He visto varias publicaciones sobre la recuperación de archivos eliminados, pero esta situación es diferente. Mi esposa tenía un archivo llamado Journal.odt en el que guardaba mucha información personal importante, como recuerdos especiales sobre nuestros hijos. El otro día, cuando intentó abrirlo en OpenOffice, se quejó del formato. Tuve su golpe cancelar y volver. Cuando catel archivo está completamente vacío. lsdice que el archivo tiene 0 bytes.
Si ella hubiera seleccionado accidentalmente todo el texto en el archivo, presionó la tecla de retroceso y lo guardó, todavía habría la metainformación de OpenOffice en el archivo.
Inmediatamente apagué su computadora portátil para evitar hacer más cambios en el disco hasta que se me ocurra algo que hacer.
He hecho algunas cosas complicadas en el pasado, como usar ddpara recuperar texto sin formato del disco, pero no tengo idea de qué hacer aquí. Como los archivos impares no son texto plano, no puedo canalizar todo el disco a través de grep.
Cualquier sugerencia sería muy apreciada.
Además, si alguien tiene alguna idea de lo que podría haber salido mal, me encantaría escucharlo.
Gracias
fuente
df -hCtrl+Zno habría hecho nada, ya que el archivo no se guardó como lo hace OO. @ Jacobwalker0814 Los archivos ODT son archivos zip, por lo que las herramientas de recuperación como testdisk tienen la posibilidad de encontrarlos; pero no hay garantía, e incluso si los datos aún están allí, es posible que tenga que pasar por muchos otros archivos zip. Y para el futuro, ¡retrocede!Respuestas:
Si está utilizando el sistema de archivos ext3, intente seguir el COMO de Carlo Wood
En pocas palabras,
De la fuente:
"El capítulo Ejemplo de recuperación manual
En el siguiente ejemplo recuperaremos manualmente un pequeño archivo. Solo se proporciona una salida parcial para ahorrar espacio y hacer que el ejemplo sea más legible.
Usando ext3grep $ IMAGE --ls --inode encontramos el nombre del archivo que queremos recuperar:
Obviamente, el inodo 309631 se borra y no tenemos números de bloque para este archivo:
Por lo tanto, intentaremos buscar una copia anterior en el diario. Primero, encontramos el bloque del sistema de archivos que contiene este inodo:
$ ext3grep $ IMAGEN --inode-to-block 309631 | grep reside Inode 309631 reside en el bloque 622598 en el desplazamiento 0xf00.
Luego, encontramos todos los descriptores de revistas que hacen referencia al bloque 622598:
Esto significa que la transacción con el número de secuencia 4381294 tiene una copia del bloque 622598 en el bloque 26582, y así sucesivamente. El número de secuencia más grande, en la parte inferior, debe ser los últimos datos escritos en el disco y, por lo tanto, el bloque 8931 debe ser el mismo que el bloque actual 622598. Para encontrar la última copia no eliminada, uno debe comenzar en la parte inferior y trabajar hacia arriba.
Si intenta imprimir dicho bloque, ext3grep reconoce que es un bloque de una tabla de inodo e imprimirá el contenido de los 32 inodos en él. Sin embargo, solo deseamos ver el inodo 309631; entonces usamos un grep inteligente:
Bloques directos:
De hecho, esto es lo mismo que vimos en el bloque 622598. A continuación, observamos números de secuencia más pequeños hasta que encontramos uno con un tiempo de eliminación 0. El primero que encontramos (de abajo hacia arriba) es el bloque 6073:
Lo anterior está automatizado y se puede hacer mucho más rápido con la opción de línea de comando --show-journal-inodes. Esta opción encontrará el bloque al que pertenece el inodo, luego buscará todas las copias de ese bloque en el diario, y posteriormente imprimirá solo el inodo solicitado de cada uno de estos bloques (cada uno de los cuales contiene 32 inodos, como usted sabe), eliminando duplicados :
El archivo es realmente pequeño: solo un bloque. Copiamos este bloque con dd como se muestra antes:
y luego edite el archivo para eliminar los ceros finales, o copie los primeros 40 bytes (el tamaño dado del archivo):
¡Recuperado!"
fuente
Pruebe testdisk y photorec , pero la forma en que entiendo su escritura es probablemente la forma difícil de aprender el valor de las copias de seguridad regulares. También es posible que desee iniciar desde el CD para evitar que el disco duro se cambie aún más. Personalmente, me gusta System Rescue Disk para esto, pero se basa principalmente en la línea de comandos.
fuente
Utilice Caine, una distribución especial de Linux para análisis forense digital. Son muchas herramientas para la recuperación de archivos y discos duros.
fuente