Obnovení vymazaných souborů na ext3

Poté, co se Carlu Woodovi podařilo (nechtěně) vymazat svůj domovský adresář, rozhodl se, že se pokusí jej obnovit navzdory rozšířenému názoru, že to na ext3 nelze. Výsledkem je obšírný popis, jak to vlastně s ext3 je a také program na obnovení vymazaných souborů (pokud jej ale chcete, musíte autorovi přímo napsat na e-mail a navíc, bohužel, autor nehodlá ve vývoji dále pokračovat).

13.3.2008 20:17 | Vojtěch Horký | Zajímavý článek

Komentáře

[Pavel Siska]

Kolik lidi mu uz napsalo? :)

[zelial]

už se to dá stáhnout: http://www.xs4all.nl/~carlo17/xyz/.

a autor to úplně neodpískal - už udělal nový bugfix release. bylo by fajn, kdyby vývoj udržel alespoň do doby, než se toho chytí někdo další.

[Tomas Vesely]

Mě se stalo to samé. Pro linux jsem nic nenašel. Takže mě nakonec zachránila nějaká repair utilita pro windows.

[kavol]

njn, každý máme svůj problémek se smazanými soubory, a kdo tvrdí že nemá, onanuje dodnes, nebo jak to ten Freud řekl

mě by bohatě stačilo, kdyby mi někdo poradil s ext2, což je prý triviální, jenom to jaksi někdo zapomněl říct mému počítači (resp. tomu software na něm), že to má triviálně zvládat, a já nemám ty tři týdny času jako Carl Wood, abych mu to vysvětlil sám :-/

[KS]

Ale zajímalo by mě co dělal, že si to smazal. Mi se jednou podařilo smazat si pár souborů nepodařeným mv.

[kavol]

píše, že to bylo rm -rf ... předpokládám, že tam měl relativní cestu, a že si spletl adresář, ve kterém to pustil (což se například při používání mc stane velmi snadno, neboť pánové jaksi ještě stále nebyli schopni opravit letitý bug se změnou adresáře v subshellu, a který distributoři kdovíproč by default nepatchují, ač oprava existuje ...)

[Semo]

Nieco na ext2 je tusim v menu mc. Ale nikdy so mto nepouzil a uz ani nemam kde. Ext? sa uz u mna nenosi. Odkedy som vymazal na stroji pre cca 10-15 userov /home a kedze bol na reiserfs, tak som ho aj z 99% korektne po par hodinach prace obnovil, tak uz malokde davam nieco ine ako reiserfs.

[kavol]

Nieco na ext2 je tusim v menu mc.

kdyby sis aspoň pořádně přečetl, nač reaguješ ...

Ext? sa uz u mna nenosi. Odkedy som vymazal na stroji pre cca 10-15 userov /home a kedze bol na reiserfs, tak som ho aj z 99% korektne po par hodinach prace obnovil, tak uz malokde davam nieco ine ako reiserfs.

hm ... mno, jde o externí disk; nevím, jak je to teď, ale v době, kdy jsem ho formátoval, si dle dostupných informací Wokna s ničím jiným než ext2 rozumně neporadily, a potřeboval jsem, aby se dal číst i pod nimi, takže reiserfs jaksi ne-e

[CET]

No, zrovna nedavno jsem si taky neco smaznul z ext3, bohuzel to bylo na root, takze disk porad zapisuje a remount RO jsem udelat nemohl, ale hodne navodu zminuje debugfs. Je tam i prikaz ls -d , kterej dobrazi "deleted entries in the directory". Nicmene jsem jeste takhle zadnej soubor neobnovil.

[Pev]

ls -d , kterej dobrazi "deleted entries in the directory".

Cože?

[Ľubomír Krajčovič]

Celý ten návod som si prečítal, a potom ma napadla takáto vec:

Nebolo by super, kebyže sa ext3 žurnál dá spustiť aj smerom naspäť? Dodatočný overhead by nemal byť taký strašný: - ku každej transakcii, napr. prepis inode, by sa musel do žurnálu zapísať okrem nového stavu aj stav predchádzajúci - ten je ale v čase zápisu transakcie v pamäti (aspoň čo sa týka metadát, nie dátových blokov). - pri plnom žurnále (journal=data) by bola k dispozícii voľba, či uchovávať aj predošlú verziu dátových blokov - toto už by bolo 'drahšie', lebo predošlý blok by sa musel prečítať (ak by nebol v cache), zapísať do žurnálu, a až potom prepísať novým - správna voľba pre 'paranoikov'

Takto by v prípade "neštastného" rm / mv stačilo korektne umount fs, a spustiť žurnál spätne. Za predpokladu, že je žurnál dostatočne veľký, dal by sa fs vrátiť dostatočne ďaleko do minulosti.

Čo vy na to? Môj názor je, že implementačne by to nemalo byť zložité, treba len rozšíriť definíciu žurnálu. Nevýhoda: na rovnaký počet transakcíí treba 2xväčší žurnál + drobné spomalenie zápisu.

Prípadne by sa to mohlo navrhnúť ako feature pre ext4? :)

[Majkls]

existoval jakýsi verzovací projekt (úprava ext3), který toto uměl. tuším, že to měl někdo jako bakalářku

[Vasek]

Undetele na ext3 resi ceskem spolehlive MagicRescue:

http://jbj.rapanden.dk/magicrescue/

[kavol]

za prvé, proč nepoužít interní link na software

za druhé, but on very fragmented file systems it can only recover the first chunk of each file ... to bych nepovažoval za "celkem spolehlivé"

za třetí, docela by mě zajímalo, jaké "magic" vzory hledá v obyčejných texťákách apod. - budeš se asi divit, ale spousta lidí necpe svoji práci zrovna do "office" souborů, které mají v hlavičce jasnou "zip" signaturu a délku archivu ...

a za čtvrté, zprávička je o operacích na úrovni filesystému, nikoliv surových dat na disku, ona k tomu patří totiž ještě i nějaká metadata, jako názvy souborů apod., která v mnoha případech mohou nést dost podstatnou část informace (zkus si například sesypat zdrojáky nějakého programu do jednoho adresáře coby očíslované soubory a následně to zkompilovat ...)

[petr]

Zrovna u tech zdrojaku by to tak hrozne nebylo, pokud clovek pouziva peclive treba doxygen, tak ma na zacatku v komentari vzdycky napsanej nazev souboru. Pripadne Id tag z CVS...

[Mandarinka]

Huh, s fragmentací si moc undelete utilit neporadí. Ale je možné (nevím), že u ext3 se informace o dalších fragmentech smazáním neztratí, jak je tomu u vfat...

[Mandarinka]

Pokud chcete zachraňovat text, tak prostě dejte shromáždit text... text se v image disku hledá docela dobře, zvlášť když víte, co hledat. Myslím, že na to byl dobrý WinHEX. Měl dokonce i nějakou funkci, jak plaintext identifikovat a shromáždit... Ale blbé je, že na linuxu se tam přimíchá ta spousta systémového balastu :), která je v plaintextu.

[mykhal]

mně by zajímalo jak obnovit soubory, které jsou smazané tak napůl.. měl jsem, na partišně jeden adresář a v něm úplně všechno. ten adresář se mi podivně podělal (jednalo se o disk v externím usb boxu s automatickým vypínáním disku, ale s podporou jen pro win) tak, že jsem místo něj začal vidět jen nepřístupný adresář "???????" .. velikost disku je pořád stejná, ty soubory tam někde jsou.. debugfs mi nepomohl.

[mykhal]

s/velikost disku/velikost volného\/obsazeného místa/

[blatnak]

pokud se nejednalo o ciste textove soubory, ale neco co se da identifikovat podle zacatku souboru (ofice, obrazky, jpeg+gif, zazipovane veci ...) tak v tomto pripade pomuze vyse uvedeny magic undelete - ja takhle obnovuju obrazky z fotaku, kdyz se mi rozpadne FAT (coz se u nekterych starsich digitaku obcas deje) - je to nezavisle na fielsystemu, takze neni porblem ani na ext2/ext3 - vyhodou je, ze toto funguje i kdyz je adresarova struktura uplne v haji - nevyhodou ze to nemusi fungovat, pokud je disk prilis fragmentovan (viz. poznamka vyse)

[mykhal]

já myslím, pokud ty soubory na disku jakoby pořád to místo mají alokované, tak by snad ani nemuselo vadit že se na disk zapisovaly další data.. ale disk jsem hned po poruše odstavil. myslím že by mohlo být být možné vyhledat přímo inody odpovídající podadresářům v tom ztraceném adresáři (na jejich názvy bych si vzpomněl) a nějak je popřipojovat ručně..

[hacko]

V tom pripade bych ten disk (pro jistotu) nekam odkopiroval a pak pustil "fsck -Y". Pokud tam jsou v poradku cisla inodu, tak by to melo adresarovou strukturu dokazat opravit.

[mykhal]

měl jsi pravdu, prošlo to. ani jsem to nezálohoval, už nebylo kam. podadresáře ze ztraceného hlavního adresáři se objevily v lost+found, a vypadá to že i s celým svým původním stromovým obsahem. nejjednodušší řešení jsou někdy asi ta nejlepší. já su tak šťastnej, dneska :)

[Mandarinka]

No, te je ale pád fs, a ne smazání :)

[mykhal]

to ale vůbec nevadí, mandarinko. nebo jo ?