¿Cómo recuperar archivos borrados en Linux usando la herramienta de recuperación de datos Scalpel?

Hay veces que por error borramos datos críticos. A veces sucede accidentalmente, pero cuando sucede, sé cómo duele. Recientemente usé el comando más peligroso en Linux “rm -rf *” y luego me di cuenta de que había sido un gran error. Hay muchas herramientas de recuperación de datos en el mercado, como Testdisk, Photorec, Safecopy y ddrescue. Así que no perdí la esperanza. Pero lo que es decepcionante es que Testdisk pudo recuperar los nombres de archivo correctamente pero sin contenido, Photorec no pudo recuperar archivos ".php" incluso después de agregar una extensión personalizada y sabe que Safecopy es una gran herramienta para recuperar datos de un disco duro dañado (mi caso es recuperar archivos borrados de un HDD en funcionamiento). Pasé algunas horas con cada una de las herramientas mencionadas anteriormente, pero no pude recuperar los datos. Bueno, no estoy cuestionando la funcionalidad de esas herramientas, ya que han sido útiles para muchos usuarios, pero de alguna manera no tuve éxito al usarlas. Finalmente, utilicé la herramienta de tallado o recuperación de datos "Scalpel". Hoy voy a compartir mi experiencia con Scalpel.

Nota:No estoy promocionando Scalpel, pero funcionó para mí. No hay garantía de que Scalpel recupere sus datos, pero al menos tiene una oportunidad. Así que veamos cómo usar Scalpel para recuperar archivos borrados en Linux.

Scalpel  es una herramienta rápida para tallar archivos que lee una base de datos de definiciones de encabezados y pies de página y extrae los archivos coincidentes de un conjunto de archivos de imágenes o archivos de dispositivos sin formato. La herramienta funcionará en cualquier plataforma Linux, incluidas las variantes basadas en Debian, Ubuntu y RedHat.

Paso 1: Si está utilizando Debian o Ubuntu, instálelo a través de apt-get.

apt-get install scalpel

Si está utilizando Linux basado en RedHat,

yum install scalpel

Paso 2: Una vez finalizada la instalación, intente ubicar el archivo de configuración del bisturí como se muestra a continuación.

Nota:En caso de que no encuentre el archivo de configuración en /etc/scalpel , luego intente buscar en /etc/ . Una vez que pueda encontrar el archivo, simplemente cree una carpeta llamada "bisturí ” en /etc y mueve el archivo a él.

Paso 3: Antes de usar Scalpel, tenemos que decirle a la herramienta qué tipo de archivos debe buscar. Por ejemplo, ya sean formatos PDF, JPG, PNG. Puede definir el formato de archivo requerido en /etc/scalpel/scalpel.conf . De forma predeterminada, todos los tipos de archivos están comentados.

Aquí, mi caso fue recuperar archivos PHP. Entonces, tendré que agregar el tipo de archivo manualmente como se muestra a continuación,

php y   50000   <?php           ?>

Paso 4: Cree el directorio de destino para copiar los archivos restaurados.

mkdir /mnt/tst/scalpel

Paso 5: Ejecute el comando Bisturí para restaurar los archivos como se muestra a continuación,

Nota:Scalpel no pudo identificar el archivo de configuración en mi máquina, así que tuve que mencionarlo explícitamente usando la opción '-c'. Puede que no sea necesario para todos. “/dev/sda2” es el dispositivo que tenía mis archivos.

El proceso de recuperación tomaría algunas horas dependiendo del tamaño de su dispositivo. Por ejemplo, tomó una hora y 15 minutos recuperar archivos PHP en un dispositivo que tenía un tamaño de alrededor de 250 GB.

Paso 6: Una vez que se complete el proceso de recuperación, consulte la carpeta de restauración. Se sorprenderá al ver que la herramienta no pudo recuperar los nombres de los archivos originales. Por ejemplo, en mi caso, los archivos y carpetas restaurados tenían el siguiente aspecto:

Pero tienes tu contenido escondido en algún lugar de esos directorios. Ahora, tendré que investigar un poco en esas carpetas recuperadas.

Paso 7: Intente buscar el texto que había codificado en los archivos originales. Por ejemplo, había usado la función "shell_exec" en mis archivos PHP. Entonces mi grepping es como se muestra a continuación,

grep -lr "shell_exec" *

Paso 8: Abra los archivos coincidentes para verificar el contenido. Había muchos archivos que coincidían con el patrón "shell_exec" (ya que he estado usando este servidor durante los últimos tres años y obviamente habría eliminado muchos archivos PHP), pero eso no importa siempre que pueda encontrar el correcto. expediente. Finalmente, pude recuperar mis archivos fuente de PHP sin pérdida de datos.

Espero que también puedas recuperarte de eliminaciones accidentales.