alates versioonist 0.64, foremost nõuab, et see kaust oleks tühi või seda ei eksisteeri. Kui on vajadust, siis foremost tekitab selle kausta ise.

-t Kindel failitüüp (jpg, gif, png, bmp, avi, exe, mpg, wav, riff, wmv, mov, pdf, ole, doc, zip, rar, htm, cpp, all [default, kui -t pole märgitud])

Kasutamine

Installeerimine

sudo apt-get install foremost

Otsib kõiki faile ning loob kausta /recovery

sudo foremost -i /dev/sdb1 -o /recovery

Otsib gif ja pdf faile

sudo foremost -t gif,pdf -i /dev/sdb1

Otsib office dokumente ja jpeg faile verbose mode-s

sudo foremost -v -t ole,jpeg -i /dev/sdb1

Foremost ei ole parim tööriist failide taastamiseks, kuna see ei toeta paljusid failitüüpe. Aga fotode ja dokumentide taastamiseks sobib see väga hästi.

Scalpel

Scalpel on kiire failide taastaja, mida saab käivitada erinevate operatsioonisüsteemide pealt nagu Linux, Windows, MacOS. Scalpel toetab failisüsteeme nagu FATx, NTFS, ext2/3 ning HFS+.

Kasutamine

Installeerimine

sudo apt-get install scalpel

Algseadetes on failitüübid /etc/scalpel/scalpel.conf failis välja kommenteeritud. Et täpsustada milliseid failitüüpe taastada on soov, siis tuleb natukene muuta seda faili.

Kõikidel failitüüpidel on ees selline märge: # . Näiteks soovime taastada GIF ning PDF faile, siis tuleb märk (#) vastavate ridade eest ära võtta ning seejärel /etc/scalpel/scalpel.conf salvestada.

Konfiguratsiooni muutmine

sudo nano /etc/scalpel/scalpel.conf

Taastame failid /recovery kausta

sudo scalpel /dev/sdb1 -o /recovery

Kasutatud kirjandus

https://help.ubuntu.com/community/DataRecovery#Foremost

http://tombuntu.com/index.php/2008/04/09/recover-deleted-files-with-foremost/

http://manpages.ubuntu.com/manpages/dapper/man1/foremost.1.html

http://www.ubuntugeek.com/recover-deleted-files-with-foremostscalpel-in-ubuntu.html

http://www.digitalforensicssolutions.com/Scalpel/

http://www.switchroot.com/how-to-recover-deleted-files-with-scalpel-ubuntu

http://www.cgsecurity.org/wiki/PhotoRec

Autor

Andres Pihlak A22