Data v p*** muzika v p*** všecko v pr****

20.2.2010 22:09 | Přečteno: 2220× | linux | poslední úprava: 20.2.2010 22:11

Tak dnes vytvářím další zápisek na blog, protože jsem zas něco posral a nevím jak s té prdele vylézt. Dnes teda o tom jak sem smazal data na disku a nevím jak je obnovit

Zkratkovitě mám problém: smazal sem data, oddíl je v fs.ext4 a má 1TB takže nějaké recovery_images nebo co mě to furt všechny články cpou pod nos nějak nepřichází v úvahu. Data by neměla být nijak přepsaná.
Potřeboval bych nástroj, který ukáže co bylo smazáno já vyberu potřebnou složku a dám obnovit. Velice easy :)

Zkusil jsem PhotoRec, ten sice umí obnovit data, ale dělá to tak, že všechno kopíruje do nějaké mnou určené složky a já fakt nemám žádný disk kde by se vlezlo 400GB dat (jednak nechci obnovit všechno, taky předpokládám, že zkusí obnovit i data smazaná před nehodou a taky by to trvalo celý den). Chvilku jsem ho nechal jet, ale s výstupu moc nadšen nejsem. Obnovil Star Trek :) ze 700MB filmu je 180MB pixelizovaného filmu a z avi je mpg.

Jednoduše řečeno hledám dál a nenacházím. Nějaké tipy???

A divné je jak k tomu došlo: zkoušel jsem spustit nějakou gamesku pod wine (ani nevím co), samozřejmě nešla ,ale nějak divně pracoval disk, říkám si "vždyť na něm nic nedělám" a když sem si chtěl pustit muziky dostal jsem šok a zhroutil se.

Kdysi ještě na widlách jsem měl nástroj, myslím ještě pro FAT, kdy mě ukázal co je smazané a šlo to easy obnovit něco takového bych potřeboval, cli gui to je fuk.

Hvězdičky v názvu zápisku jsou jenom proto aby tam bylo míň pravopisných chyb

       

Komentáře

[pht]

nástroj, myslím ještě pro FAT, kdy mě ukázal co je smazané a šlo to easy obnovit

To je spíš výjimka mezi filesystemy, že na FAT se reálně smaže jen první písmeno názvu souboru.

Na většině dnešních souborových systémů jsou data smazána, sice ne fyzicky z disku, ale informace o nich ano. Pokud je chcete vydolovat, sáhněte po nějakém forenzním nástroji (např. foremost). S tím, že nemáte extra kapacitu, se ani neozývejte - první co byste měl udělat je kompletní kopie pomocí dd a až potom se v tom začít hrabat, jinak máte na obnovu přesně jeden pokus. A samozřejmě data kopírovat jinam, přece si nechcete na tom disku přepsat "volné" místo.

[Václav HFechs Švirga]

Nj, foremost... Též sem to kdysi zkoušel, na nějaké menší soubory dobré, ale pokud je tam nějaká fragmentace, tak nemá šanci.

[gtz]

pokud tam jsou fragmentace tak ani foremost ani photorec nic neudělají. Každopádně zálohovat a udělat kopii někam jinam. ext4 jsem taky zkoušel foremostem, ale tak 60% se podařilo.

[Ondrej 'SanTiago' Zajicek]

To je spíš výjimka mezi filesystemy, že na FAT se reálně smaže jen první písmeno názvu souboru.

Krome prvniho pismene v nazvu souboru se take smazaly zaznamy v tabulce FAT (podle ktere se ten filesystem jmenuje). Soubor sel obnovit bez potizi pouze pokud nebyl fragmentovan.

[gtz]

co se celkem dá je toto : extundelete

[zajca]

tak to je přesně ten nástoj, který potřebuju.

extundelete --after 1266678000 --restore-directory muzika /dev/sdg1

a už to frčí. sem zvědavý co vyleze kupodivu se tak často neobjevuje hláška: Failed to restore inode xxxxxx :) sem zvědav na výsledek :)

[gtz]

To znamená, že tam asi již nic není. Z těch inodů se data dají získat pouze dolováním tedy celkem hodně špatné. No pokud nebyla záloha dat tak jsem zvědav na výsledek.

Opsat inody, popř. si uložit jejich seznam někam do souboru.

[zajca]

takže teď to dojelo:

Loading group metadata ... 7453 groups loaded.
Loading journal descriptors ... 28723 descriptors loaded.
Writing output to directory RECOVERED_FILES/             
Searching for recoverable inodes in directory muzika ... 
42471 recoverable inodes found.
..
3920 recoverable inodes still lost.

pokud dobře počítám tak něco přes 9% inodes je v háji. a pokud dobře chápu tak to nutně neznamená 9% dat.

[gtz]

Skoro jsou v pr..., každý "inode" by se musel uložit do souboru někam jinam a následně to celé zpracovat.

[pht]

No a kolik dat se Vám povedlo obnovit?

[zajca]

no to je těžko určit, protože je to velké množství souborů a nevím kolik jich bylo původně. Ale složka má 44GB a 35000 souborů. Nejsem si jist kolik to bylo předtím, ale řekl bych něco kolem 80-100GB takže asi polovinu.

[gtz]

Můžeš si vzpomenout co jsi pouštěl ?? Zajímalo by měn to kdo to dělá ? že by zase Sony ? :) dík

[zajca]

Tuším to udělalo když jsem zkoušel spustit instalátor S.T.A.L.K.E.R. Shadow of Chernobyl,ale nejsem si úplně jistý.

[gtz]

Díky

[Zdeněk Štěpánek]

FAT je primitivní filesystém a dobře to uměl obnovovat třeba Dos Navigator. Undeletovací nástroj musí být napsán přesně pro konkrétní filesystém.

Jinak nechci rejpat, ale pokud je pro tebe 3000Kč za druhý 1TB disk moc peněz, asi ty data až tak důležitá nejsou.

Zdeněk

[Zdeněk Štěpánek]

Jak psal kolega uplně nahoře. Ideálně druhý disk pro vytvoření pracovní kopie a třetí disk na ukládání obnovených dat.

[Dalibor Smolík]

Jo, tak tohle mi taky došlo .. mám disky dva a ne od stejného výrobce, mému známému takový disk zhavaroval a nechal si data vydolovat odbornou firmou. Stálo ho to přes 12 tisíc korun ..

[otula]

a já fakt nemám žádný disk kde by se vlezlo 400GB dat

Nechci být uštěpačný, ale pokud chceš ta data obnovovat, měl by sis nějaký disk pro obnovu pořídit. A klidně ho pěkně naddimenzuj a poté, co si dáš data trochu dokupy, ho začni používat na zálohy. Ono se člověku může zdát utrácení peněz za záložní disk jako vyhazování peněz, ale až jednou o data přijde, dívá se na věc úplně jinak

[zajca]

Abych tak přibližně po odpovídal. Recovery_image no 400Gb to není 400GB byl reálný objem smazaných dat a oddíl má 1TB. takže to je 1TB disk recovery_image 1TB disk na obnovu a ještě tu mám ten původní disk. 3TB uz docela dost.
Vzhledem k tomu že nejde o poškození partition jenom o obnovu smazaných dat v určitém čase je extundelete ideální, protože mu můžu zadat čas od kdy obnovovat a co. :)
Partition sem odpojil hned jak jsem zjistil,že jsou data pryč, takže nemuselo dojít k nějakému přepsání.
A důležitost dat je spíš k nasrání než, že bych obnovoval nějaká životně důležitá data. Na tom disku jsou jsou sice nějaké zálohy dokumentů apd... věcí, ale když udělám teď novou zálohu dokumentů tak pravděpodobně o nic zásadního nepřijdu. A když jo tak to nebude konec světa

[gtz]

Ideální je na disku o takové velikosti mít 2-3 partice tak, aby nemohlo k tomuto dojít. Když něco smažu :) tak nesmažu vše. Důležitá data se dají aspoň někam uložit, popř. rsyncnout někam jinam.

Ten extundelete jak jsem Vám posílal odkaz je nová věc, snad časem bude lepší verze. Ale i tak je to asi skoro jedna použitelná aplikace na toto.

[kotyz]

ty data sou pryc, rozluc se s nima a zapomen na ne. stejne to nikdy uplne neobnovis do puvodniho stavu, mozna z toho ani nic pouzitelnyho nevytahnes. dulezity data mas snad zalohovany a ten zbytek nema zadnou cenu, filmy a muziku si muzes stahnout kdykoliv znova, system a programy nainstalujes kdykoliv znova, ale vlastni tvorbu tezko. ale ty asi nemas 400 GB a na nakym dvd nebo flashdiksu je nejspis jedna nebo vic kopii. tak co to tu vlastne resime?

[gtz]

No jsou firmy, které udělají rekonstrukci skoro na 100% .. ale nechají si za to celkem hodně zaplatit. Pro mého zákazníka mi ta firma cenila nabídku na recovery tuším 3*120 GB a vyšlo to skoro ke 60 000,-. No celkem mazec.

[otasomil]

60 k to je teda paleta. To je motivace k tomu, aby clovek byl pripraven na pad disku ci dat preventivne kdykoliv tak jako ja.

[gtz]

No jak se to vezme, to byla účetní firma kde bylo před uzávěrkou a data byly prostě někde. Žádná záloha nebyla potřeba jak mi tvrdil majitel firmy a najednou bác a server byl down. No obnova do týdne cca 145 000.- , obnova do cca 3-4 týdnů cca 65000,-.

Klasické recovery z disku je o něco levnější toto byla RAID-5, ale i tak je to palba. Oni to dělají na HW mašině,která to dělá a počítá sama. Celkem úspěšně obnoví skoro cokoliv včetně původních adresářů (za to se taky připlácelo )

[linuxak]

Temer 100% ?? Dobre for! Objizdel jsem par takovejch firem s nekolika TB diskovym polem v kufru. Nekde se lekli "neznameho" filesystemu XFS, v jinych to aspon zkusili, ale nic z toho nedostali. Nakonec jsem z toho vytahl nejvic ja PhotoRecem.

[gtz]

XFS ? aha jasné s XFS jsou problémy to znám, právě na něm jsme toho hodně dělali..... co TDPontrack ?

[kotyz]

to by museli bejt sakra dulezity data aby to za to stalo (takovy data na disku zadny nemam) ...

[otasomil]

Presne tak.

U filmu ci hudby semtam nejaka chyba nevadi, u programu vsak ano. Navic filmy, hudba, sw se da ziskat znovu takze vem je cert.

A vlastni data ma mit clovek na vice mistech. Paradoxne vetsinou jich je na objem nejmin.

1 TB externi HDD stoji cca 2 - 2,5 k

Z toho plyne ponauceni zalohovat dulezita data.

[mdstat]

Slyšel jsem o někom, kdo měl RAID0 plnej vzácnýho péčka a chcípl mu jeden disk. Ale protože měl "půlku" dat na druhým disku, tak z toho dostal většinu videa. Mplayeru to totiž zas tolik nevadí

[kotyz]

vzacny pecko a cim bylo zvlastni? pecka sou na netu miliardy GB (az se nekdy zda ze tam vubec neni nic jinyho), takze zadna skoda, za jedno smazany si jich stahnes deset novejch jo kdyby to bylo naky domaci, ktery jeste nevisi nikde na netu, to by zcela menilo situaci ...

[Dalibor Smolík]

Nevím, ale na vzácné péčko bych použil raději RAID1

[kotyz]

tak, vlastni tvorby mam jen par giga, ale s novym fotakem se velikost souboru s fotkama temer zpetinasobila, takze 1 DVD jima zaplnim za rok misto za ctyri. ale to porad sou objemy co se daji zvladnout. kdyz prijdu o naky filmy nebo muziku tak si toho mozna ani nevsimnu (kdyz to nebude vsechno), protoze ani nevim co tam vlastne vsechno mam ...

[retroslava]

Mne už párkrát zachránil TestDisk.

[gtz]

testdisk a photorec celkem dobré, ale jedou od prvního sektoru do posledního. Ext4 a novější smůla.

[multi]

nove/nezname programy pod wine je dobre poustet pod jinym testovacim uzivatel

[Pavel Stárek]

Spíš by bylo dobré zjistit, proč Wine tomu instalátoru nějak "dovolilo" poškodit ten filesystém. Přeci jen je to jakýsi "wraper" mezi aplikacemi z Windows a jiným operačním systémem, takže takovéhle věci by se neměli stávat.

[tsLnox]

Já nedávno zmenšoval ext3 partition a najednou to spadlo a partišna sice byla, ale bez dat. Tak jsem zkoušel všechno možný a nakonec to dokázal bez větších problémů undeletnout debugfs. Nevím jestli na tenhle případe a na ext4 může taky fungovat, ale zkusil bych to :)

K tomu koupení disku se taky přimlouvám, pokud na něj máš peníze, tak je to nejlepší nápad. Já měl ještě kam obnovovat, na novej jsem prachy neměl... Rozhodně nezapomeň ten disk natvrdo nastavit jako nepřipojovat anebo připojovat read only, ať ti ho nějakej program nezačne přepisovat :)

[Grunt]

Já nedávno zmenšoval ext3 partition a najednou to spadlo a partišna sice byla, ale bez dat. Tak jsem zkoušel všechno možný a nakonec to dokázal bez větších problémů undeletnout debugfs. Nevím jestli na tenhle případe a na ext4 může taky fungovat, ale zkusil bych to

Já teda nevím. U undelete je problém v tom, že obnoví jen inodu, ale už k ní nepřipíše na které bloky souboru má odkazovat, takže každý obnovený soubor bude mít velikost 0b. Což je jen tak mimochodem zásadní ten zásadní problém ext3/4, protože ten v inodách po sobě maže bloky na které inoda odkazuje. Jak by to mohlo fungovat?

[gtz]

Jak jsem psal zde #4, tak extundelete používá debugfs. Ten extundelete je celkem nová věc. Párkrát jsem ho zkoušel s celkem uspokojivým výsledkem.

[Grunt]

Mně to přijde jako ext3grep s lepším rozhraním.

[gtz]

jj, je to na něm postavené, ale ext3grep měl s ext4 problémy. Házel vždy nějaký error na začátku partice. Toto je již celkem slušné a snad se vývoj pohne někam dopředu.

[Grunt]

Tož teda nevím. Co já jsem ext3grep zkoušel, tak ten prohledával pomalu celý disk, což mi docela dost vadilo, když byl velký. Předpokládám, že tento nástroj na tom nebude o moc lépe.

[gtz]

Zkoušel jsem ext3grep na partici ext4 ( cca 4GB ) a on na začátku hlásil nějakou nesrovnatelnost a padl na pusu. Ten undelete jsem náhodou objevil, když jsem hledal něco podobného pro známého, kterému se totálně zbořil disk s ext4. U něj to dokázalo obnovit celkem hodně dat. Problém byl u AVI/MPG s větší délkou než 1.4G

[gtz]

Ve vidlích snad funguje i diskinternal free

[trekker.dk]

A divné je jak k tomu došlo: zkoušel jsem spustit nějakou gamesku pod wine (ani nevím co),

Tuším, že Diablo III spuštěné pod wine přepisovalo začátek disku. (Docela dobrej bug, řekl bych.) Ale aspoň ses poučil, že nemáš pracovat pod privilegovaným uživatelem.

[zajca]

to nebyl privilegovaný uživatel ten disk je USB a mám ho na videa muziku apd... je pro víc uživatelů navíc sdílený přes sambu a je celý 777. Odpojovat ho pokaždé když něco spouštím přes wine mě nenapadlo. BTW: možná by bylo faň kdyby u wine šlo určit kde může zapisovat, na hry opravdu není třeba přístup jinam než do ~/.wine/drive_c

[Andrej Herceg]

A v dosdevices/ máš linky aj na iné "disky", alebo len na drive_c?