ext3grep - DebianとUbuntuで削除されたファイルを回復する


ext3grepはEXT3ファイルシステム上のファイルを回復するためのシンプルなプログラムです。これはフォレンジックス調査に役立つ調査および回復ツールです。パーティションに存在していたファイルに関する情報を表示したり、誤って削除されたファイルを回復したりするのに役立ちます。

この記事では、DebianとUbuntuでext3grepを使用して、ext3ファイルシステム上の誤って削除されたファイルを回復するのに役立つ便利なトリックを紹介します。

  • Device name: /dev/sdb1
  • Mount point: /mnt/TEST_DRIVE
  • Filesystem type: EXT3

ext3grepツールを使用して削除されたファイルを回復する方法

削除されたファイルを回復するには、最初にあなたはあなたのUbuntuまたはDebianシステムに ext3grep プログラムをインストールする必要があります。

$ sudo apt install ext3grep

インストールが完了したら、今度はext3ファイルシステムで削除されたファイルを回復する方法を説明します。

まず、ext3パーティション/デバイスのマウントポイント/mnt/TEST_DRIVE にテスト用のファイルをいくつか作成します。つまり、この場合は/dev/sdb1 です。

$ cd /mnt/TEST_DRIVE
$ sudo touch files[1-5]
$ ls -l

それではext3パーティションのマウントポイント/mnt/TEST_DRIVE から file5 というファイルを削除します。

$ sudo rm file5

今、私たちはどのようにターゲットパーティション上の ext3grep のプログラムを使用して削除されたファイルを回復する方法を見るでしょう。まず、上記のマウントポイントからアンマウントする必要があります(アンマウント操作を機能させるには、cdコマンドを使用して別のディレクトリに切り替える必要があります。その目標はビジーです。“)。

$ cd
$sudo umount /mnt/TEST_DRIVE

ファイルの1つを削除したので(これは誤って行われたと想定します)、デバイスに存在するすべてのファイルを表示するには、 --dump-name オプションを実行します(replace /dev/sdb1 と実際のデバイス名)

$ ext3grep --dump-name /dev/sdb1

上記の削除されたファイル、つまり file5 を復元するには、次に示すように --restore-all オプションを使用します。

$ ext3grep --restore-all /dev/sdb1

復元処理が完了すると、復元されたファイルはすべて RESTORED_FILES ディレクトリに書き込まれます。削除したファイルが復元されたかどうかを確認できます。

$ cd RESTORED_FILES
$ ls 

たとえば file5 という名前のファイル(またはext3デバイス内のファイルのフルパスを指定する)など、回復するファイルを指定します。

$ ext3grep --restore-file file5 /dev/sdb1 
OR
$ ext3grep --restore-file /path/to/some/file /dev/sdb1 

また、一定期間内にファイルを復元することもできます。たとえば、表示されているように正しい日付と時刻のフレームを指定します。

$ ext3grep --restore-all --after `date -d 'Jan 1 2019 9:00am' '+%s'` --before `date -d 'Jan 5 2019 00:00am' '+%s'` /dev/sdb1 

詳細については、ext3grepのmanページを参照してください。

$ man ext3grep

それでおしまい! ext3grep は、ext3ファイルシステム上の削除されたファイルを調査して回復するためのシンプルで便利なツールです。それはLinux上でファイルを回復するための最良のプログラムの一つです。質問や意見がありましたら、下記のフィードバックフォームからお問い合わせください。