Восстановление файлов в OpenSolaris

Иногда бывает так, что мы удаляем файлы, которые потом оказываются нам нужны. К счастью при удалении файла его содержимое на носителе данных сразу не уничтожается и, следовательно, может быть восстановлено.

В OpenSolaris для восстановления файлов можно использовать программу «The Sleuth Kit».

Исходники можно скачать по этой ссылке: скачать The Sleuth Kit

Процедура сборки стандартная:

./configure
make
pfexec make install


Список поддерживаемых файловых систем можно посмотреть командой:

$ /usr/local/bin/icat -f list
Supported file system types:
ntfs (NTFS)
fat (FAT (Auto Detection))
ext (ExtX (Auto Detection))
iso9660 (ISO9660 CD)
ufs (UFS (Auto Detection))
raw (Raw Data)
swap (Swap Space)
fat12 (FAT12)
fat16 (FAT16)
fat32 (FAT32)
ext2 (Ext2)
ext3 (Ext3)
ufs1 (UFS1)
ufs2 (UFS2)


Для восстановления данных на носителе информации необходимо определить имя файла его устройства. В случае флешки это делается так:


$ rmformat
Looking for devices...
1. Logical Node: /dev/rdsk/c21t0d0p0
Physical Node: /pci@0,0/pci1458,5004@2/storage@3/disk@0,0
Connected Device: LEXAR DIGITAL FILM /W1.
Device Type: Removable
Bus: USB
Size: 123,0 MB
Label:
Access permissions: Medium is not write protected.


Так как файловые системы создаются на устройствах из /dev/dsk/ и обычно на устройстве создается раздел, то имя нужного нам файла формируется заменой /rdsk/ на /dsk/ и p0 на p1.

Полученное имя файла будет параметром для команды, выдающей список удаленных файлов на файловой системе.

$ /usr/local/bin/fls -rd /dev/dsk/c21t0d0p1
r/r * 4: _CA.PDF
r/r * 7: _OC~1
r/r * 9: _1~1.DOC
r/r * 12: _~1.DOC
r/r * 14: _SERS
r/r * 16: _APITAL
r/r * 19: _DF~1
r/r * 22: _PT~1
d/d * 23: _
r/r * 1416965: _/_.txt
r/r * 1416968: _/_1025_~1.DOC
r/r * 1416971: _/_1025_~1.PDF
r/r * 1416973: _/_OG
r/r * 1416975: _/_OCALT~1.GZ
r/r * 1416977: _/_ILLER~1.C
r/r * 1416980: _/_PPOED~1.BZ2
r/r * 1416983: _/_VERKA~1.DOC
r/r * 1416986: _/_OC~1
r/r * 1416989: _/_DF~1
r/r * 1416991: _/_S~1
r/r * 1416994: _/_VI~1
r/r * 1416998: _/_DT~1
r/r * 1417001: _/_OC~2
r/r * 1417003: _/_~1.BMP
r/r * 26: _OC~2
r/r * 28: _ILLER
r/r * 32: _OC~3
r/r * 35: _LUSTE~1.DOC
r/r * 37: _1
r/r * 42: _B_212~1.PDF
r/r * 44: _FP


Если мы хотим восстановить последний файл из списка, то для этого следует ввести команду:

/usr/local/bin/icat -r -f fat /dev/dsk/c21t0d0p1 44 >11


Файл с именем 11 будет хранить содержимое удаленного файла.