Was ist die Methode zur Datenwiederherstellung im Linux-System?

Tools: Hexedit, Fdisk

Die folgenden Vorgänge werden alle in der Root-Umgebung ausgeführt.

hexedit:

Unter Linux wird Hexedit häufig verwendet, um den Hexadezimalcode des Programms zu ändern. Fdisk wird hier nicht vorgestellt.

Lassen Sie uns nun in die Welt der Festplatten eintauchen und sehen, was die Festplatte mit den Daten macht.

Verwenden Sie zunächst Root-Rechte im Terminal, um den folgenden Befehl auszuführen:

Befehl: fdisk -l

/dev/sdb1 ist der heutige Protagonist. Auf dem Bild können Sie einige verwandte Daten deutlich erkennen, z Festplattengröße, Sektor, I/O-Größe usw.

Das Festplattenformat ist ext4, nicht die Formate vfat32 und NTFS auf MS. Fügen Sie am Ende des Artikels ein Bild von FAT32 ein.

Schritt***:

Führen Sie fdisk aus und verwenden Sie den Expertenmodus, um die Partitionstabelle zu sichern.

Die Partitionstabelle von ext4 ist sehr einfach. Im Allgemeinen ist die Backup-Partitionstabelle ext4.img. Um Datenbeschädigungen während der Wiederherstellung zu vermeiden, werden Sicherungen durchgeführt.

Schritt 2:

Führen Sie zunächst den Ausschneidebefehl auf Ziel-SDB1 aus und verschieben Sie die Dateien auf SDB1 auf die Festplatte des Computers. Öffnen Sie SDB1 nach Abschluss der Ausführung mit Hexedit.

Dateiname ausschneiden: usb.png

Befehl: hexedit -s /dev/sdb1

Sie können den Dateinamen und den Sektor, in dem er sich befindet, im Bild sehen. Haben Sie festgestellt, dass das Gerät von Das Bild ist sdc1? Aufgrund der automatischen Bereitstellung der Festplatte ändert sich der Entwickler, aber die Daten ändern sich nicht, wenn sich der Entwickler der Festplatte ändert. Der Dateiname wurde hier gefunden. Als nächstes müssen wir den Dateikopf finden.

Wie finde ich den Dateikopf? Sie können Hexedit verwenden, um eine Hex-Suche durchzuführen. Wenn Sie ASCII möchten, können Sie die Tabulatortaste drücken, um in den ASCII-Bereich zu wechseln.

Die Größe der Datei bestimmt die Anzahl der Sektoren, die die Datei auf der Festplatte belegt, 1 Sektor==512 Bytes. In der Abbildung sind der Dateikopfoffset und der Sektor dargestellt.

Extrahieren Sie den Hex-Wert und schreiben Sie ihn in die Datei.

Wiederhergestellte Bilder:

Es sieht sehr einfach aus, es ist nur ein einziger Dateischneidevorgang und die Datenwiederherstellung. Hier ist eine Erinnerung: Die auf der Festplatte gespeicherten Daten können nach dem Löschen nicht wiederhergestellt werden, aber die Daten, die ausgeschnitten wurden, können ebenfalls wiederhergestellt werden.

Sehen wir uns an, wie nach dem Löschen von Daten von der Festplatte vorgegangen wird:

Führen Sie den Löschbefehl auf der Festplatte aus, um eine Datei mit dem Namen 1.gif zu löschen

Im Bild sehen Sie die Änderungen vom Dateikopf zum Dateiendsektor, Kopfsektor: 264056, Endsektor: 264057, die Dateigröße beträgt 1 KB und das Bild ist sehr klein. Erstellen Sie eine neue Datei und führen Sie dann einen Löschvorgang durch, um die Änderungen der Festplattendaten anzuzeigen.

Dateikopfsektor: 264056, Endsektor: 264061, der erste gelöschte Dateikopfsektor: 264056, Endsektor: 264057, sodass Sie die erste gelöschte Datei sehen können. Die Daten werden dabei überschrieben die zweiten gelöschten Daten bleiben bestehen. Dieser Vorgang dient dazu, eine Datenwiederherstellung für eine einzelne Datei auf der Festplatte durchzuführen und die Datenänderungen auf der Festplatte zu demonstrieren. Schauen wir uns als Nächstes die Funktionsweise von Doppeldateien an. Es gibt zwei verschiedene Arten von Dateien auf der Festplatte.

Dateiname: partition.zip

Dateiname: cab.ico

Der Headersektor der ersten Datei ist 264056, Endsektor: 264058. Es wurde festgestellt, dass sich der Endsektor der ersten Datei um mehrere Sektoren vom Headersektor der zweiten Datei unterscheidet. Was ist also der Unterschied in der Mitte? Sie können sehen, dass der Unterschied in der Mitte groß ist gefüllt mit 00. Hier fassen wir die praktische Bedienung unter Linux zusammen:

Ext4-Dateisystem

Ausschneiden und Einfügen durchführen Dateiname: usb.png Sektor 67120

Dateikopf: Sektor 264064 Dateiende: Sektor 264076

Löschen ausführen

Dateiname : 1.gif Sektor 67112 (überschreiben)

Dateikopf: Anfang: Sektor 264056 Ende: Sektor 264057 (überschreiben) Dateiname: 56.jpg Sektor 67112

Dateikopf: Anfang: Sektor 264056 Ende: Sektor 264061

Beim Löschen einer einzelnen Datei werden die zuletzt gelöschten Daten überschrieben.

Speichern Sie die Datei Sektor: 264068.

Datenwiederherstellung: Wenn mehrere Dateien gelöscht werden, bleibt das gelöschte Daten-Hex im gelöschten Bereich erhalten. Wenn neue Dateidaten erstellt werden, wird das gelöschte Daten-Hex überschrieben.

Angehängtes Bild:

FAT32-Festplattenformatbild:

Das obige ist der detaillierte Inhalt vonWas ist die Methode zur Datenwiederherstellung im Linux-System?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!