# geloeschte dateien von ext3 festplatte wiederherstellen

## pieter_parker

ich hab grad ungewollt ein verzeichnis mit unterverzeichnissen und dateien geloescht was aber nicht weg sollte

wie kann ich es wieder herstellen ?

geloescht habe ich es mit dem midnight commer, das dateiensystem der festplatte ist ext3Last edited by pieter_parker on Sun Jan 20, 2008 11:52 am; edited 1 time in total

----------

## pieter_parker

hab auf einer ext3 platte mit dem mc was geloescht was nicht weg sollte, mit welchem programm kann ich es wieder herstellen ?

----------

## schachti

Ein Mal reicht doch!

https://forums.gentoo.org/viewtopic-t-648377.html

----------

## pieter_parker

ja, bin verzweifelt weil ich nicht weiter weiss und ueber die suche hier und google konnte ich nichts in erfahrung bringen was mir weiter hilft die wichtigen dateien wieder herzustellen

http://linux.sys-con.com/read/117909.htm

bis ls -d komme ich, das verzeichnis was ich geloescht hatte sehe ich dort, aber weiter komme ich auch nicht

das wichtigste befindet sich in .txt dateien

daher versuche ich grep -a -B200 -A600 "wortausdemtext" /dev/sdc1 >/tmp/recovered

aber da hab ich jetzt eine 75mb datei, und er ist schon seit 45 minuten dran, die festplatte ist 500gig gross

edit

die genauen dateinamen weiss ich noch, auch bruchteile aus dem inhalt

----------

## think4urs11

 *schachti wrote:*   

> Ein Mal reicht doch! https://forums.gentoo.org/viewtopic-t-648377.html

 

Beide Threads wieder zusammengeklebt

----------

## pieter_parker

grep -a -B200 -A600 "wortausdemtext" /dev/sdc1 >/tmp/recovered 

funktioniert, einen kleinen teil der mir wichtigen daten die in .txt form waren habe ich wieder

ist nur eine ganz schoen aufwenige loesung eine 500gig festplatte von anfang bis ende durch suchen zulassen

es wird viel zeit kosten und nochmal viel zeit mit eienm editor die .txt sachen wieder in ordnung zubekommen, aber es koennte funktionieren

nur was mache ich mit den daten die nicht in .txt form vorliegen?

habe da z.b. eine .xls excel datei von openoffice und noch ein haufen anderer dateien

wie kann ich die daten auf einfachstem wege wieder herstellen, sie scheinen ja immer noch dazu seien, und die festplatte ist nicht meine boot/system platte .. und nach dem versehentlichen loeschen wurde auf der platte nichts mehr geschrieben, habe sie danach weggemountet

:edit

ist es mit grep moeglich einmal die 500gig durchlaufen zulassen und wenn er das wort/woerter 

"hans hat heute im wald gespielt"

"morgen scheint die sonne"

"marco fuchs"

findet gesondert jeweils in eine datei ablegt mit 1000 zeilen davor und 1000 zeilen danach

so muesste ich nicht jedesmal die 500gig daten durchlaufen lassen .. scheint immerhin fast 2std zudauern (sind weit aus mehr als 3 sachen die ich suche)

----------

## pieter_parker

oder ist es moeglich nur von der haelfte bis ende von /dev/sdc1 durchlaufen zulassen ?

----------

## Earthwings

Die grep-Lösung bitte hier weiter diskutieren.

Edit: Um die Datei/Platte nur teilweise auszulesen, kannst es zB. in Kombination mit ner sed bzw. dd Pipe machen:

```
sed '1,5000d' /dev/sdc | grep ...
```

um die ersten 5000 Zeilen zu überspringen oder

```
dd if=/dev/sdc ibs=1024 skip=5000 | grep ...
```

um die ersten 5000 1 Kb Blöcke zu überspringen.

----------

## think4urs11

 *pieter_parker wrote:*   

> oder ist es moeglich nur von der haelfte bis ende von /dev/sdc1 durchlaufen zulassen ?

 

klar, mittels dd kannst du genau festlegen welcher Teil ausgelesen werden soll

man dd sagt: skip=blöcke     Überspringen von 'blöcke' Blocks der Größe 'ibs' beim Beginn der Eingabe.

oder auf deutsch: dd if=/hdc1 ibs=1024 skip=<halbe anzahl blocks von sdc1> | grep foo

und um skip-Wert zu ermitteln: echo `sfdisk -s /dev/sdc1`/2 | bc

 *Earthwings wrote:*   

> 
> 
> ```
> sed '1,5000d' /dev/sdc | grep ...
> ```
> ...

 

Bei Dateien mit binärem Inhalt (wie einer HD-Partition zu erwarten) klappt das eher nicht, jedenfalls kaum wie erwartet  :Wink: 

----------

## pieter_parker

ihr passt beide gut auf was wo gepostet wird  :) 

danke fuer die tips

wenn auf einer ext3 festplatte etwas geloescht wird, wird das inhaltverzeichnis wo die datei war mit 0en beschrieben, so ganz habe ich das nicht verstanden was ich in den letzten stunden durchgelesen habe

aber welchen vorteil hat das ? es erschwert doch nur das wiederherstellen oder macht es fast unmoeglich, soll das der sinn bei ext3 sein ?

----------

## schachti

 *pieter_parker wrote:*   

> 
> 
> wenn auf einer ext3 festplatte etwas geloescht wird, wird das inhaltverzeichnis wo die datei war mit 0en beschrieben, so ganz habe ich das nicht verstanden was ich in den letzten stunden durchgelesen habe
> 
> aber welchen vorteil hat das ? es erschwert doch nur das wiederherstellen oder macht es fast unmoeglich, soll das der sinn sein ?

 

Siehe http://batleth.sapienti-sat.org/projects/FAQs/ext3-faq.html:

 *Quote:*   

> 
> 
> In order to ensure that ext3 can safely resume an unlink after a crash, it actually zeros out the block pointers in the inode, whereas
> 
> ext2 just marks these blocks as unused in the block bitmaps and marks the inode as "deleted" and leaves the block pointers alone.
> ...

 

(Hervorhebung von mir). Es geht also darum, das Dateisystem nach einem Crash einfacher/sicherer reparieren zu können.

----------

## pieter_parker

ja, aber warum wurde bei ext3 nichts eingebaut um (z.b. versehntlich) geloeschte dateien auf einfache art wieder herstellen zukoennen ?

----------

## think4urs11

 *pieter_parker wrote:*   

> ja, aber warum wurde bei ext3 nichts eingebaut um (z.b. versehntlich) geloeschte dateien auf einfache art wieder herstellen zukoennen ?

 

auch wenn du das jetzt sicher nicht hören willst - weil das eigentlich nicht Job eines Filesystems ist.

Wahrscheinlich weil die Entwickler (richtigerweise) davon ausgingen das die User über ein Backup verfügen (sollten).

Dafür wurde in den letzten Jahren ja das Konzept des Papierkorbs von Windows übernommen - als eine Art Fangnetz/doppelter Boden für User dieses Backup nicht haben. Wer allerdings via 'rm' löscht hat davon nichts.

----------

## pieter_parker

bei mir war das backup schuld am datenverlust, koennte man sagen :-/

nur gut das ich erst das verzeichnis umbenannt habe mit dem anhang __alt (war das neue), das neue (alte) dann hinkopiert habe, und dann das __alt (neue) geloescht habe

so konnte ich wenigstens das wichtigste mit dem grep auf sdc retten was in .txt dateien war

:edit

http://www.stellarinfo.com/de/linux-datenrettung.htm

hat jemmand damit schon gearbeitet und kann etwas zu sagen ?

----------

## Carlo

Unter app-forensics/ finden sich ein paar Tools. Sollte /home (ich vermute mal, darum geht es!?) nicht auf einer eigenen Partition residieren, solltest du natürlich nichts mehr ändern, installieren oder das System auch nur weiterlaufen lassen, sondern Stecker ziehen und von einem Rettungs-Medium booten, direkt auf das Gerät zugreifen und auf einem anderen Medium sichern.

----------

## pieter_parker

nee, geht nicht um /home

auf meiner dritten platte (sdc1) ist was weg was nicht weg sein sollte

im windows habe ich stellar phoenix linux laufen lassen, das programm scant 2 stunden die platte von vorne bis hinten durch

(2std .. so lange hatte das mit dem grep auf /dev/sdc1 auch gedauert)

aber zeigt mir nix von den geloeschten verzeichnissen und dateien an

ist die demo version die ich habe, und die demo ist wie die vollversion, nur ohne die wiederherstellungsfunktionen

----------

## schachti

Ich denke, ohne extrem großen Zeit- oder Geldaufwand wirst Du nicht an die Daten kommen. Falls es unter den Daten, die gelöscht wurden und von denen kein Backup existiert, einige sehr wichtige waren, kannst Du versuchen, sie zu retten - falls jedoch relativ viele Daten wichtig waren, bist Du bei einem professionellen Datenrettungsunternehmen besser aufgehoben.

----------

## pieter_parker

irgnedwie kann ich das nicht so recht verstehen warum es kein programm gibt mit dem sich geloeschte daten auf einer ext3 platte auf halbwegs unkompliziertem weg wieder herstellen lassen

dieses stellar phpenix kostet um die 60 euro, das waere ich bereit auszugeben .. nur bringt es mir nichts wenn es die platte zwar scannt, aber mir nichts von den geloeschten dateien und verzeichnissen anzeigt

----------

## schachti

Das liegt halt daran, dass es nicht möglich ist, die Daten umkompliziert wiederherzustellen. Anders als zum Beispiel bei FAT (dort wird gelöscht, indem einfach nur der Verzeichniseintrag gelöscht wird) bedeutet löschen bei ext3 eben wirklich löschen (zwar werden die Daten nicht überschrieben, aber zumindest die Dateisystemstrukturen, die nötig sind, um auf die Daten zugreifen zu können).

----------

## pieter_parker

mit ls -ld in debufs kann ich datum und uhrzeit sehen, wie aber kann ich in ein geloeschtes verzeichnis wechseln und mir dort von den geloeschten dateien und verzeichnissen datum und uhrzeit anzeigen

das wuerde mir einen kleinen schrit weiterhelfen...

:edit

da ich die exakten dateienamen, verzeichnis/unterverzeichnis(e) und die ca groesse einer jedendatei weiss.. ist es da nicht moeglich die einfach aus /dev/sdc1 rauszufischen ?

----------

## schachti

 *pieter_parker wrote:*   

> da ich die exakten dateienamen, verzeichnis/unterverzeichnis(e) und die ca groesse einer jedendatei weiss.. ist es da nicht moeglich die einfach aus /dev/sdc1 rauszufischen ?

 

Eine Voraussetzung dafür wäre, dass die Dateien nicht fragmentiert sind. Sobald eine Datei fragmentiert ist, mußt Du Dir die Einzelteile in der richtigen Reihenfolge von verschiedenen Stellen der Festplatte heraussuchen.

----------

## pieter_parker

ja, das stimmt .. das koennte dann schwierig werden

ich sehe in debugfs wenn ich ls -d mache ein verzeichnis das geloescht ist, wie kann ich in dieses verzeichnis wechseln ?

----------

## root_tux_linux

Versuchs mit Testdisk oder Stellar Phoenix Linux (kostenpflichtig).

Also ich hab super erfahrung mit Stellar Phoenix Linux gemacht und ist das Geld wert.  :Smile: 

----------

## pieter_parker

bin derzeit wieder im linux, nicht mehr im windows .. das programm scheint es nur fuer windows zugeben?

werkzeuge .. verlorene dateien irgendwas, irgendwie so hiess die option die ich genommen hatte

er scannt 2 stunden die platte von vorne bis hinten durch aber zeigt danach keine von den geloeschten dateien an

----------

