Відновлення видалених версій та файлів у Linux: розширений посібник

Якщо ви вже деякий час працюєте з Linux, рано чи пізно ви зіткнетеся з ситуацією, коли вам доведеться модифікований або випадково видалив важливий файлКоманда з помилкою, перенаправлення з простим ">" там, де мало бути ">>", невдале оновлення... і раптом цей важливий документ, ці фотографії чи системні налаштування більше не там, де їм слід бути.

Перше, що потрібно уточнити, це те, що в Linux немає чарівної палички, яка дозволяє Отримати всі історичні версії файлу Якщо ви не налаштували власну систему резервного копіювання або створення знімків (наприклад, за допомогою LVM, Btrfs, ZFS тощо), все ще існує багато судово-медичних методів та інструментів, які пропонують шанс, хоч і невеликий, відновити видалені або перезаписані дані. Головне — розуміти, що можливо, а що ні, і як швидко діяти, щоб не погіршити ситуацію.

Чому майже неможливо відновити всі версії файлу в Linux?

Коли ми говоримо Отримати «всі версії» зміненого файлу У класичній системі Linux/Unix (з ext2/3/4, ReiserFS тощо) відсутність резервних копій – це щось на кшталт наукової фантастики. Причина полягає в тому, як файлова система керує inodes та вмістом файлів.

У системах, таких як ext2, ext3 або ext4, файл ідентифікується за його inode плюс ім'я файлуІндексний дескриптор (INODE) ​​містить метадані (дозволи, дати, розмір, вказівники на блоки даних тощо). Коли ви редагуєте файл, наприклад, з "a" на "A_modified", номер індексного дескриптора зазвичай залишається незмінним: його дані просто оновлюються. Новий індексний дескриптор не створюється для кожної версії.

Це означає, що на диску немає «старих версій» того самого файлу з іншим inode, які можна було б знайти. На практиці, Ви могли відновити лише фрагменти або попередні стани. Так, через те, як блоки були переписані, все ще залишаються незаписані залишки, які деякі судово-медичні інструменти можуть ідентифікувати та реконструювати.

Часто кажуть, що існує одна або дві файлові системи (що не дуже поширене на робочому столі), де номер inode може змінюватися під час перезапису файлу, але, безумовно, Це не стосується ext2/3/4 або ReiserFS., які є звичайними у більшості класичних дистрибутивів.

Тому, коли хтось запитує, чи можливо відновити всі версії файлу, який був змінений з часом, без резервних копій, реалістичною відповіддю буде те, що Шанси небезпечно близькі до 0,0…1%Без знімків або попередніх резервних копій залишаються лише дуже обмежені спроби судово-медичної експертизи.

Найкращі практики створення знімків, LVM та розділення

Одне діло не вміти творити чудеса після того, як це сталося, і зовсім інше — не вміти творити чудеса після того, як це сталося. підготувати систему до мінімізації катастрофСаме тут вступають у гру розумні розділи та такі технології, як LVM зі знімками.

Сучасні інсталяції багатьох дистрибутивів (CentOS, openSUSE, Ubuntu тощо) зазвичай пропонують два майже магічні прапорці під час розбиття на розділи: Використовуйте /home на окремому розділі і використовуйте a файлова система, керована LVMЯкщо ви приймете ці поради, ви вже на крок попереду в плані одужання.

Наявність окремого каталогу /home дозволяє перевстановлювати або оновлювати систему, не впливаючи на ваші особисті дані. А LVM додає дуже потужну додаткову функцію: знімки томівЗнімки – це фотографії стану файлової системи в певний момент, з яких можна відновити або принаймні змонтувати цей знімок і скопіювати дані, які ви могли пошкодити з того часу.

Багато людей вважають LVM чимось "пов'язаним із сервером" або занадто складним для домашнього ноутбука, але насправді це один із... кращі рішення, щоб вберегти себе від страхів...разом із відокремленням кореневого каталогу від /home. Однак на дуже простих машинах або ноутбуках, де вам потрібен найнеобхідніший мінімум, ви можете обійтися без LVM, але ви втрачаєте можливість робити миттєві знімки.

Коротше кажучи: якщо ви дійсно хочете мати «версії» своїх файлів, то серйозний шлях уперед — це використовувати знімки (LVM, Btrfs, ZFS) або систему резервного копіювання автоматизовано, не покладайтеся на відновлення того, що система ніколи не зберігала як попередню версію.

Як працює видалення файлів у Linux та які варіанти відновлення доступні

Існує поширена помилкова думка, що видалення файлу призводить до його негайного зникнення з диска. Насправді, у більшості файлових систем, фізичний вміст все ще там доки інші дані не використають цей простір повторно.

Коли ви видаляєте файл, система позначає його блоки як вільні у своїх внутрішніх структурах (таблицях inode, MFT в NTFS тощо). Файл більше не відображається у списках каталогів, але дані можуть залишатися неушкодженими деякий час. Чим менше активності запису на диску після видалення, Чим більше у вас буде варіантів для повернення чогось, тим більше у вас буде шансів отримати щось назад..

У Linux конкретна поведінка залежить від файлової системи: Ext2/3/4, XFS, JFS, ReiserFS, UFS, Btrfs, а також FAT32/exFAT на знімних пристроях. Деякі системи працюють краще, ніж інші Щодо відновлення: наприклад, XFS та Btrfs зазвичай пропонують досить хороші результати, тоді як у Ext2/3/4 фрагментація та спосіб управління блоками значно ускладнюють ситуацію.

Є один особливо складний випадок: SSD-накопичувачі з TRIM увімкненоЯкщо ви видаляєте файл на SSD-накопичувачі та спрацьовує функція TRIM, прошивка диска може фізично стерти ці блоки майже миттєво. У такій ситуації відновлення зазвичай виходить з гриабо дуже, дуже обмежені.

Ще один момент, який слід врахувати, це те, як його видаляють: якщо ви робите це через графічний інтерфейс, він зазвичай спочатку потрапляє до кошика, що дає вам швидке рішення. Але якщо ви робите це за допомогою rm з терміналуНемає легкого шляху назад, у цьому потоці немає вбудованого сміттєвого кошика.

Типові помилки, що призводять до втрати даних у Linux

Окрім типового «Я викинув сміття, не дивлячись», у Linux є ще дві великі класичні книги про масову втрату данихнеобережне зловживання командним рядком та випадкове перезаписування.

У терміналі один неправильно скопійований рядок може мати катастрофічні наслідки. В інтернеті поширюються «хитрощі», які обіцяють очистити систему, але насправді... Вони виконують rm -rf на критичних шляхахКоли ви новачок у Linux, варто бути обережним з будь-якою командою, яку ви не до кінця розумієте, особливо якщо вона містить підстановочні символи, незвичайні канали або абсолютні шляхи.

Ще однією поширеною помилкою є перенаправлення виводу команди з неправильним оператором: «>» перезаписує, «>>» додає в кінецьВикористання символу ">" для існуючого файлу може призвести до його спустошення до нуля коми, втрачаючи конфігурації, скрипти чи документи за секунду через просту помилку друку.

До цього додаються апаратні збої (вмираючі жорсткі диски, пошкоджені USB-накопичувачі, погані сектори), помилки розділення за допомогою таких інструментів, як fdisk або gparted, погано сплановані перевстановлення та навіть оновлення системи, що не вдаютьсяБагато користувачів зазначають, що в деяких дистрибутивах оновлення між основними версіями є лотереєю: на персональних комп'ютерах перехід з однієї LTS на іншу або з 12.04 на 12.10, наприклад, може призвести до збоїв; навпаки, більш консервативні дистрибутиви, такі як CentOS, як правило, пропонують стабільніші переходи між версіями.

Ось чому важливо мати не лише копії, а й Встановіть систему належним чином.: окремий /home, якщо можливо з LVM, і завжди з планом Б для повернення до проблемного оновлення.

Судово-медичне відновлення за допомогою Foremost: вирізання файлів з терміналу

Один з класичних інструментів для відновлення видалених файлів у Linux - це в першу чергу, програма судово-медичного аналізу, заснована на різьбленні файлів. Спочатку вона була розроблена для військового використання (AFOSI), а пізніше випущена як публічне програмне забезпечення.

Ідея проста для розуміння: навіть коли метадані (індексні дескриптори, записи таблиць тощо) втрачаються, ви все ще можете спробувати знайти файли за їх характерна внутрішня структураБагато типів файлів починаються (а іноді й закінчуються) дуже специфічним шістнадцятковим заголовком або шаблоном. Наприклад, багато GIF-файлів починаються з байтів 47 49 46 38 39 61, що відповідає «GIF89a».

Foremost сканує пристрій у пошуках цих шаблонів і, коли знаходить один, припускає, що саме там починається файл такого типуЗ цього моменту він намагається читати, доки не виявить відповідний кінцевий маркер або не досягне максимального розміру, визначеного для цього формату. Потім він записує цей вміст у вихідний каталог, не відновлюючи початкову назву чи шлях, але принаймні відновлюючи дані.

За замовчуванням Foremost здатний працювати з великою кількістю форматів: Зображення (jpg, gif, png, bmp, tiff), відео (avi, mp4, mov, mpg, wmv, asf), аудіо (wav, wma, mp3, riff), документи (doc, docx, xls, xlsx, ppt, pptx, pdf, txt, html), виконувані файли (exe), стиснуті файли (zip, rar, rpm) та багато іншогоТакож його можна налаштувати так, щоб він фокусувався лише на певних типах за допомогою опції -t.

Цікаво, що файл конфігурації /etc/foremost.conf дозволяє Додавання підписів для нових типів файлів, таких як документи LibreOffice або OpenOffice (.odt, .ods, .odp тощо) або дані Thunderbird (.msf), із зазначенням шаблонів заголовків та приблизного максимального розміру.

Найважливіше встановлення та базове використання

Foremost зазвичай присутній у репозиторіях майже всіх дистрибутивів, тому встановлення зводиться до такої команди: sudo apt встановити перш за все (у Debian, Ubuntu та похідних) або еквівалент у вашому дистрибутиві.

Його основну роботу можна коротко описати наступним чином:

• Виберіть вихідний каталог де будуть зберігатися відновлені файли.
• Визначте диск або розділ який ви хочете просканувати (наприклад, /dev/sdb1 для USB-накопичувача).
• Біжи перш за все визначення типів файлів (-t), пристрою введення (-i) та каталогу виведення (-o).

Припустимо, ви видалили фотографії та PDF-файли з USB-накопичувача та хочете все відновити. Спочатку ви можете створити робочу папку, наприклад, на робочому столі:

mkdir /home/usuario/Escritorio/Recuperacion

Потім ви визначаєте назву пристрою за допомогою:

судо fdisk -l

і ви бачите, що ваш USB-накопичувач має назву /dev/sdb1. Тоді ви можете запустити:

sudo foremost -t all -i /dev/sdb1 -o /home/usuario/Escritorio/Recuperacion

Foremost просканує весь пристрій, відсортує результати за розширенням у підпапки в Recovery, і після завершення у вас буде чимала кількість перейменованих, але потенційно корисних файлів: .jpg у власній папці, .pdf у власній папці, .doc, .xls, .ppt тощо.

Важливі поради щодо використання Foremost

Щоб максимізувати шанси на успіх, існує низка ключових рекомендацій щодо використання Foremost або подібних інструментів:

• Не записуйте нічого на той самий розділ з диска, з якого потрібно відновити дані. Завжди зберігайте відновлені файли на іншому диску, наприклад, на зовнішньому жорсткому диску або USB-накопичувачі.
• Дійте якомога швидше Після видалення файлу, кожна хвилина, що минає, і кожна операція запису, яку виконує система, збільшує ймовірність того, що блоки, які вас цікавлять, будуть перезаписані.
• Якщо файл надзвичайно важливий, Вимкніть машину та працюйте з іншої системипідключивши диск як вторинний диск або завантажившись з LiveCD/LiveUSB, навіть створивши образ за допомогою dd та працюючи з цим образом, щоб не торкатися оригінального диска.
• Перш за все, може працювати із зображеннями, створеними за допомогою dd, Safeback, EnCase та іншіСтворення зображення та робота з ним є найрозумнішим способом проведення судово-медичного аналізу.

Після завершення роботи Foremost вихідний каталог належатиме root (оскільки ви запустили його за допомогою sudo). мати змогу відкрити його без проблем зі свого облікового запису користувачаБажано змінювати власника рекурсивно, наприклад:

sudo chown -R користувач /home/користувач/Робочий стіл/Відновлення

Усередині ви побачите папки, упорядковані за розширенням. Наприклад, якщо ви шукаєте презентацію PowerPoint, ви б увійшли до папки ppt і змогли б відкривати файли, доки не знайдете свій. Foremost зазвичай відновлює більше речей, ніж ти очікуваввключаючи файли, які ви видалили давно або які були на пристрої до того, як ви його використовували.

Альтернативи Foremost та іншим інструментам відновлення в Linux

Хоча Foremost дуже популярний завдяки своїй потужності та простоті використання, екосистема Linux пропонує набагато більше інструментів для спроби відновлення даних, як у текстовому режимі, так і з графічними інтерфейсами або навіть повними дистрибутивами, орієнтованими на порятунок.

Серед класичних альтернатив командного рядка у вас є Скальпель, PhotoRec, Розтин, видалення або магічне порятунокякі застосовують схожі ідеї (розділення файлів, аналіз структури файлової системи тощо). Деякі вимагають зміни файлів конфігурації, щоб визначити, які типи файлів шукати, що є більш громіздким, ніж просте використання команди -t у Foremost.

Крім того, існують більш комплексні рішення, починаючи від графічних інтерфейсів для низькорівневих інструментів і закінчуючи повноцінними Live-системами, завантаженими утилітами рятування. Деякі з них безкоштовні, інші платні, але всі вони мають одну основну ідею: Не записуйте дані на пошкоджений диск та виконайте глибоке сканування. будь-який корисний слід.

GNU DDRescue-GUI: графічний інтерфейс для GNU DDRescue

GNU DDRescue — це потужний інструмент, розроблений для копіювати дані з пошкоджених пристроїв (жорсткі диски з пошкодженими секторами, подряпані компакт-диски тощо) на інший диск, завжди надаючи пріоритет копіюванню областей, які ще читаються, та залишаючи проблемні сектори на потім.

На відміну від «звичайної» команди dd, DDRescue не записує нулі за замовчуванням у прогалини, де вона знаходить помилки, а також не обрізає вихідний файл: Воно залишає прогалини та поступово їх заповнює. у послідовних проходах, що дозволяє максимально використати кілька дефектних копій одного й того ж носія та об'єднати достовірну інформацію з усіх них в одне кінцеве зображення.

Проблема для багатьох користувачів полягає в тому, що DDRescue керується з терміналу. Щоб зробити його зручнішим для користувача, існує... GNU DDRescue-графічний інтерфейсГрафічний інтерфейс, що спрощує вибір джерела, місця призначення, параметрів копіювання тощо. Функціонально він робить те саме, що й оригінальний інструмент, але без необхідності запам'ятовувати весь синтаксис.

Інтерфейс не є дивом сучасного дизайну, але він набагато зручніший, ніж мати справу з довгими командами, коли ви... під тиском, намагаючись зберегти дані про платівку, яка вмирає.

Redo Rescue: Просте резервне копіювання та відновлення

Redo Rescue — це ISO-рішення, яке завантажується з компакт-диска або USB-накопичувача, і яке дозволяє вам виконувати обидва клонування та відновлення цілих систем Як відновити дані з розділів.

Він розроблений для користувачів без досвіду: його інтерфейс дуже простий, а також він постачається з інтегрованими інструментами (текстовий редактор, браузер, файловий менеджер, термінал). Внутрішньо він використовує Partclone для клонування розділівЦе спрощує створення повних копій системи перед внесенням будь-яких делікатних змін.

Для тих, хто просто хоче «чогось, що працює», не морочяючись з командами, Redo Rescue — дуже цікавий варіант: Ви запускаєте двигун, вибираєте, що хочете клонувати або відновити Ось і все. Чого він не пропонує, так це дуже тонкого контролю над деталями розділення, чого не помітять досвідчені користувачі.

TestDisk та PhotoRec: класична пара командного рядка

Тестовий диск – це інструмент з відкритим кодом Він добре відомий для відновлення втрачених розділів, ремонту пошкоджених таблиць розділів, перебудови MBR, виправлення проблем із завантаженням тощо. Він текстовий, але його інтерфейс напівграфічний та досить інтуїтивно зрозумілий, тому навіть користувачі-недосвідчені користувачі можуть відносно легко орієнтуватися в меню.

PhotoRec, який зазвичай розповсюджується разом із TestDisk, зосереджений на... відновлення окремих файлів (здебільшого фотографії та мультимедійний контент, але насправді багато інших типів). Він ігнорує файлову систему та просто шукає шаблони заголовків та нижніх колонтитулів у необроблених даних на диску, щоб він міг працювати. навіть якщо файлова система повністю пошкоджена або була відформатована.

Найбільшим недоліком PhotoRec є відсутність вбудованого графічного інтерфейсу; все робиться через термінал. Натомість він пропонує рівень глибини, який часто компенсує зусилля, особливо для досвідчених користувачів, яким потрібно зішкребити до останнього можливого байта з SD-карт, USB-накопичувачів або пошкоджених дисків.

SystemRescueCD та Knoppix: Дистрибутиви Live для порятунку

Коли проблема не лише у видаленому файлі, а й у Система навіть не запускається. або розділ серйозно пошкоджений, найпрактичнішим рішенням зазвичай є використання рятувального Live-дистрибутиву.

SystemRescueCD — це саме те, що потрібно: завантажувальний носій (CD/USB) з дуже повним набором інструментів для... ремонт систем Linux, керувати розділами (за допомогою GParted та низькорівневих утиліт), перевіряти та відновлювати файлові системи, а також працювати з резервними копіями завдяки FSArchiver та іншим.

Він підтримує найпоширеніші файлові системи (Ext4, XFS, Btrfs, VFAT, NTFS і навіть мережеві файлові системи, такі як Samba або NFS). Це дуже повний набір інструментів, але він орієнтований на користувачів з певними технічними знаннями. Це не "наступний, наступний, фініш"але середовище для адміністраторів, які вже знають, що роблять.

Knoppix, зі свого боку, є універсальним дистрибутивом Live, але він включає велика кількість утиліт для відновлення данихЙого головне призначення не в тому, щоб бути вашою щоденною настільною системою, а в тому, щоб надати вам завантажувальне середовище з USB або CD, за допомогою якого можна отримати доступ до пошкоджених дисків або систем, які не завантажуються, і звідти використовувати вбудовані інструменти для спроби відновлення файлів.

Головна вимога для максимального використання Knoppix — це певне знайомство з Linux: інструменти є, багато з них безкоштовні та потужні, але Вони не викликають "чарівного клацання"Потрібно знати, що робиш, щоб не погіршити проблему.

R-Linux, Mondo Rescue та Rescuezilla: рішення з графічним інтерфейсом

R-Linux — це безкоштовний інструмент для відновлення даних з файлових систем. Ext2/Ext3/Ext4Це дозволяє відновлювати файли, видалені через системні збої, відключення живлення, атаки шкідливого програмного забезпечення, випадкове форматування та навіть зміни структури розділів, за умови, що дані не були перезаписані.

Він виділяється тим, що пропонує досить повний графічний інтерфейс Він дозволяє зберігати відновлені файли практично на будь-якому диску, доступному із системи, включаючи мережеві диски. Він також може шукати різні «версії» одного й того ж видаленого файлу на основі його розміру, назви, розширення або розпізнаного типу, що допомагає уточнити пошук.

Головне обмеження полягає в тому, що Він не може відновлювати дані через мережу або перебудовувати RAID-масиви.Для цього підійде його старший брат R-Studio (платний), але R-Linux дуже добре підходить для домашніх та малих офісних сценаріїв.

З іншого боку, Mondo Rescue — це рішення для Linux та FreeBSD, яке зосереджене на повне резервне копіювання та відновлення системиВін підтримує RAID, LVM, XFS, VFAT, JFS, Ext2/3 тощо, а також дозволяє створювати копії на CD, DVD або USB, реорганізовувати розділи перед відновленням та змінювати ключові файли, такі як /etc/lilo.conf або /etc/fstab, під час процесу.

Його інтерфейс може виглядати дещо застарілим, але ним відносно легко користуватися, навіть якщо ви не експерт з Linux. Це хороший варіант для планувати повне відновлення системи після серйозних катастроф (заміна дисків, зламані розділи тощо).

Зрештою, RescueZilla — це інструмент з відкритим кодом, орієнтований на пересічного користувача. Він працює із завантажувального USB-накопичувача та дозволяє Клонуйте жорсткі диски за допомогою образів, відновлюйте розділи та отримуйте доступ до даних з цих образів, щоб витягти лише те, що вам потрібно..

Його інтерфейс досить зручний і не вимагає просунутих знань, що робить його ідеальним для тих, хто просто хоче Відновлення файлів без проблем із командним рядкомНатомість, він споживає більше ресурсів, ніж можна було б очікувати в деяких скромних системах, і наразі не підтримує архітектури ARM, такі як Apple Silicon.

Комерційне програмне забезпечення: UFS Explorer Standard Recovery

Окрім усіх безкоштовних рішень, існує спеціальне комерційне програмне забезпечення для Середовища Linux та файлові системи, типові для цієї екосистемиОдним із прикладів є UFS Explorer Standard Recovery, здатний працювати з Ext2/3/4, XFS, JFS, ReiserFS, UFS, Btrfs, FAT32/exFAT тощо, а також з простими томами, LVM, mdadm та складеними наборами.

Філософія та сама: розмонтувати розділ або, ще краще, підключити диск до іншої машини в режимі лише для читанняВідскануйте його за допомогою програми, перегляньте знайдені файли та збережіть їх на іншому носії інформації. Для систем, де диск неможливо вийняти (наприклад, якщо дані знаходяться в /root і ви не можете відмонтувати), вони навіть пропонують аварійний компакт-диск, який завантажує комп'ютер і дозволяє виконати відновлення з-за меж встановленої системи.

Ці платіжні рішення зазвичай виділяються тим, що пропонують відшліфовані інтерфейси, майстри та розширені функції фільтраціїАле по суті вони роблять те саме, що й багато безкоштовних інструментів разом узятих: сканують, переглядають та копіюють те, що ще не було перезаписано.

Який інструмент обрати залежно від вашого рівня та проблеми

Вибираючи інструмент для вирішення проблеми катастрофи даних у Linux, слід враховувати два моменти: ваш реальний досвід роботи з системою і тип проблеми, з якою ви маєте справу.

Якщо ви новачок або не впевнено користуєтеся терміналом, найрозумніше буде обрати рішення з графічним інтерфейсом та, за необхідності, з можливістю завантаження з USB: Redo Rescue, GNU DDRescue-GUI, Rescuezilla або R-Linux Вони дуже розумні кандидати. Вони скерують вас і зменшать ймовірність погіршення ситуації.

Якщо у вас вже є певний досвід, інструменти командного рядка, такі як TestDisk, PhotoRec, Foremost або Scalpel Вони дадуть вам більше контролю та потенційно кращі результати у складних випадках, в обмін на необхідність більшої обережності та терпіння.

Коли катастрофа впливає на всю систему (вона не завантажується, відсутні розділи тощо), спеціалізований Live-дистрибутив, такий як SystemRescueCD або Knoppix Це забезпечує вам повноцінне середовище для роботи, не торкаючись пошкодженого диска під час запуску.

А якщо ви працюєте в професійному середовищі або дані мають чітку економічну цінність, можливо, має сенс розглянути комерційні рішення, такі як Стандартне відновлення UFS Explorer або зверніться безпосередньо до професійної служби відновлення, щоб уникнути погіршення стану пристрою.

У будь-якому разі, як би ці інструменти не допомогли вам врятувати становище, справді важливо усвідомити, що Відновлення всіх версій зміненого файлу в Linux без резервних копій практично неможливеЩо ви можете контролювати, так це розробити розумну стратегію вже зараз: окремі розділи, системи LVM або знімків, регулярні резервні копії та здорова повага до командного рядка. З цією основою, якщо щось піде не так, ваші шанси на успіх будуть незрівнянно кращими, ніж покладатися на дива експертизи в останню хвилину.