В данной статье рассматриваются средства восстановления данных в случаях:

1. повреждения (отказа) оборудования (физического повреждения носителей информаци);
2. искажения структуры хранения данных (удаление дисковых разделов, форматирование);
3. удаления данных (удаление файлов или каталогов);

В данной статье предполагается, что читатель знаком с основными типами файловых систем их особенностями их внутренней структуры.

GNU ddrescue: Копирование данных с повреждённых носителей

Инструмент GNU ddrescue (не путать с инструментом dd_rescue) копирует данные из одного (повреждённого) источника в другой, предпринимая максимально возможные усилия для максимально возможного извлечения данных.

Инструмент GNU ddrescue входит в дистрибутивы Astra Linux и может быть установлен командой:

Общий синтаксис вызова:

В качестве источника и приёмника могут быть использованы любые блочные устройства в любых сочетаниях: накопители (например, /dev/sdb), дисковые разделы (/dev/sdb1), файлы.

В параметрах вызова команды могут быть указаны (подробнее см. man ddrescue):

• -r N - количество повторных попыток чтения повреждённых блоков;
• -i NNN - начало зоны чтения;
• -d - прямое чтение без использования буферов ядра;
• -f - разрешение переписывать данные в приёмнике (используется для записи в приёмники, являющиеся устройствами).
• -n - быстрое чтение без фазы "выцарапывания" данных;
• -A - пометить все сбойные области как непрочитанные. Применяется для восстановления после потери источника и его последующего подключения.

Примеры:

Пример 1. Быстро копируем доступные данные с дискового накопителя /dev/sdh в файл-образ file.tmp используя карту map.tmp:

Копировать весь диск не обязательно, можно копировать отдельные дисковые разделы или даже только важные файлы (если они доступны, на повреждённом диске разделы и файлы могут не определяться).

Пример 3. Копирование отдельно дискового раздела /dev/sdb1 в новый дисковый раздел /dev/sdc1 (новый раздел должен быть создан заранее и иметь достаточный дла размещения данных размер). Команды отличаются от команд в предыдущем примере только названиями истоника и приёмника:

Можно указать смещение, с которого нужно продолжить копирование (для этого использовать информацию о выполненом копировании, полученную в предыдуще попытке копирования):

Можно продолжить копирование в обратном порядке:

Можно пометить сбойные области как непрочитанные для повторного чтения (рекомендуется при возобновлении копирования после потери диска):

Пакет testdisk: восстановление данных с повреждённых дисковых разделов

Пакет testdisk входит в дистрибутивы Astra Linux, по умолчанию не устаналивается, и может быть установлен командой:

• testdisk - восстановление повреждённой структуры дисковых разделов и повреждённой файловой структуры в этих разделах;
• photorec - поиск и извлечение видео и изображений из повреждённой файловой структуры путём прямого доступа к данным;

Инструмент testdisk

Инструмент testdisk выполяет анализ информации, хранящейся в заданном блочном устройстве, и пытается найти известные ему структуры данных (дисковые разделы, таблицы файлов, каталоги и пр.). В качестве устройства может использоваться диск (/dev/sdb), дисковый раздел (/dev/sdb1), или файл, содержащий образ диска или дискового раздела. Инструмент может:

• Исправлять ошибки в дисковых разделах и восстанавливать удалённые разделы;
• Восстанавливать загрузочные секторы FAT32/NTFS из резервной копии;
• Пересобирать загрузочные секторы FAT12/FAT16/FAT32/NTFS;
• Исправлять таблицы FAT;
• Исправлять таблицы MFT используя зеркала MFT;
• Обнаруживать резервные суперблоки ext2/ext3/ext4;
• Восстанавливать удалённые файлы в FAT/exFAT/NTFS/ext2;
• Копировать файлы из удалённых дисковых разделов FAT/exFAT/NTFS/ext2/ext3/ext4.

Инструмент использует текстовый псевдографический интерфейс.

Пример. Для примера используется образ дискового накопителя в файле file.tmp, сделанный с помощью инструмента ddrescue (см. предыдущую главу). Команда:

Инструмент photorec

Инструмент photorec не использует файловую структуру, а анализирует непосредственно содержимое заданного устройства, пытаясь по содержимому определить известные ему типы файлов и извлечь их. При таком способе извлечения не сохраняются названия файлов, которые придётся восстанавливать анализируя восстановленные файлы. Как и testdisk, инструмент использует текстовый псевдографический интерфейс, и  может быть запущен из командной строки командой:

После запуска инструмента выводится информация о заданном носителе:

TestDisk 7.1, Data Recovery Utility, July 2019
Christophe GRENIER <grenier@cgsecurity.org>
https://www.cgsecurity.org

TestDisk is free software, and
comes with ABSOLUTELY NO WARRANTY.

Select a media (use Arrow keys, then press Enter):
>Disk file.tmp - 80 GB / 74 GiB


>[Proceed ] [ Quit ]

Note: Disk capacity must be correctly detected for a successful recovery.
If a disk listed above has an incorrect size, check HD jumper settings and BIOS
detection, and install the latest OS patches and disk drivers.

Для продолжения нажать Enter, после чего будут предложены варианты действий с носителем:

TestDisk 7.1, Data Recovery Utility, July 2019
Christophe GRENIER <grenier@cgsecurity.org>
https://www.cgsecurity.org


Disk file.tmp - 80 GB / 74 GiB

Please select the partition table type, press Enter when done.
[Intel ] Intel/PC partition
[EFI GPT] EFI GPT partition map (Mac i386, some x86_64...)
[Humax ] Humax partition table
[Mac ] Apple partition map (legacy)
>[None ] Non partitioned media
[Sun ] Sun Solaris partition
[XBox ] XBox partition
[Return ] Return to disk selection



Hint: None partition table type has been detected.

В рассматриваемом примере testdisk определил, что ему преложено работать с носителем без дисковых разделов ("Non partitioned media"). Более общим случаем является диск, 

Инструмент extundelete