rm -rf und Daten wiederherstellen

U

Universe

Active Member
Einen schoenen guten Abend,


versehentlich habe ich unter ~/unterhaltung/musik/* ein rm -rf gemacht... .
Ich habe zwar ein Backup, aber dieses steht mir erst naechste Woche zur Verfuegung.

Ist es moeglich diese Daten wiederher zu stellen? Ich habe aus Erinnerung im Kopf das wenn man die Daten nicht ueberschreibt, sie wiederherstellen kann.

Ich bin fuer jede Hilfe dankbar.

Schoenes WE,
john

EDIT: Ich versuche es gerade mit testdisk
 
Zuletzt bearbeitet:
Ich habe da leider keine direkten Ideen aber in jedem Fall sofort die Festplatte unmounten bzw. den PC ausschalten, denn ansonsten können deine gelöschten Dateien überschrieben werden und dann sind sie in jedem Fall weg.

Du könntest dann die Platte read-only mounten und mit dd oder so ein Image davon machen. Mit dem Image könnte man dann ein bisschen rumprobieren.
 
Ich verstehe nicht ganz. Wird das Wiederhertellen alleine schon daran scheitern das ueberhaupt ein Kopiervorgang etc. ueber dem Stammverzeichnis getaetigt wurde? Oder nur wenn ich in den selben Pfad kopiert oder eine Datei erstellt habe? Hat das vielleicht etwas mit den Inodes zu tun? :confused:

Danke sehr fuer deine Antwort!
 
Zuletzt bearbeitet:
Testdisk ist ein Datenscanner. Er läuft die Festplatte von vorn nach hinten ab, analysiert die Daten auf bekannte Muster hin und versucht mit deren Hilfe Dateien aus der Suppe zu extrahieren. Das funktioniert weitgehend dateisystemunabhängig, Das Verfahren scheitert aber, wenn Dateien fragmentiert wurden oder teilweise überschrieben. Testdisk hat für beide Fälle Mittel und Wege sie zu erkennen und wenn möglich auszugleichen, aber das funktioniert prinzipbedingt nur eingeschränkt.

FFS hat nun den Vorteil, eine nach heutigen Maßstäben extrem simple Struktur auf der Platte selbst zu nutzen. Dateien und Verzeichnisse werden durch Inodes repräsentiert, die Position von Inodes ist vorgegeben und verändert sich nicht. Unter zwei Bedingungen sind Dateien daher relativ sicher wiederherstellbar:
- Die Inode ist nur dereferenziert, aber noch nicht anderweitig genutzt. Da man meist hundert Mal mehr Inodes als benötigt zur Verfügung hat, sind die Chancen gut.
- Die Nutzdaten sind noch nicht überschrieben. Hängt hauptsächlich von der Nutzung nach der Katastrophe ab, je weniger Platz frei ist umso geringer werden die Chancen.
Man kann sich die Inodes (etwas Verständnis der internen Strukturen des FFS) per dem Dateisystemdebugger fsdb(8) suchen und die dahinter liegenden Daten extrahieren. In den Ports gibt es auch noch ffs2recov, was es automatisiert. Beide Tools sollte man aber nur auf ein Image der Platte anwenden, um sich das Original nicht zu schrotten.
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben