ubuntuusers.de

Da is es passiert. rm -rf als root aufs falsches Verzeichnis und 400GB sind weg.

(ntfs Partition, Raid 1)

Ich habe inzwischen gefühlt alle Recoveryprogramme unter Windows durch und auch wenn Recuva und Co viele Dateiene gefunden haben, so wurde doch nicht eine Datei gefunden die durch meinen rm Befehl gelöscht wurde.

Mag mir jemand erklären was hier passiert ist und wie ich möglicherweise noch an die Daten komme? Genau genommen sind nur wenige Daten wichtig, die meisten hab ich als Backup.

Nix mehr drauf schreiben, also auch nicht von dem Datenträger (der Partition) booten. Dann ein Tool auf Dateisystemebene suchen, also google nach ntfs undelete. Dann findest du z.B. das nicht ganz unbekannte http://ntfsundelete.com/.

Benno-007 schrieb:

Nix mehr drauf schreiben, also auch nicht von dem Datenträger (der Partition) booten. Dann ein Tool auf Dateisystemebene suchen, also google nach ntfs undelete. Dann findest du z.B. das nicht ganz unbekannte http://ntfsundelete.com/.

ntfsundelete hab ich bereits ausprobiert.

Irgendetwas stimmt hier nicht.

Kein einziges Recoveryprogramm findet auch nur die Spur irgendeiner der durch rm gelöschten Dateien. Ich finde recht viele Dateien die teils vor Ewigkeiten gelöscht wurden, aber von den 400GB die durch rm gelöscht wurden gibt es keine Spur. Egal ob ich nach Strings in Dateinamen oder über die Dateigröße suche, kein einziges Programm findet etwas. Hier läuft doch was fundamental falsch. Es ist fast so als seien die 400GB forensich sicher überschrieben worden, was aber in den 10 Sekunden die der rm Befehl gebraucht hat auch nicht möglich wäre. Die Daten sind also noch auf der Platte aber wieso findet kein Programm sie? Wonach suchen diese Programme denn? Schauen die nur in den Listen nach? Ich habe mehrmals Stundenlange Scans laufen lassen in denen Zeit war die Platten bitweise zu untersuchen. Da muss doch was zu finden sein.

Schauen die nur in den Listen nach?

Normalerweise werden gelöschte Dateien nur markiert, z.B. durch Ersetzen des ersten Buchstabens durch das Sonderzeichen Fragezeichen. Sie werden überschrieben, sobald man den freien Speicher befüllt, als der diese Dateien ja nun auch zählen, da sie als gelöscht/ freie Blöcke markiert sind. Darum brauchen Dateisystem-basierte (!!!) Tools nur die Markierung entfernen - solange noch nichts überschrieben wurde.

Wenn das nicht mehr hilft, hilft nur noch blockweises Retten, wobei alle Dateinamen verlorengehen. Das geht mit photorec aus Paket testdisk: http://www.cgsecurity.org/wiki/PhotoRec_Schritt_f%C3%BCr_Schritt Sowas haben deine anderen Tools ja auch schon gemacht - danach musst du die Datenmassen nachbereiten, um dort relevante Dateien zu finden und zu ordnen: http://www.cgsecurity.org/wiki/After_Using_PhotoRec

Um welche Dateitypen und -endungen handelt es sich denn? Wie groß sind die Dateien? Welche sind dir unverzichtbar?