Foremost : data recovery
Zut ! Vous venez de supprimer tout un album de photos de votre dernière sauterie geek party ! Sous GNU/Linux, comment peut-on faire pour récuperer des données ? Un logiciel développé par les agents spéciaux Kris Kendall et Jesse Kornblum pour le service d’enquêtes spéciales de l’US Air Force (wow, c’est la classe 
) est fait pour ça. Son nom : Foremost.
Comment ça marche ? C’est très simple.
Quand vous supprimez un fichier, vous le ne supprimez pas vraiment. Seul le pointeur disparaît. Votre fichier est donc toujours physiquement présent sur votre disque dur. Ce sont les réécritures sur le disque qui auront raison de lui par la suite. Avec le temps et les multiples réécritures, les chances de récupérer un fichier s’amenuisent.
Prêt ? C’est parti !
# yum install foremost
ou
# aptitude install foremost
Foremost est installé. Maintenant, en fonction de la partition (partition de disque dur ou d’appareil photo, clé USB etc…) où se trouvaient vos données, on va demander à Foremost d’aller les trouver.
Audit simple. (Foremost écrira dans un fichier audit.txt ce qu’il peut récupérer)
# foremost -w -i /dev/sdb1 -o ~/audit/
Ici le man en ligne de Foremost.
Récupération de données. (exemple : fichiers .jpg)
# foremost -t jpg -i /dev/sdb1 -o ~/data/
Alors, heureux ? 
(si vous n’avez qu’une demie-image, ou un tout petit bout, c’est qu’elle se sera fait un peu écraser la tronche 
)
N.B : La photo illustrant l’article est mon oeuvre. ^^
English readers, you’ll find a good article about data recovery with Foremost. So, I redirect you on the Tombuntu’s website.
| Cette entrée a été posté par Kenshin le 5 juin 2010 à 22 h 41 min, et placée dans GNU/Linux. Vous pouvez suivre les réponses à cette entrée via RSS 2.0. Vous pouvez aller directement à la fin et laisser une réponse. Le ping n'est pas autorisé pour le moment. |
about 1 year ago
Une petite précision utile, quand on s’aperçoit de la « co…rie », la première chose à faire et de démonter le système de fichiers concerné, pour limiter les dégâts, et éviter que l’espace libéré soit vite réutilisé par le système.
D’ailleurs foremost travaille sur un « device » (donc pas sur un système de fichier monté)
+
about 1 year ago
Comme le dit Remi. Il est plus sûr de travailler sur une image du disque que sur le disque lui-même. les ewftools permettent de faire une acqusition du disque de donnée, puis de permettre l’analyse hors site pour la récupération.
Il existe aussi photorec et testdisk pour la récupération.
about 1 year ago
Merci pour vos remarques Ô grands manitous du forum Fedora-fr !
Seul petite question : Remi tu dis que Foremost travaille sur un device, et non sur une partition montée, pourtant je l’ai utilisé sur mon home (/dev/sdb1) et tout s’est bien passé.
J’avoue ne pas bien comprendre là.
about 1 year ago
sudo foremost -w -i /dev/sda5 -o ~/audit/
Processing: /dev/sda5
|*********WMV err num_header_objs=-1073683314 headerSize=1283430543591726241
********WMV err num_header_objs=-1 headerSize=18446744073709486080
(…)
***********************Erreur de segmentation
about 1 year ago
Erreur de segmentation pas de chance. ^^
about 1 year ago
Le problème vient du soft alors. Mais, mais, j’ai trouvé une faille ? Reste plus qu’à déterminer laquelle ^^