主页 / unix / 问题

问题[data-recovery](unix)

Martin Hope
Daemon
Asked: 2024-02-08 07:09:40 +0800 CST
  • 5

在我的 ubuntu 系统上，我运行了一个命令，错误地将所有 jpg 文件移动到一个文件中

src_dir=$1
echo "src_dir: $src_dir"

for f in $src_dir/*; do
    if [ -f $f ]; then
        new_dir=$(date -r $f +"%b_%Y")
        if [ ! -d $new_dir ]; then
            mkdir $new_dir
        fi
        echo "File: $f "
        mv $f $src_dir/$new_dir
    fi
done

我尝试使用recoverJpeg和恢复我的 jpg 文件scalpel。这些工具能够恢复我很久以前删除的图像。但是我没有恢复任何使用 mv 命令移动的图像。

我知道这是一个长镜头，但是有什么办法可以恢复图像吗？

data-recovery
Martin Hope
sataoverflow
Asked: 2023-03-30 11:50:54 +0800 CST
  • 7

我现在知道这是一个愚蠢的决定，我尝试使用 windows 安装程序双启动 Windows 和 linux，在启动到 windows 安装程序后，我选择了 2 个大小约为 500GB 的克隆硬盘驱动器中的一个来擦除，因为它们是clone 如果我选择一个而不是另一个也没关系。

这样做之后，安装程序说它更改了其中一个 500GB 硬盘的分区表，然后无法安装 Windows。在没有复制文件的情况下因错误而崩溃，或者它说，当它说它甚至无法开始安装时，我不确定我是否可以信任它。

所以我启动到我的 linux 安装以检查它覆盖了哪个驱动器并手动安装它。相反，迎接我的是我的其他驱动器之一，一个 6TB dm-luks 和 btrfs 驱动器，丢失了。不仅两个 500GB 驱动器都没有动过，而且 6TB 驱动器似乎添加了一堆乱七八糟的分区。6个分区依次为499M、99M、499M、100M、499M、100M。

由于我的驱动器很大而且很慢，运行到目前为止hexdump -C /dev/sda |grep LUKS产生了这么多，我会在完成时更新：

8d411ce0  e1 ad 4c 55 4b 53 c0 85  22 3d de 49 dd 44 fd 08  |..LUKS.."=.I.D..|
e6449610  d5 cf 4a 86 9f cc 4c 55  4b 53 a9 a9 16 cc ba 1d  |..J...LUKS......|
446ea9a70  b3 db a9 bf 8b 2e 41 4c  55 4b 53 ef f0 75 b0 18  |......ALUKS..u..|
4732c6040  e0 b3 bb ff 4c 55 4b 53  4c c2 5b 12 c6 41 fc d6  |....LUKSL.[..A..|

到目前为止，自从发生这种情况以来，唯一接触过磁盘的是 hexdump，我对运行 testdisk 犹豫不决，因为我听说它会覆盖驱动器上的数据，并且它不会将 luks 列为它可以搜索的内容。

我可以看到其他人使用 hexdump 来检查完整的标头，但是，我不知道我到底在寻找什么。

此时我能做些什么来查看是否可以恢复标头的任何位。有没有办法运行 testdisk 或其他工具来查找 luks 标头以判断它们是否已被覆盖？任何让我知道是否一切都是 FUBAR 的方式都与恢复我的数据的方式一样受欢迎。

编辑

在没有 grep 的情况下在驱动器的第一位上运行 hexdump 显示至少有一些完整的 JSON，从到00005000显示00005310同样多，我更不确定我现在特别寻找的是什么以了解它是否仍然完好无损。它似乎覆盖了数据直到这个确切的字符串。

00005000  7b 22 6b 65 79 73 6c 6f  74 73 22 3a 7b 22 30 22  |{"keyslots":{"0"|
00005010  3a 7b 22 74 79 70 65 22  3a 22 6c 75 6b 73 32 22  |:{"type":"luks2"|

删除中间的数据，因为它包含盐，但块结束于：

000052f0  22 2c 22 6b 65 79 73 6c  6f 74 73 5f 73 69 7a 65  |","keyslots_size|
00005300  22 3a 22 31 36 37 34 34  34 34 38 22 7d 7d 00 00  |":"16744448"}}..|
00005310  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*

它完好无损吗？

data-recovery
Martin Hope
DentFuse
Asked: 2022-10-06 04:49:14 +0800 CST
  • 1

我有几个旧磁盘正在尝试复制到 HDD。一些磁盘运行良好，我可以使用mount和复制它们rsync，但是与旧磁盘一样，一些磁盘无法安装。我厌倦了dd用来制作它们的图像，然后跑去photorec把文件拿出来。这在一定程度上奏效了。我的文件已恢复，但我注意到dd某些驱动器仅复制了大约一半（4.7Gb 中的 1.5Gb）磁盘。这导致 photorec 只能恢复磁盘上大约一半的视频（有没有更好的方法从磁盘恢复这些文件？）

我想知道是否遇到了一些不可读的部分并dd停止复制，如果是这样，是否可以指示dd制作整个 4.7gb 磁盘的副本？

我运行的命令：dd if=input of=output

data-recovery dd
Martin Hope
Midnight
Asked: 2022-07-10 08:52:04 +0800 CST
  • 0

最近我电脑的电源坏了。我不知道这到底是怎么发生的，但我恢复了计算机的功能。我运行 PopOS 22.04 LTS Linux，我的操作系统也无法启动。我用可启动的 USB 修复了它。但是在启动时，我发现我的 2TB 数据硬盘也不见了。

它的分区已被替换为近 2TB 的“未分配空间”和一个 18MB 的 FAT12 Windows 分区（我忘记了它的实际名称，但我认为它类似于“Windows 磁盘管理”）。我确实在修复 Linux 之前意外启动了一次 Windows，因为我有一个双启动设置，我不知道 Windows 是否对它做了任何事情。

我之前的分区是 2TB 的 ext4 分区，仅此而已。它充满了数据，我认为数据仍然存在。从那以后我尝试的是（也许很愚蠢，我对此一无所知）添加一个分区，但是在看到我必须格式化分区以使其正常工作时，我停止了。我还尝试了 testdisk，它找到了一堆标记为 [Data] 的旧 Linux 分区，但当它报告分区太大而无法放入磁盘时最终失败。分区有通知''此分区在磁盘限制之后结束。''。这是我的 testdisk 日志文件的 hastebin：https ://www.toptal.com/developers/hastebin/ahetuwuquv.yaml

有什么方法可以恢复我的文件，或者让 testdisk 能够恢复我的分区或读取文件？提前致谢，如果我需要添加任何日志或信息，请告诉我。

data-recovery ext4
Martin Hope
DIGI Byte
Asked: 2022-06-05 03:46:59 +0800 CST
  • 0

我有一个固态硬盘，它出现了某种硬件故障，我可以 rma 它，因为它仍在保修期内，但他们的服务不包括数据恢复。我已经从中收集了我的工作文件，但我的个人文件和插件仍然存在，我想恢复它们。

问题... 带宽和总副本大小接缝成为一个问题。阅读太多，驱动器崩溃。到处报告坏扇区（错误）或关闭整个操作系统。所以我已经把驱动器放在一个外壳中，所以我可以热交换它，因为我怀疑内存缓冲区是问题所在。根据另一个问题here，我曾想过使用具有带宽限制的rsync，但我相信我需要错开复制过程以让缓冲区自行清除或冷却。

我需要一些脚本或工具来恢复丢失的数据。

ubuntu data-recovery
Martin Hope
AKG
Asked: 2022-01-30 09:46:09 +0800 CST
  • 1

我的外部 SSD 过去常常无缝安装，直到最近发生事件。此后，SSD 被系统识别，但在尝试挂载时，显示以下错误消息：“无法访问“MyDevice”操作已挂起”。fdisk -l输出

Device      Start        End    Sectors  Size Type
/dev/sdb1      34     262177     262144  128M Microsoft reserved
/dev/sdb2  264192 5860532223 5860268032  2,7T Microsoft basic data

Partition 1 does not start on physical sector boundary.

事件是tar -zvcf由于未知原因中断了对 SSD 上存档的持续压缩操作。

一些可能有用的背景信息：我有一台带有 Ubuntu 18.04 的联想 X280。

有没有办法解决这个问题或更好地诊断它，以便安装再次工作？

编辑：

dmesg输出以下内容：

[ 4062.536004] sd 1:0:0:0: [sdb] tag#0 FAILED Result: hostbyte=DID_OK driverbyte=DRIVER_SENSE
[ 4062.536011] sd 1:0:0:0: [sdb] tag#0 Sense Key : Illegal Request [current] 
[ 4062.536016] sd 1:0:0:0: [sdb] tag#0 Add. Sense: Invalid field in cdb
[ 4062.536021] sd 1:0:0:0: [sdb] tag#0 CDB: Read(16) 88 00 00 00 00 00 00 07 52 f9 00 00 00 01 00 00
[ 4062.536026] print_req_error: critical target error, dev sdb, sector 479993
[ 4062.536036] Buffer I/O error on dev sdb2, logical block 215801, async page read
data-recovery ssd
Martin Hope
Vlastimil Burián
Asked: 2021-12-10 09:42:56 +0800 CST
  • 0

停电，UPS 无法保持

这一切都始于我的小服务器机房，我需要ext4在 Debian GNU/Linux 11 (bullseye) 上使用 Gparted 缩小客户端的一个分区，(完全更新)：

Gparted 收缩分区 - 断电 - 中断

然后（由于大雪，我后来被告知）发生了停电，持续了几个小时，我的 UPS 无法承受这么长时间。由于未终止的 SSH 会话，我能够制作该图像。

电源已恢复

灾难恢复 - 步骤 #1

现在，电源已经恢复，到目前为止我所做的是一个非常长时间的运行e2fsck，之后我试图将硬盘放回她的笔记本电脑，导致内核崩溃。预料之中，但至少我试过了。?

灾难恢复 - 步骤 #2

  • 我没有为她的计算机制作任何最近的完整磁盘映像。

  • 但我timeshift-gtk在她的 Linux Mint 20.2 上使用该实用程序做了一张时移快照。在你的帮助下，我想从中恢复。

灾难恢复 - 步骤 #3（部分）

我预计，做复制不能用简单的cp -R. 我可以在这个布局上安装她的主分区：

# fdisk -l /dev/sdb

Disk /dev/sdb: 931.51 GiB, 1000204886016 bytes, 1953525168 sectors
Disk model: ST1000LM014-SSHD
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 4096 bytes
I/O size (minimum/optimal): 4096 bytes / 4096 bytes
Disklabel type: gpt
Disk identifier: C951EEE6-27F7-475C-B000-C23F38B7A190

Device      Start        End    Sectors   Size Type
/dev/sdb1    2048     194559     192512    94M EFI System
/dev/sdb2  194560 1953523711 1953329152 931.4G Linux filesystem

最值得注意的是，我能够得到她/etc/timeshift/timeshift.json：

# cat etc/timeshift/timeshift.json

{
  "backup_device_uuid" : "70f3734c-3f99-490e-84bf-382b67a1c6bc",
  "parent_device_uuid" : "",
  "do_first_run" : "false",
  "btrfs_mode" : "false",
  "include_btrfs_home_for_backup" : "false",
  "include_btrfs_home_for_restore" : "false",
  "stop_cron_emails" : "true",
  "btrfs_use_qgroup" : "true",
  "schedule_monthly" : "false",
  "schedule_weekly" : "false",
  "schedule_daily" : "false",
  "schedule_hourly" : "false",
  "schedule_boot" : "false",
  "count_monthly" : "2",
  "count_weekly" : "3",
  "count_daily" : "5",
  "count_hourly" : "6",
  "count_boot" : "5",
  "snapshot_size" : "5819856261",
  "snapshot_count" : "306936",
  "date_format" : "%Y-%m-%d_%H:%M:%S",
  "exclude" : [
    "+ /root/**",
    "+ /home/ruzena/**"
  ],
  "exclude-apps" : [
  ]

存储单元为：

# fdisk -l /dev/sdc

Disk /dev/sdc: 7.28 TiB, 8001563221504 bytes, 15628053167 sectors
Disk model: Expansion Desk  
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 4096 bytes
I/O size (minimum/optimal): 4096 bytes / 4096 bytes
Disklabel type: gpt
Disk identifier: 31C6FA70-A6CD-4EBA-8DD9-D07C90FA677D

Device          Start         End    Sectors  Size Type
/dev/sdc1        2048  7814158335 7814156288  3.6T Microsoft basic data
/dev/sdc2  7814158336 15628053133 7813894798  3.6T Linux filesystem

  • 请注意，我已将其设置为包罗万象。

  • 我有 1 个（一个）timeshift快照日期：2021-12-05 _14-38-56，她同意这是一个令人满意的恢复日期。

我现在头晕目眩，请问我们可以通过一些rsync复制命令来保存她的笔记本电脑吗？（我从来没有单独使用它，所以我的尝试可能比问你要花费更多的时间。）

我将等待 2 小时后回复，提前谢谢！

data-recovery rsync
Martin Hope
Lonnie Best
Asked: 2021-12-09 11:25:01 +0800 CST
  • 0

我有两个1TB NVMe SSD，它们使用LVM设置，两个驱动器组合起来（大致）组成一个 2TB 逻辑卷。

从这些驱动器启动的笔记本电脑已被送去维修，是否可以修复尚不确定。

与此同时，我想恢复数据并将其传输到更容易访问的地方（如外部硬盘驱动器）。

我怎样才能做到这一点？

我目前的想法是购买这两个NVMe 驱动器机箱，并将两个驱动器连接到同一台计算机。然后，使用Virtual Machine Manager将这两个 USB 设备共享到新创建的虚拟机。也许我可以从这些驱动器启动该虚拟机（就好像虚拟机是他们之前启动的笔记本电脑一样）。或者，也许我可以在虚拟机上安装一些 ISO 映像，至少可以看到 LVM 卷及其所有子分区。

这听起来可行吗？我以前从来没有这样做过，所以如果有任何建议可以帮助我避免一些跟踪和错误，我将不胜感激。

data-recovery lvm
Martin Hope
Ntakwetet
Asked: 2021-11-28 13:12:13 +0800 CST
  • 0

问题

我错误地从我/home/username的 with中删除了几个文件rm。我一按回车就意识到了错误，但是损坏已经造成。我立即创建了一个完整的磁盘映像sudo dd if=/dev/sda of=/media/username/external_drive/image.iso并将其复制到另一台 PC，并准备走一条很长的数据恢复之路。然后意识到我不知道从哪里开始。

我做了什么

我在网上阅读了一些指南，最终extundelete /dev/partition_to_recover_from --restore-directory /path/to/restore提出了最有希望的解决方案，所以我尝试了一下。

我遇到的第一个问题是我用 LUKS 加密了我的驱动器（在操作系统安装期间）并且必须解密它。经过一番研究，我使用以下命令准备了分区（这里我将实际卷组名称从实际值<my_pc_name>-vg更改为pc-vg）。

$ sudo kpartx -a -v image.iso # map the disk image partitions
add map loop0p1 (254:0): 0 997376 linear 7:0 2048
add map loop0p2 (254:1): 0 2 linear 7:0 1001470
add map loop0p5 (254:2): 0 975769600 linear 7:0 1001472

$ sudo cryptsetup luksOpen /dev/mapper/loop0p5 img # unlock the partition with my data
Enter passhprase for /dev/mapper/loop0p5:

$ lsblk
NAME                  MAJ:MIN RM   SIZE RO TYPE  MOUNTPOINT
loop0                   7:0    0 465,8G  0 loop
├─loop0p1             254:0    0   487M  0 part
├─loop0p2             254:1    0     1K  0 part
└─loop0p5             254:2    0 465,3G  0 part
  └─img               254:3    0 465,3G  0 crypt
    ├─pc--vg-root   254:4    0 464,3G  0 lvm
    └─pc--vg-swap_1 254:5    0   980M  0 lvm

[...omitting other lsblk output...]

$ sudo vgchange -a y pc-vg
  2 logical volume(s) in volume group "pc-vg" now active

然后尝试恢复

$ sudo extundelete /dev/mapper/pc--vg-root --restore-directory /home/username/path/to/restore
NOTICE: Extended attributes are not restored.
WARNING: EXT3_FEATURE_INCOMPAT_RECOVER is set.
The partition should be unmounted to undelete any files without further data loss.
If the partition is not currently mounted, this message indicates 
it was improperly unmounted, and you should run fsck before continuing.
If you decide to continue, extundelete may overwrite some of the deleted
files and make recovering those files impossible.  You should unmount the
file system and check it with fsck before using extundelete.
Would you like to continue? (y/n)

但是，该分区未安装并df确认。另外，sudo fsck -N只想对/dev/sdaX. 有疑问，我重新启动系统并重复上述步骤。我收到了完全相同的输出，考虑到我正在处理原始磁盘映像的副本（所以我有一个备份以防数据丢失），这次我回答了y。结果是：

$ sudo extundelete /dev/mapper/pc--vg-root --restore-directory /home/username/path/to/restore
NOTICE: Extended attributes are not restored.
WARNING: EXT3_FEATURE_INCOMPAT_RECOVER is set.
The partition should be unmounted to undelete any files without further data loss.
If the partition is not currently mounted, this message indicates 
it was improperly unmounted, and you should run fsck before continuing.
If you decide to continue, extundelete may overwrite some of the deleted
files and make recovering those files impossible.  You should unmount the
file system and check it with fsck before using extundelete.
Would you like to continue? (y/n) 
y
Loading filesystem metadata ... extundelete: Extended attribute has an invalid value length when trying to examine filesystem

我确实做了其他研究，但我不明白这意味着什么。

问题

我会尽量避免XY 问题。

我用来尝试恢复数据的方法是否正确？如果是这样，extundelete抱怨什么，我该如何解决？如果没有，我如何（尝试）从 Debian 中的 LUKS 加密磁盘恢复我的数据？

如果需要任何其他信息，请询问。

PS： «从您显然拥有的最近备份中恢复»是正确的答案，我知道 =)。

我确实在数据丢失前几天对我的家进行了完整备份（不是这样的 n00b），但是我丢失了超过 20 小时工作的产品，我想把它找回来。

更新

我尝试fsck使用我的数据在分区上运行，结果是

$ sudo fsck -r /dev/mapper/pc--vg-root
fsck from util-linux 2.36.1
e2fsck 1.46.2 (28-Feb-2021)
/dev/mapper/pc--vg-root: recovering journal
Clearing orphaned inode 7077927 (uid=1000, gid=1000, mode=0100600, size=0)
Clearing orphaned inode 7077925 (uid=1000, gid=1000, mode=0100600, size=65536)
Clearing orphaned inode 19794062 (uid=1000, gid=1000, mode=040775, size=4096)
Clearing orphaned inode 18366502 (uid=1000, gid=1000, mode=040755, size=4096)
Clearing orphaned inode 18366515 (uid=1000, gid=1000, mode=040755, size=4096)
Clearing orphaned inode 18366503 (uid=1000, gid=1000, mode=040755, size=4096)
Clearing orphaned inode 18366504 (uid=1000, gid=1000, mode=040755, size=4096)
Clearing orphaned inode 18366511 (uid=1000, gid=1000, mode=040755, size=4096)
Clearing orphaned inode 18366512 (uid=1000, gid=1000, mode=040755, size=4096)
Clearing orphaned inode 18351755 (uid=1000, gid=1000, mode=0100444, size=15383322)
Clearing orphaned inode 18351757 (uid=1000, gid=1000, mode=0100444, size=12832)
Clearing orphaned inode 18366521 (uid=1000, gid=1000, mode=040755, size=4096)
Clearing orphaned inode 7078039 (uid=1000, gid=1000, mode=0100600, size=0)
Clearing orphaned inode 7077945 (uid=1000, gid=1000, mode=0100600, size=65536)
Clearing orphaned inode 11927591 (uid=0, gid=0, mode=0100644, size=147932)
Clearing orphaned inode 18096551 (uid=0, gid=0, mode=0100644, size=2456)
Clearing orphaned inode 11535970 (uid=0, gid=0, mode=0100644, size=335240)
Setting free inodes count to 29879660 (was 29737485)
Setting free blocks count to 41417686 (was 20072881)
/dev/mapper/pc--vg-root: clean, 553620/30433280 files, 80298026/121715712 blocks
/dev/mapper/pc--vg-root: status 0, rss 6876, real 38.344677, user 0.482391, sys 0.290328

我不知道文件系统是如何工作的，但根据我对过去几个小时阅读的内容的理解，fsck 似乎刚刚删除了我试图恢复的数据？现在extundelete运行没有抱怨，但

$ sudo extundelete /dev/mapper/pc--vg-root --restore-directory /home/username/path/to/restore
NOTICE: Extended attributes are not restored.
Loading filesystem metadata ... 3715 groups loaded.
Loading journal descriptors ... 0 descriptors loaded.
Searching for recoverable inodes in directory /home/username/path/to/restore...
0 recoverable inodes found.
Looking through the directory structure for deleted files ... 
0 recoverable inodes still lost.
No files were undeleted.

我知道我无法恢复被覆盖的数据，但我错误地删除了超过 100GB，我认为在我创建磁盘映像之前它们不可能被全部覆盖dd......

debian data-recovery