Home Menu Search

Saqwel

IT and other things blog

Восстановить удаленные файлы

Share

Однажды приключилась со мной незадача. По глупости удалил все данные с диска нехитрым создание lvm поверх раздела ext3. На разделе хранились важные резервные копии. Знаю, что существуют программы, которые достаточно просто восстанавливают данные, так как сами по себе они не удаляются, вместо удаления пространство, где находятся якобы удаленные файлы помечается как свободное, и операционная система спокойно записывает новые файлы поверх якобы удалённых. Единственная проблема, что большинство этих программ платные, о них много информации в интернете и, считается, что они качественнее восстанавливают удалённые файлы, по сравнению с бесплатными. Первым делом я, конечно, воспользовался всеми известной и самой популярной программой для восстановления данных, однако, поиск удалённых файлов по файловой системе ext3 не дал особых результатов. Была найдена лишь часть уничтоженных папок и файлов, к тому же программа не смогла восстановить структуру каталогов.

Тогда я снова принялся искать бесплатную программу способную восстановить удалённые файлы с ext3 раздела. И, наконец, на одном из форумов наткнулся на упоминание о программе для восстановления данных Autopsy от The Sleuth Kit®. Она то меня и спасла. Оказалось, что восстановить удалённые файлы проще простого. Конечно, она не восстановила 100%, однако результат показала лучше, чем хваленая R-Studio.

Ниже опишу как пользоваться Autopsy от The Sleuth Kit®

Скачать Autopsy можно на сайте The Sleuth Kit®. Доступны 64- и 32-битная версии.

Установка тривиальна. Запускать Autopsy необходимо от имени администратора, иначе на шаге выбора жесткого диска для сканирования программа зависнет.

  1. После запуска открывается окно с предложением открыть новый кейс или открыть ранее созданные. Выбирать «Create New Case».
  2. В окне «New Case Information» указать имя кейса и папку, в которой будет создана папка с именем кейса и туда уже будет сохраняться вся информация по данному кейсу. Нажать кнопку Next.
  3. Затем указать необязательную информацию – номер кейса и указать, кто завёл кейс, можно оставить пустым. Нажать кнопку Finish.
  4. В окне «Add Data Source» необходимо указать источник, с которого необходимо восстановить удалённые файлы. Есть три варианта: Image File – файл образа жесткого диска, Local Disk – разделы жесткого диска или жесткий диск целиком, Logical File – как я понял, любой файл. Последний вариант, скорее всего, подойдёт для восстановления внутренней структуры файла базы данных или виртуального жесткого диска. В большинстве случаев нужно восстановить удалённые файлы непосредственно с раздела жесткого диска, поэтому выбрать Logical Disk и необходимый раздел. Нажать кнопку Next.
  5. Следующее окно отображает список дополнительных модулей, которые необходимо использовать во время сканирования. Так как изобретатели программы позиционируют свой продукт как программу для проведения расследований, то и инструменты тут соответствующие. Они нас мало интересуют, поэтому можно отключить их все для ускорения процесса сканирования. Нажать кнопку Next.
  6. Дальше в окне программы отображается предупреждение, что источник с которого будет произведено сканирование добавлен в локальную базу данных и файлы будут проанализированы. В этот момент анализ уже начался.
  7. Во время анализа постоянно появляется уведомление об ошибке чтения образа файла, но на неё можно не обращать внимания.

    После завершения сканирования необходимо в левой части окна найти то, что необходимо восстановить. На скриншоте ниже видно, что в результате сканирования по разделу C: был найден файл изображения, явно удаленный ранее. Для того, чтобы восстановить удалённые файлы, необходимо выделить необходимые файлы и в контекстном меню выбрать Extract File(s).

    Если вы даже закроете программу, результаты сканирования в любом случае уже сохранены в базе данных в папке с кейсом, поэтому, открыв программу в следующий раз, не надо будет производить новое сканирование, а лишь открыть этот же кейс и восстановить удаленные файлы из результатов уже проведённого сканирования.

    Надеюсь эта программа поможет и вам восстановить удаленные файлы.

Leave a Reply