Recupero file su partizione ntfs in seguito a rm -r

[Claxme]

Ho fatto un guaio che non sto riuscendo a risolvere!

Premetto che io uso VirtualBox ed ho (avevo ) diverse macchine virtuali in una certella in una partizione NTFS.
Visto che per default Virtual Box crea i nuovi dischi nella home ho pensato bene di chreare un link simbolico che puntasse alla cartella sulla partizione NTSF.

Il poblema e' che dopo aver creato il link mi sono accorto che il link puntava alla cartella "padre" della cartella con le immagini.
cosi, per rimuovere il link simbolico ho dato il comando:

 rm nomelinksimbolico

mi ha dato errore e cosi ho dato:

 rm nomelinksimbolico -r

mi ha ridato errore (diceva che non si trattava di una directory) ed ho ridato:

 rm nomelinksimbolico -r

poi mi sono reso conto (troppo tardi!) che avevo cancellato il contenuto di tutta la directory sulla partizione ntfs!!!

da allora sto evitando di accedere alla partizione se non in lettura (sto usando una distro live per scrivere). Premetto che ho provato gi' ad usare alcuni software di recupero tra cui testdisk che pero' non rilevano file cancellati nella cartella incriminata.
Ma la loro scansione per rilevare file cancellati e' troppo veloce per pensare che davvero controlli tutto alla ricerca dei file perduti (in passato ho usato ontrack easy recovery per lavoro, e ci mette una vita per fare la scansione) la mia domanda e':
visto che i file sono sicuro che sono sul disco e che sono integri come faccio a recuperarli?

Esiste qualche utility linux davvero valida e che funzioni anche per partizioni ntfs?

VI PREGO AIUTATEMI !!!

[steff]

photorec non testdisk, ma non so se trova dischi virtuali.

[Claxme]

Ma sono files come gli altri ... solo che molto + grandi della media ...

[Avantasia]

Non disperarti i file non vengono mai cancellati del tutto dal disco :-) anche quando fai elimina!

Il pc cambia il nome del file e lo lascia nel disco "nascondendolo ai nostri occhi" finchè nn ci riscrive sopra; è quindi possibile recuperare i dati.
Se cerchi su google troverai sicuramente una guida, con programmi dedicati, per fare queste cose :-)

[Claxme]

Lo so e ti ringrazio per il sostegno, il problema è che finora tutti i software che ho usato non hanno trovato nulla (che mi serve).
Ho anche usato Ontrack Easy Recovery 6.10 che avevo già usato al lavoro con buoni risultati ma stavolta non sembra trovare i files che mi interessano.

Ho 2 grossi dubbi, il primo è che i file sono troppo grossi (dovrebbero superare tutti i 4gb) e che questo non piace ai software di recupero che ho usato finora.
L'altro è che ho usato rm -r sul link simbolico anziché direttamente sul la dir e che questo in qualche modo abbia cambiato la situazione. (ma qui forse è una stupidaggine)

In ogni caso i file devono essere li perché dopo la cancellazione ho chiuso tutti i software che potessero usare la partizione incriminata in scrittura e non ho più scritto nulla sulla stessa!

[Claxme]

Ho appena finito la scansione con photorec 6.11 lanciato da una knoppix live e non mi ha trovato i files .vdi di virtual box !!!

Qualcuno ha qualche altra idea?

[LupoGrigio]

Potresti provare ntfsundelete, un programma contenuto nel pacchetto ntfsprogs.
Auguri.

[Mattia300]

Ho appena finito la scansione con photorec 6.11 lanciato da una knoppix live e non mi ha trovato i files .vdi di virtual box !!!

Qualcuno ha qualche altra idea?

scusami, ma quali sono le estenzioni dei file che hai cancellato? quali opzioni hai tenuto spuntati in photorec?

se ho capito bene la tua richiesta, prova a tenere spuntate le estenzioni "vmdk" e "diskimage"

[Claxme]

Ho lasciato i defaults che già includevano vmdk e diskimage per le opzoioni file, quello che mi lascia qualche dubbio è che in options i default lasciavano "expert mode" e "keep corrupted files" su "no" e non so se mettendo a "yes" sarebbe cambiato qualcosa.
In ogni caso non credo che i file siano corrotti (sicuramente non tutti) visto che sono stato subito attento a non toccare in scrittura la partizione.

Per quanto riguarda le estensioni di virtualbox sono file .VDI e tutti i file dovrebbero superare i 4 GB.

Ora provo con ntfsundelete (ma devo vedere prima come funziona per non far danni) ...

[Claxme]

Ciao a tutti ho dato il seg. comando:

Codice: Seleziona tutto

# ntfsundelete /dev/sda5 -s -S 1g-10g

ed ho ottenuto il seg. risultato:

Codice: Seleziona tutto

Inode    Flags  %age  Date           Size  Filename
---------------------------------------------------------------
49       FN.!    23%  1970-01-01 1073739776  <none>
98       FN.!    27%  2010-01-03 5497717248  <none>
29734    FN.!    14%  2010-01-16 4960846336  <none>
61096    FN..   100%  2010-02-25 1562444288  <none>
61120    FN.!    10%  2010-02-24 5390762496  <none>
62254    FN..   100%  2008-09-22 1751756201  <none>
71790    FN..   100%  2010-02-23 6427795968  <none>

Files with potentially recoverable content: 7

Visto che ritengo che si tratti dei file che devo recuperare, la domanda è come procedo? Tenendo presente che non voglio che ntfsundelete scriva niente sulla partizione finché non verifico il contenuto del recupero e vorrei salvare i file su un disco usb esterno.

[Claxme]

Ciao sono ancora in panne, mi chiedo se do il comando:

Codice: Seleziona tutto

# ntfsundelete /dev/sda5 -u 61096 -o os1.vdi -d /media/disco_usb

fa quello che penso?
Ovvero: recupera il file che comincia all'inode 61096, lo chiama os1.vdi e lo copia in /media/disco_usb.
Il tutto non scrivendo nulla sul disco origine.

[LupoGrigio]

Devi mettere -i davanti al numero di inode,cosi:

Codice: Seleziona tutto

# ntfsundelete /dev/sda5 -u -i 61096 -o os1.vdi -d /media/disco_usb

Riguardo al fatto che possa scrivere sulla partizione, la pagina man di ntfsundelete dice che non lo fa mai:

  Notes
      ntfsundelete only ever reads from the NTFS Volume.  ntfsundelete  will
      never change the volume.

 

[Claxme]

Grazie!

Sono riuscito a recuperare i 3 files dati che risultavano al 100%!
Purtroppo quelli dati con percentuali più basse non sono stati recuperati come faccio per recuperare anche quelli? ... sempre in considerazione del fatto che (quasi) sicuramente non sono stati sovrascritti ...

Da quello che ho potuto capire la percentuale di recupero dipende dalla frammentazione del file, quindi il software di recupero dovrebbe fare una scansione (lunga) del disco per individuare i vari pezzi e ricostruire il file da recuperare, sapete come procedere, anche in virtù del fatto che ora conosco l'inode iniziale dei file?

[Claxme]

Purtroppo devo dire che, dopo tanti tentativi e diversi giorni spesi per il recupero (tentato anche con ontrack da windows), seppur a malincuore, ho dovuto gettare la spugna, per gli altri files.

In ogni caso ho recuperato il 90% di quello che mi interessava recuperare.

Grazie a tutti quelli che mi hanno aiutato.

L'esperienza mi ha illuminato alcuni aspetti che voglio condividere:
1) i file recuperati sembrano quelli che non avevano subito frammentazioni quindi deframmentare le partizioni ntfs (che servono per condividere gli stessi dati con Windows) con una certa frequenza, dovrebbe portare anche ad avere una maggior sicurezza di recupero in caso di problemi come il mio.
2) Attivare un sistema di backup (ovvio!) In particolare ho individuato "Back in time" che dovrebbe essere l'equivalente del "time machine" per Mac o dei punti di ripristino di Windows. Al momento sto studiando il software per evitare che mi mangi tutto il disco. (altrimenti uso rsync da solo su un disco esterno).

Se avete altre idee su come recuperare dati sono ben accette (ma spero di non averne più bisogno).

Infine una domanda collegata al punto 1: esiste un software per deframmentare ntfs senza dover necessariamente passare per windows?

[Mattia300]

non conosco nessun programma che chiedi tu, ma comunque per fare dei backup periodici puoi utilizzare gli strumenti che sono già a disposizione su ubuntu, senza installare programmi esterni:

AmministrazioneSistema/Cron

[Claxme]

Ciao ti ringrazio per la risposta ma parlavo di rsync a ragione, perché ha una caratteristica che lo rende interessante (almeno da come ho capito), ovvero nei backup incrementali a differenza dei concorrenti che di solito salvano i file modificati "per intero",  rsync sembra sia in grado di salvare solo le variazioni al file.

Questo vuol dire che se si ha sotto backup un file di 4 gb al quale, dopo l'ultimo backup, sono stati modificati 10 byte al centro, mentre un normale software di backup risalverà l'intero file (che risulterà modificato) occupando quindi nuovi 4gb nel backup (che anche se compressi sono sempre 4gb), rsync invece, più o meno, salverà nel backup solo i 10byte modificati.
Questo permette di risparmiare tempo e megabyte

... ma niente per deframmentare ntfs?

[Mattia300]

sotto linux non saprei, ti conviene farlo da windows.

[nosadello]

anche io dovrei recuperare dei dati da un disco esterno in NTFS, do il comando (molto semplice per ora...)

ntfsundelete -s /dev/sdc

ma mi tornano questi messaggi d'errore...

Error opening partition device: Permesso negato.
Failed to startup volume: Permesso negato.
Failed to mount '/dev/sdc': Permesso negato

come posso fare???

[steff]

Non ho idea cosa fa quel programma, intanto fai anche un backup se ci sono altri file importanti.

Detto questo direi che devi eseguirlo con sudo, e forse devi mettere anche sdb1 o sdb2 secondo la partizione che è, non su tutto il disco. Stai attento.

[nosadello]

è un disco esterno tutto NTFS ... unica partizione e gestore disco mi da /dev/sdc come nome del disco