http://wiki.linuxformat.ru/wiki/index.php?action=history&feed=atom&title=LXF124%3ADrBrown3LXF124:DrBrown3 - История изменений2026-05-13T00:03:08ZИстория изменений этой страницы в викиMediaWiki 1.19.20+dfsg-0+deb7u3http://wiki.linuxformat.ru/wiki/index.php?title=LXF124:DrBrown3&diff=11020&oldid=prevCrazy Rebel: викификация, оформление2010-11-01T12:30:59Z<p>викификация, оформление</p>
<p><b>Новая страница</b></p><div>===Восстанавливаем удаленные файлы===<br />
<br />
: Сослав важный файл в цифровое забвение, не паникуйте. Его можно вернуть.<br />
<br />
Задумавшись<br />
о том, как мощны<br />
и неумолимы<br />
команды<br />
типа<br />
''rm *'', можно<br />
только<br />
подивиться<br />
тому,<br />
как мало<br />
файлов<br />
я удаляю<br />
по ошибке.<br />
В этом руководстве<br />
мы рассмотрим<br />
методы,<br />
уменьшающие<br />
ущерб от нечаянных<br />
удалений<br />
файлов.<br />
Предполагается,<br />
что вы работаете<br />
в командной<br />
строке:<br />
в графических<br />
файловых<br />
менеджерах<br />
обычно<br />
есть папка<br />
'''Deleted Items''' [Удаленные], и вы можете<br />
просто<br />
выудить<br />
удаленные<br />
файлы<br />
из мусорной<br />
корзины.<br />
<br />
===Профилактика лучше лечения===<br />
<br />
Прежде<br />
всего,<br />
не удалять<br />
файл гораздо<br />
лучше,<br />
чем уметь его<br />
восстановить.<br />
Вот четыре<br />
совета,<br />
которые<br />
вам помогут.<br />
# Минимизируйте время, которое проводите в системе под пользователем root. При необходимости переключайтесь на него командой ''su'', а после этого сразу возвращайтесь к своему обычному пользователю. Лучше всего запретить вход в систему под пользователем root и выполнять все административные операции через ''sudo''.<br />
# Создайте псевдоним, который свяжет ''rm'' с командой, не удаляющей файлы, а помещающей их в каталог '''Deleted Files'''. Очищайте этот каталог ежедневной задачей ''Cron'', удаляющей все ссылки, к которым не было обращений за последние 30 дней. <br />
# Защитите файлы второй ссылкой. При удалении файла в Linux с помощью ''rm'' удаляется лишь ссылка на файл. Если на файл есть другие ссылки, они уцелеют, и файл не исчезнет. Идея состоит в написании небольшого скрипта или функции, под названием, скажем, ''protect'', которую вы вызовете явно, чтобы защитить файл от случайного удаления. Скрипт создаст дополнительную ссылку на файл в заданном каталоге, например, '''~/.protected-files'''. Обратите внимание, что cимвольные ссылки не годятся для этой роли. И это не поможет в том случае, если вы случайно перезапишете файл.<br />
# Каталог можно защитить от удаления, сняв право на запись в него. Но это «защитит» вас и от создания в директории новых файлов.<br />
<br />
===Совет===<br />
<br />
Теперь<br />
обсудим<br />
методы<br />
восстановления<br />
файлов.<br />
Лучший<br />
совет,<br />
который<br />
я могу<br />
здесь дать, безусловно,<br />
таков:<br />
регулярно<br />
делайте<br />
резервные<br />
копии!<br />
Файлы<br />
можно<br />
копировать<br />
на флэшку<br />
или<br />
на другой<br />
компьютер<br />
с помощью<br />
''rsync'', писать<br />
сжатые<br />
архивы<br />
на CD или применить<br />
средство<br />
резервирования<br />
корпоративного<br />
уровня,<br />
типа<br />
''Amanda'' или ''Backup PC''. Главное – делать<br />
это, и делать<br />
постоянно.<br />
Проще<br />
и надежнее<br />
достать файл из резервной<br />
копии,<br />
чем запускать<br />
утилиты<br />
восстановления<br />
данных.<br />
<br />
===Разделиться и выжить===<br />
<br />
Какое<br />
бы средство<br />
для восстановления<br />
данных<br />
вы ни использовали,<br />
одну<br />
важную<br />
вещь нужно<br />
держать<br />
в голове:<br />
у вас должно<br />
быть место<br />
на отдельном<br />
разделе,<br />
где будут<br />
храниться<br />
восстановленные<br />
файлы.<br />
Категорически<br />
не стоит<br />
снова<br />
записывать<br />
их на раздел,<br />
который<br />
вы<br />
сканируете,<br />
иначе<br />
вы просто<br />
перезапишете<br />
те самые<br />
данные,<br />
которые<br />
пытались<br />
восстанавливать.<br />
<br />
===Проблеск надежды===<br />
<br />
Но предположим,<br />
что, при всей осторожности,<br />
вы удалили<br />
файл,<br />
которого<br />
нет в резервной<br />
копии.<br />
Во-первых,<br />
проверьте,<br />
нет ли<br />
процесса,<br />
где этот файл был открыт<br />
в момент<br />
удаления;<br />
если<br />
процесс<br />
еще выполняется,<br />
файл без труда<br />
можно<br />
восстановить.<br />
Почему?<br />
Такова<br />
особенность<br />
Linux (и Unix): если<br />
в момент<br />
удаления<br />
файла<br />
его открытый<br />
дескриптор<br />
принадлежал<br />
выполняющемуся<br />
процессу,<br />
файл продолжит<br />
существовать.<br />
У него не будет<br />
имени,<br />
но его индексный дескриптор и данные<br />
останутся<br />
нетронутыми.<br />
(Поэтому,<br />
когда вы выполняете ротацию<br />
файлов<br />
журналов,<br />
приходится<br />
отправлять<br />
сигнал<br />
или перезапускать<br />
демона,<br />
который<br />
пишет<br />
в журнал,<br />
чтобы<br />
он закрыл<br />
старый<br />
файл журнала<br />
и открыл<br />
новый.)<br />
<br />
Чтобы<br />
восстановить<br />
файл, понадобятся<br />
идентификатор<br />
процесса,<br />
который<br />
открыл<br />
файл, и дескриптор<br />
файла.<br />
Потом<br />
этот<br />
файл можно<br />
будет<br />
просто<br />
скопировать<br />
из '''/proc'''. Вот пример.<br />
Скажем,<br />
я запускаю<br />
''tail -f'' на файле<br />
журнала<br />
'''/var/log/messages''' и случайно<br />
удаляю<br />
файл. Следующая<br />
команда<br />
определит<br />
процесс,<br />
у которого<br />
этот файл еще открыт:<br />
<br />
$ lsof | grep /var/log/messages<br />
tail 26246 chris 3r REG 8,3 1783 6342095 /var/log/$ messages (deleted)<br />
<br />
Но для всего,<br />
кроме<br />
процесса<br />
''tail'', этого<br />
файла<br />
уже не существует.<br />
<br />
$ cat /var/log/messages<br />
cat: /var/log/messages: No such file or directory<br />
<br />
И вот наш трюк. Зная идентификатор<br />
процесса ''tail'' (26246) и файловый<br />
дескриптор,<br />
на котором<br />
у процесса<br />
еще открыт<br />
этот файл<br />
(3), мы просто<br />
скопируем<br />
файл из того<br />
дескриптора,<br />
который<br />
виден<br />
в '''/proc'''.<br />
<br />
$ sudo cp /proc/26246/fd/3 /var/log/messages<br />
<br />
Остается<br />
только<br />
исправить<br />
владельца<br />
и группу<br />
файла,<br />
и дело<br />
в шляпе.<br />
<br />
Если<br />
так восстановить<br />
файл не получается,<br />
нужно<br />
как можно<br />
скорее<br />
перевести<br />
систему<br />
в однопользовательский<br />
режим.<br />
Можно<br />
также<br />
размонтировать<br />
файловую<br />
систему,<br />
содержавшую<br />
удаленный<br />
файл, или смонтировать<br />
ее в режиме<br />
только<br />
для чтения.<br />
Смысл в минимизации<br />
риска<br />
того,<br />
что Linux выделит<br />
блоки<br />
данных<br />
вашего<br />
файла<br />
для какой-то другой<br />
цели.<br />
Тогда<br />
уж файл точно<br />
погиб.<br />
<br />
Можно<br />
попробовать<br />
восстановить<br />
данные,<br />
просто<br />
пройдя<br />
командой<br />
''grep'' по разделу.<br />
Это не так глупо,<br />
как кажется.<br />
Например,<br />
я нарочно<br />
удалил<br />
файл с этим руководством<br />
(ну да, резервную<br />
копию-то я приберег)<br />
и сумел<br />
восстановить<br />
его командой:<br />
<br />
$ sudo grep -a -A 100 -B 50 ‘MAKE REGULAR BACKUPS!’ /dev/sda2 > /tmp/recovered-file<br />
<br />
Правда,<br />
потребовалось<br />
просканировать<br />
весь раздел,<br />
и восстановленный<br />
вывод<br />
содержал<br />
лишние<br />
данные<br />
до и после<br />
самого<br />
файла,<br />
но после<br />
очистки<br />
в текстовом<br />
редакторе<br />
файл стал как новый.<br />
Конечно,<br />
данный<br />
метод<br />
будет<br />
работать,<br />
только<br />
если<br />
файл текстовый<br />
и есть хорошая<br />
уникальная<br />
строка<br />
для поиска.<br />
<br />
===Поиск файлов, недоступных другим утилитам===<br />
<br />
В поисках<br />
более<br />
методичных<br />
способов<br />
восстановления<br />
файлов<br />
мы найдем<br />
массу<br />
программ<br />
для Windows, но не так много для Linux.<br />
Я нашел<br />
пару<br />
утилит,<br />
''R-Linux'' (http://www.data-recovery-software.net) и ''Easeus'' (http://www.easeus-linuxrecovery.com). Обе могут<br />
восстанавливать<br />
удаленные<br />
файлы<br />
из файловых<br />
систем<br />
ext2/ext3, но<br />
работают<br />
только<br />
в Windows. Кроме<br />
того,<br />
существуют<br />
«резчики файлов» (file carvers) – программы,<br />
использующие<br />
известные<br />
заголовки<br />
и концовки<br />
различных<br />
типов<br />
документов<br />
для восстановления<br />
файлов<br />
на разрушенных<br />
или нечаянно<br />
отформатированных<br />
разделах,<br />
а также<br />
тех, что были<br />
случайно<br />
удалены<br />
(Заголовки<br />
и концовки<br />
файлов<br />
в данном<br />
контексте – по существу<br />
последовательности<br />
байтов<br />
в предсказуемых<br />
позициях<br />
внутри<br />
файла,<br />
которые<br />
определяют<br />
тип файла<br />
и позволяют<br />
«резчику» определить,<br />
где начинается<br />
и заканчивается<br />
файл). Это область<br />
компьютерной<br />
«судебной<br />
медицины», и многие<br />
из таких утилит,<br />
например,<br />
''Unrm'' и ''Lazarus'' (часть The ''Coroner Toolkit'' – см. http://www.porcupine.org/forensics/tct.html), ''Foremost'' (http://www.forensicswiki.org/wiki/Foremost) и ''Scalpel'' (http://www.digitalforensicssolutions.com/Scalpel) используются<br />
для раскрытия киберпреступлений.<br />
<br />
Я решил<br />
попробовать<br />
''Scalpel''. У него<br />
есть конфигурационный<br />
файл, где определены<br />
заголовки<br />
и концовки<br />
файлов<br />
для всех типов<br />
файлов.<br />
Раскомментировав<br />
нужные<br />
строки,<br />
можно<br />
выбрать<br />
типы<br />
файлов,<br />
которые<br />
будет<br />
искать<br />
''Scalpel''. Для проверки<br />
я скопировал<br />
PDF-файл на раздел<br />
размером<br />
10 ГБ и удалил<br />
его (там<br />
было<br />
много<br />
других<br />
файлов – раздел<br />
был заполнен<br />
на 15%).<br />
<br />
{{Врезка|Заголовок=Взгляд с другой стороны|Содержание=Если<br />
вас напугало,<br />
что приведенными<br />
здесь методами<br />
можно<br />
восстановить<br />
файлы,<br />
которые<br />
вы считали<br />
исчезнувшими<br />
навек,<br />
загляните<br />
на man-страницу<br />
''Shred'' – эта программа<br />
перезаписывает<br />
все блоки<br />
вашего<br />
файла<br />
случайными<br />
данными<br />
перед<br />
удалением<br />
(а можно<br />
и после<br />
него). ''Shred'' может<br />
перезаписать<br />
и целый<br />
раздел.|Ширина=200px}}<br />
<br />
В файле<br />
'''config''' я раскомментировал<br />
настройки<br />
для PDF, оставив<br />
остальное<br />
без изменений.<br />
Запустить<br />
''Scalpel'' было<br />
нетрудно:<br />
$ sudo scalpel -c /etc/scalpel/scalpel.conf -o scalpeldir /dev/sda2<br />
Scalpel version 1.60<br />
Written by Golden G. Richard III, based on Foremost 0.69.<br />
Opening target “/dev/sda2”<br />
Image file pass 1/2.<br />
/dev/sda2: 100.0% |********************************| 10.0 GB<br />
00:00 ETA<br />
Allocating work queues...<br />
Work queues allocation complete. Building carve lists...<br />
Carve lists built. Workload:<br />
pdf with header “\x25\x50\x44\x46” and footer “\x25\x45\x4f\x46\x0d” - - > 0 files<br />
pdf with header “\x25\x50\x44\x46” and footer “\x25\x45\x4f\x46\x0a” - - > 1 files<br />
Carving files from image.<br />
Image file pass 2/2.<br />
/dev/sda2: 100.0% |********************************| 10.0 GB<br />
00:00 ETA<br />
Processing of image file complete. Cleaning up...<br />
Done.<br />
Scalpel is done, files carved = 1, elapsed = 234 seconds.<br />
<br />
Как вы видите<br />
по выводу,<br />
потребовалось<br />
минуты<br />
четыре,<br />
чтобы<br />
просканировать<br />
раздел<br />
размером<br />
10 ГБ и найти<br />
мой (и единственный)<br />
PDF-файл, который<br />
был сохранен<br />
как '''/scalpeldir/pdf-1-0/00000000.pdf'''.<br />
<br />
===''PhotoRec''===<br />
<br />
Следует<br />
иметь в виду,<br />
что некоторые<br />
«резчики» найдут<br />
все файлы,<br />
а не только<br />
те, что были<br />
удалены.<br />
Я также<br />
попробовал<br />
программу<br />
''PhotoRec'' (http://www.cgsecurity.org/wiki/PhotoRec), задуманную<br />
как средство<br />
для восстановления<br />
изображений,<br />
удаленных<br />
с цифровых<br />
камер,<br />
но с тех пор она стала<br />
понимать<br />
и файлы<br />
других<br />
типов,<br />
превратившись<br />
в настоящий<br />
«резчик». Однако<br />
в ней нельзя<br />
ограничить<br />
перечень<br />
типов<br />
обнаруживаемых<br />
файлов,<br />
что приводит<br />
к огромному<br />
количеству<br />
результатов.<br />
Так, на моем<br />
разделе<br />
размером<br />
10 ГБ нашлось<br />
113 200 файлов.<br />
Хотя<br />
у них остались<br />
расширения,<br />
означающие<br />
тип распознанного<br />
файла,<br />
имена<br />
вроде<br />
'''f9712256.txt''' делают<br />
их по сути<br />
безымянными.<br />
Поэтому<br />
здесь бывает<br />
трудно<br />
отличить<br />
цифровые<br />
зерна<br />
от плевел.<br />
<br />
===Ох уж эти отговорки!===<br />
<br />
Краткий<br />
период<br />
своей<br />
жизни<br />
я работал<br />
менеджером<br />
по продукции<br />
в известной<br />
компании,<br />
занимающейся<br />
обучением<br />
в сфере<br />
ИТ. В мои функции<br />
входило<br />
управление<br />
авторами<br />
курсов,<br />
когда<br />
они сдавали<br />
свои новые<br />
материалы<br />
и ежегодные<br />
редакции.<br />
Приближающиеся<br />
сроки<br />
сдачи<br />
напрягали<br />
многих<br />
авторов,<br />
и я был в восторге<br />
от гаммы<br />
происшествий,<br />
регулярно<br />
приводивших<br />
к потере<br />
данных.<br />
«В мой компьютер<br />
ударила<br />
молния». «Я забыл<br />
свой ноутбук<br />
в метро». «Я думал,<br />
что уже отправил<br />
их, и удалил<br />
оригиналы». И мое любимое:<br />
«Мой двухлетний<br />
сын уронил<br />
жесткий<br />
диск в унитаз».</div>Crazy Rebel