Wiederherstellung unter ext3

[Prince of Maine]

Möchte mich erkundigen, was euch so an Datenrettungsmöglichkeiten für Linux/ext3 bekannt sind?
Habe in der Konsole mit rm den Inhalt einer ganzen Partition gelöscht.


Ich selbst habe bisher folgendes probiert:

- debugfs
- e2undel
- recover
- photorec

Debugfs ist super kompliziert. Ein ls -d zeigt mir meine verlorenen Daten an. Schonmal gut. Aber das Zurückholen ist wie gesagt sehr anspruchsvoll.

E2undel sagt nur, wieviele inodes da sind, und dass keine gelöschten Daten gefunden wurden.

Recover macht keinen Mucks.

Photorec sieht sehr vielversprechend aus und läuft bei mir noch eine Weile durch. Leider kann Photorec aber nicht alle Dateiformate erkennen.


Gibt es nicht sowas wie Get Data Back für Linux? Das war unter Windows gut. Recover It All ist irgendwie noch nicht zu bekommen.


Edit: Hat jemand Erfahrung mit Foremost und Autopsy/Sleuthkit?

 

[Fiona]

Es gibt Shareware für Ext3.
Versuche mal zuerst den Sleuth Kit als command line tool mit der grafischen Oberfläche (Dateibrowser) von Autopsy.

Teile mal das Ergebnis mit.

Viele Grüße

Fiona

 

[Prince of Maine]

Wie heißt denn die Shareware?

Das mit Sleuthkit hat sich bei mir wohl erledigt. Grund ist Photorec, über das ich jetzt etwas sauer bin. Ich habe noch nie erlebt, dass ein Programm zur Datenwiederherstellung die Daten direkt auf dem zu untersuchenden Datenträger ungefragt wiederherstellt.

READ-ONLY!!! Die Wiederherstellung auf einem dritten Datenträger! Unglaublich.

Toll, jetzt habe ich lauter Datenmüll. Glaube nicht, dass ich noch was finde, wenn ich was anderes drüberlaufen lasse.

Bin mit Sleuthkit/Autopsy zuvor nicht weit gekommen. Habe das mit dem Image nicht verstanden. Soll ich vorher mit diskdump ein Image des Datenträgers erstellen? Die Dokumentation auf der Homepage ist schlecht.
Dann müßte ich mir ja eine neue Platte kaufen. Das sind 60 Gig.

 

[Mueli]

Ich würde das Image der Partitionen mit dd in ein Filesystem auf einer sauberen Disk machen, diese Images kannst Du dann wie Partitionen / Filesysteme mounten und mit den Tools bearbeiten.

 

[Fiona]

Ich habe noch nie erlebt, dass ein Programm zur Datenwiederherstellung die Daten direkt auf dem zu untersuchenden Datenträger ungefragt wiederherstellt.

Photorec arbeitet nur lesend auf den Datenträger von dem wiederhergestellt wird.
Das gewählte Laufwerk von dem du die Daten wiederherstellen möchtest, wurde bereits vor zwei Versionen auf RO (Read only) gestellt.
Dieses kannst du explizit sehen, wenn du Photorec startest und zur Laufwerksauswahl kommst, das rechts neben jedem Laufwerk RO steht!
Speziell weil eine Anfrage war, und ein user versucht hatte, seine Daten direkt auf dem Datenträger von dem die Daten gesichert werden sollten, wiederherzustellen.
Wenn dort was anderes sein sollte, dann gebe mir bitte mal die Infos!
Wäre wohl der Hammer und sehr wichtig, wenn du mir diese Infos zur Verfügung stellen könntest.
Ist somit etwas was ich so noch nicht gesehen habe.
Wenn das Dateisystem beschädigt ist, kann darauf normal nicht geschrieben werden?
Photorec stellt standard im Testdisk-Ordner die Dateien wiederher.
Auch kannst du den Pfad zu einem intakten Laufwerk setzen.

Teile es mir mal mit.

Gibt sicherlich kommerzielle Programme die als Shareware um die 50 $ Daten von Ext3 wiederherstellen können.

Viele Grüße

Fiona

 

[Prince of Maine]

Ich denke, die Antwort ist ganz einfach. Debian Etch verwendet eben noch so eine ältere Version. Ich wußte nicht, dass es nötig ist, eine neuere Version erst runterzuladen.

Jetzt habe ich den Salat.

Du kennst also diese kommerziellen Programme nicht mir Namen?

 

[Fiona]

Leider weiß ich immer noch nicht genau, was Photorec an deinem Laufwerk geändert haben soll.
Hattest du versucht direkt auf dem betreffenden Laufwerk die Daten wiederherzustellen und auch Photorec darauf kopiert?
Photorec kopiert die Dateien immer in den Testdisk-Ordner.
Dabei wird ein Ordner mit Name recup_dir erstellt.
Erst ab der Version Photorec und Testdisk 6.5 ist es möglich den Pfad auf ein anders intaktes Laufwerk zu ändern.
Normal und vorher wurde immer davon ausgegangen, das Anwender wissen, das auf einem Laufwerk von dem Daten wiederhergestellt werden, nicht geschrieben werden soll.
Der scan war schon immer lesend.
Es gibt auch eine aktuelle RPM.
In den letzten neueren Versionen ist ein riesiger Anteil an Dateiformaten zugefügt worden.
Siehe Liste;
http://www.cgsecurity.org/wiki/Wiederherstellbare_Dateiformate_unter_PhotoRec
Problem im Moment ist noch mit fragmentierten Dateien.
Ist oft bei Freeware üblich, das die vielleicht nicht richtig funktionieren.
Aber in jeder Release gibt es bereits Verbesserungen.

Hier ist mal ein Link zu relativ günstiger Ext3-Datenrettungssoftware;
http://www.recoveryourdata.com/linux-data-recovery.html

Sicherlich gibt es massig mehr.

Teile es mal mit.

Viele Grüße

Fiona

 

[Prince of Maine]

Ich habe von einer anderen Partition aus Debian Etch gebootet (Kanotix) und einfach photorec eingegeben. Sah aus wie testdisk. Ich konnte als einzige Einstellung auch nur festlegen, welche Partition gescannt werden soll. Dann legte er für mehrere Stunden los. Dachte, es sei der Scanvorgang. Was denn sonst?

Das Ergebnis ist bekannt. Er legte sich Ordner an und in ihnen war alles, was er so meinte gefunden zu haben. Die verwendetet Version war 6.5. Das war wohl der Fehler, also debianintern.