Как восстановить данные в Ubuntu Linux

Часто возникает необходимость восстановить удаленный файл в Ubuntu/Linux. Многие «эксперты» говорят о том, что это невозможно для ext2/ext3. Не верьте им! Это отлично умеет делать программа Sleuth Kit.

Программа работает с сырыми (raw) данными; поддерживает файловые системы NTFS, FAT, UFS 1, UFS 2, EXT2, EXT3, ISO 9660; работает под операционными системами Linux, Mac OS X, Windows, CYGWIN, OpenBSD, FreeBSD, Solaris.

Sleuthkit и Autopsy: криминалистический анализ файловых систем (восстановление удаленных файлов) с помощью

Наверное, все видели в голливудских фильмах, как преступник стирает файлы, и вообще разбивает компьютер, но приходят следователи из ФБР и быстро восстанавливают улики? Ну так вот, это называется криминалистическим анализом файловой системы. Это реальная работа, которой занимаются компьютерные кудесники из спецслужб каждый день. А теперь подумайте, если можно удалить все файлы с компьютера, грохнуть сам компьютер, а потом придут специалисты и все играючи восстановят, стоит ли вам огорчаться в тех ситуациях, когда вы случайно удалили файл? Нет! Его восстановить еще проще! Правда, придется воспользоваться инструментами, которыми пользуются IT-профессионалы из спецслужб. К счастью, мы знаем названия этих программ и этот волшебный софт есть в свободном доступе. Знакомьтесь — Sleuthkit и Autopsy.

Остались вопросы? Подробности об Sleuth Kit на русском можно найти здесь. С Autopsy можно познакомиться, запустив специальный Linux-дистрибутив для криминалистов. Он называется DEFT и уже содержит в себе установленный и настроенный пакет Autopsy.

Почему удаленные данные возможно восстановить

Когда удаляется файл с диска, на самом деле физического уничтожения данных не происходит. В таблице размещения файлов просто делается отметка, что файл стоит считать удаленным. Программа восстановления может удалить эту отметку и файл снова станет доступным для пользователя.

Структура файловой системы Ext.

Почему удаленные файлы не всего удается восстановить

После того, как файл был помечен как удаленный, операционная система не будет больше держать под контролем место на диске, занимаемое файлом. Это значит, что любой новый файл с высокой вероятностью будет записан поверх данных старого файла и тогда восстановление будет уже невозможно. Отсюда главное правило восстановления: если вы случайно что-то удалили с диска, немедленно отключите этот диск. Если диск является системным, выключите компьютер. Для восстановления данных потребуется загрузиться с другого диска. Удобно использовать для этих целей Live CD с Линуксом.

Программы для восстановления данных

Одной из самых удобных программ для восстановления данных является программа Scalpel (Скальпель). Удобна она тем, что позволяет проводить восстановление автоматически, без непосредственного вмешательства пользователя и тем, что не зависит от используемой файловой системы.

Подробности о программе восстановления удаленных файлов Scalpel можно узнать тут и тут.

Если данные потеряны в Linux, то есть одна простая программа ext3grep, позволяющая даже новичку восстановить удаленное. Единственный ее минус заключается в поддержке исключительно файловых систем семейства Ext.

С восстановлением файлов под Mac OS X все немного сложнее. Узнать основы восстановления данных в Mac OS можно здесь.

Как восстановить файлы на SD-карте

Точно так же, как и файлы, удаленные с диска. Нет абсолютно никакой разницы, ведь на жестких дисках и SD-картах используются одни и те же файловые системы (FAT и NTFS). Просто вытащите SD-карту из телефона или фотоаппарата и через кард-ридер подключите к персональному компьютеру. Теперь вы можете восстановить свои файлы с помощью программ Sleuth Kit, Autopsy или Scalpel (описанных выше).

Как восстановить файлы на телефоне

Если данные были потеряны на телефоне, то нужно извлечь карту памяти и запустить процедуру восстановления файлов с карты. Если файлы были стерты из внутренней памяти телефона, тогда нужно подключить телефон USB-кабелем к ПК и воспользоваться программами восстановления данных.