¤³¤Î¥Ú¡¼¥¸¤ÏÂçºåÊÛ²½¥Õ¥£¥ë¥¿¤Ë¤è¤Ã¤ÆËÝÌõÀ¸À®¤µ¤ì¤¿¤ó¤Ç¤¹¤ï¡£

dans le but de rñÄupñÓer des fichiers supprimñÔ depuis un systïÎe de fichiers ext2fs. Il contient ñÈalement une petite discussion sur les maniïÓes de commencer par ñ×iter de supprimer des fichiers.

Mon but est naturellement d'en faire une rñÇñÓence utile la rñÄupñÓation de fichiers sous Linux exige certaines connaissances techniques, ainsi que de la persñ×ñÓance, au moins dans l'ñÕat actuel des choses.

Il vous sera impossible de rñÄupñÓer des fichiers supprimñÔ depuis un systïÎe de fichiers ext2 sans au moins un accïÔ sachant que je ne connais rien du format de fichier JFIF j'ai vraiment fait ce que j'ai pu).

Je discuterai plus bas du taux de rñÄupñÓation que vous pouvez espñÓer pour les fichiers supprimñÔ.

1.1 Historique des rñ×isions

Les rñ×isions de ce document (en version anglaise, NdT) dñÍivrñÆs au public, ainsi que leurs dates de publication, sont les suivantes :

v1.0, 18 janvier 1997 ;
v1.1, 23 juillet 1997 (voir NouveautñÔ v1.1) ;
v1.2, 4 ao? 1997 (voir NouveautñÔ v1.2) ;
v1.3, 2 fñ×rier 1999 (voir NouveautñÔ v1.3).

NouveautñÔ de la version 1.1

d'autres langages (y compris HTML et LaTeX) pour un affichage et une impression simples et pratiques. Cela a pour avantage une belle typographie, dans le cas d'une ñÅition papier ; de plus, le document contient des rñÇñÓences et des liens bien commodes si vous le consultez sur le Web.

NouveautñÔ de la version 1.2

Cette rñ×ision est plut? une augmentation. Elle inclut principalement des modifications proposñÆs devrait óÕre disponible au format texte auprïÔ du site du Linux Documentation Project (et ses miroirs). La derniïÓe version est ñÈalement disponible sur ma page sous divers formats :

source SGML, tel que je l'ai ñÄrit ;
sur votre ordinateur. Pensez au chamboulement dans votre vie si vous ñÕiez victime d'une panne de disque catastrophique, ou -- pire encore ! -- si un cracker nettoyait votre disque sans vergogne. Ce n'est pas si improbable ; j'ai correspondu avec un bon nombre de gens placñÔ dans une telle situation. J'exhorte les utilisateurs sensñÔ de Linux de sortir acheter un pñÓiphñÓique de sauvegarde, de planifier leurs sauvegardes dans un emploi du temps digne de ce nom et de s'y conformer. Bibliographie et remerciements).

En l'absence de sauvegardes, que faire (en fait, móÎe en prñÔence de sauvegardes : dans le cas de donnñÆs importantes, la ceinture et les bretelles, ce n'est pas du luxe) ?

Essayez de donner aux fichiers importants les droits 440 (ou moins) : ne pas vous laisser les droits en ñÄriture provoque une demande de confirmation explicite de rm avant la destruction (mais si je veux supprimer rñÄursivement un rñÑertoire avec rm -r, j'interromprai le programme dïÔ la premiïÓe ou deuxiïÎe demande de confirmation pour relancer la commande avec rm -rf).

Un bon truc, pour les fichiers importants, est de crñÆr un lien en tant que root quelque chose comme :
# mkdir /.backup # ln /etc/passwd /.backup
Il est alors assez difficile de supprimer complïÕement le contenu du fichier : si vous dites
# rm /etc/passwd
alors
# ln /.backup/passwd /etc
permettra de le rñÄupñÓer. Naturellement, cela ne couvre pas le cas Red Hat le font par dñÇaut pour tous les utilisateurs, y compris root. En ce qui me concerne, je ne supporte pas les logiciels incapables de tourner tous seuls, je ne le fais donc pas. Par ailleurs, un jour ou l'autre, un paquetage qui manipulerait une destruction Ž« recyclable Ž» en fournissant une commande qui ne s'appellerait pas rm. Pour plus de dñÕails, voir Peek et al (1993) (voir la section Bibliographie et remerciements). quand quelqu'un veut ñÄrire sur le disque. Donc, quand le systïÎe d'exploitation reíÐit l'ordre de supprimer un fichier, il suppose libres les blocs utilisñÔ par ce fichier au moment d'allouer de nouveau de la place pour un nouveau fichier (c'est un exemple typique d'un principe gñÏñÓal d'Unix : le noyau et les outils associñÔ supposent que les utilisateurs ne sont pas des idiots). En gñÏñÓal, plus votre machine est utilisñÆ, moins vous avez de chances de rñÄupñÓer vos fichiers avec succïÔ.
presque 94 % des fichiers, intacts (et il s'agissait de fichiers binaires, notez bien). Si vous obtenez plus de 80 %, vous pouvez óÕre plut? content de vous.

4. Bon, alors comment je rñÄupïÓe un fichier ?

La procñÅure consiste principalement en la recherche de donnñÆs se trouvent les donnñÆs dans la partition et de les ñÄrire dans un nouveau fichier.

Vous devez suivre plusieurs ñÕapes avant de commencer votre tentative de rñÄupñÓation ; voir les sections DñÎonter le systïÎe de fichiers, Obtenir des dñÕails sur les inodes, RñÄupñÓer des blocs de donnñÆs et Modifier les inodes directement.
fichiers supprimñÔ soient dans la partition /usr, tapez :
# umount /usr
Vous pouvez cependant avoir besoin de garder certaines donnñÆs disponibles dans /usr. Dans ce cas, remontez-le en mode lecture seule :
# mount -o ro,remount /usr
Si les fichiers supprimñÔ ñÕaient dans la partition racine, vous devrez ajouter une option -n, afin d'empóÄher que l'opñÓation de montage ne dñÄlenche une ñÄriture dans /etc/mtab :
# mount -n -o ro,remount /
IndñÑendamment de tout cela, il est possible qu'un autre processus
Si vous sentez que vous devez le faire de cette maniïÓe, je vous conseille de copier les donnñÆs de la partition en mode caractïÓe dans une autre partition, puis monter le tout en utilisant le pñÓiphñÓique boucle (loopback device) :
# cp /dev/hda5 /root/working # mount -t ext2 -o loop /root/working /mnt
(Notez que les anciennes versions de mount peuvent avoir des problïÎes aucun problïÎe : crñÆz simplement un nouveau rñÑertoire dans l'une d'entre elles.

Si vous n'avez qu'une partition racine dans laquelle vous fourrez tout, íÂ risque d'óÕre un poil plus dñÍicat. Peut-óÕre avez-vous une partition MS-DOS ou Windows que vous pourriez utiliser ? Ou vous avez le gestionnaire ramdisk dans votre noyau, peut-óÕre en module ? Pour utiliser le ramdisk (en supposant que votre noyau soit plus rñÄent que 1.3.48), tapez les commandes suivantes :
# dd if=/dev/zero of=/dev/ram0 bs=1k count=2048 # mke2fs -v -m 0 /dev/ram0 2048 # mount -t ext2 /dev/ram0 /mnt
Cela a pour effet de crñÆr un volume ramdisk de 2 Mo, et de le monter en /mnt.

Un petit mot d'avertissement : si vous utilisez kerneld (ou son remplaíÂnt kmod avec les noyaux 2.2.x et les derniers 2.1.x) pour charger et dñÄharger automatiquement les modules du noyau,
Si vous avez un lecteur Zip, Jaz, ou LS-120, ou quelque chose d'ñÒuivalent, il s'agit probablement d'une bonne place pour une partition de secours. Sinon, il faudra faire avec les disquettes.

Une autre chose dont vous devriez avoir besoin est un programme capable de lire les donnñÆs nñÄessaires en plein milieu ma page, ou sur Metalab (et ses miroirs). Si vous souhaitez utiliser cette mñÕhode, la suite
Si vous avez besoin de fsgrab mais n'en voulez pas, il est fort simple de traduire une ligne de commande avec fsgrab en une avec dd. Si on a

fsgrab -c count -s skip device

alors la commande dd correpondante (et gñÏñÓalement beaucoup plus lente) est

dd bs=1k if=device count=count skip=skip

garantie, consultez la section No Warranty dans le fichier COPYING inclus dans la distribution (li s'agit de la GPL, la licence publique gñÏñÓale GNU).

8. Trouver les inodes supprimñÔ
le nom du pñÓiphñÓique sur lequel le systïÎe de fichiers rñÔide :
# debugfs /dev/hda5
Si vous souhaitez modifier les inodes directement, ajoutez une option $PAGER). Maintenant vous aurez envie d'en sauver une copie autre part. Si vous avez less, vous pouvez taper -o suivi du nom du fichier qui devra contenir le rñÔultat. Sinon, vous devrez vous arranger pour envoyer la sortie ailleurs. Essayez ceci :
debugfs: quit # echo lsdel | debugfs /dev/hda5 > lsdel.out
Maintenant, d'aprïÔ la date et l'heure de la suppression, la taille, bien garde en allant póÄher dans la liste.

Je vous suggïÓe, autant que possible, d'imprimer la liste des inodes que vous voulez rñÄupñÓer. Cela vous facilitera nettement la vie.

9. Obtenir des dñÕails sur les inodes
debugfs: stat <148003> Inode: 148003 Type: regular Mode: 0644 Flags: 0x0 Version: 1 User: 503 Group: 100 Size: 6065 File ACL: 0 Directory ACL: 0 Links: 0 Blockcount: 12 Fragment: Address: 0 Number: 0 Size: 0 ctime: 0x31a9a574 -- Mon May 27 13:52:04 1996 atime: 0x31a21dd1 -- Tue May 21 20:47:29 1996 mtime: 0x313bf4d7 -- Tue Mar 5 08:01:27 1996 dtime: 0x31a9a574 -- Mon May 27 13:52:04 1996 BLOCKS: 594810 594811 594814 594815 594816 594817 TOTAL: 6 et stats contient la sortie de toutes les commandes stat. 10. RñÄupñÓer les blocs de donnñÆs
Cette partie est soit trïÔ facile, soit nettement moins, selon que debugfs: stat <148003> Inode: 148003 Type: regular Mode: 0644 Flags: 0x0 Version: 1 User: 503 Group: 100 Size: 6065 File ACL: 0 Directory ACL: 0 Links: 0 Blockcount: 12 Fragment: Address: 0 Number: 0 Size: 0 ctime: 0x31a9a574 -- Mon May 27 13:52:04 1996 atime: 0x31a21dd1 -- Tue May 21 20:47:29 1996 mtime: 0x313bf4d7 -- Tue Mar 5 08:01:27 1996 dtime: 0x31a9a574 -- Mon May 27 13:52:04 1996 BLOCKS: 594810 594811 594814 594815 594816 594817 TOTAL: 6
debugfs: dump <148003> /mnt/recovered.000

Bien s?, on peut faire íÂ aussi avec fsgrab ; je le montre ici en guise d'exemple d'utilisation :
# fsgrab -c 2 -s 594810 /dev/hda5 > /mnt/recovered.000 # fsgrab -c 4 -s 594814 /dev/hda5 >> /mnt/recovered.000
Que ce soit avec debugfs ou avec fsgrab, il y aura un peu de 12 blocs de donnñÆs. Ici, il vaut mieux en savoir un peu sur la maniïÓe dont sont structurñÔ les systïÎes de fichiers Unix. Les donnñÆs du fichier sont stockñÆs dans des unitñÔ appelñÆs Ž« blocs Ž». Ces blocs peuvent óÕre numñÓotñÔ sñÒuentiellement. Un fichier a
Les numñÓos de blocs des 12 premiers blocs sont indiquñÔ directement dans l'inode (on les appelle parfois blocs directs) ;
L'inode contient le numñÓo de bloc d'un bloc indirect. Un bloc indirect contient les numñÓos de bloc de 256 blocs de donnñÆs additionnels ;
L'inode contient le numñÓo de bloc d'un bloc doublement indirect. Un bloc doublement indirect contient les numñÓos de bloc de blocs indirects supplñÎentaires ;
L'inode contient le numñÓo de bloc d'un bloc triplement indirect. Un bloc triplement indirect contient les numñÓos de bloc de 256 blocs doublement indirects supplñÎentaires.

consiste en un bloc doublement indirect (inutile), suivi de 256 rñÑñÕitions de : un bloc indirect (inutile) et 256 blocs de donnñÆs.

Bien entendu, móÎe si ces blocs sont supposñÔ corrects, rien ne garantit que les donnñÆs qu'ils contiennent sont intactes. pouvant óÕre placñÔ dans chaque bloc indirect est taille_du_bloc/4. Donc, chaque fois que le nombre 256 appara? dans la dicussion qui prñÄïÅe, remplacez-le par taille_du_bloc/4. Les limitations Ž« nombre de blocs requis Ž» devront ñÈalement óÕre modifiñÆs.

Examinons un exemple de rñÄupñÓation de fichier plus long.


debugfs:  stat <1387>
Inode: 148004   Type: regular    Mode:  0644   Flags: 0x0   Version: 1
User:   503   Group:   100   Size: 1851347
File ACL: 0    Directory ACL: 0
Links: 0   Blockcount: 3616
Fragment:  Address: 0    Number: 0    Size: 0
ctime: 0x31a9a574 -- Mon May 27 13:52:04 1996
atime: 0x31a21dd1 -- Tue May 21 20:47:29 1996
mtime: 0x313bf4d7 -- Tue Mar  5 08:01:27 1996
dtime: 0x31a9a574 -- Mon May 27 13:52:04 1996
BLOCKS:
l'inode (qui sont tous des blocs de donnñÆs) sont contigus.
Nous pouvons donc commencer par rñÄupñÓer ces blocs :


# fsgrab -c 12 -s 8314 /dev/hda5 > /mnt/recovered.001



# fsgrab -c 256 -s 8842 /dev/hda5 >> /mnt/recovered.001
# fsgrab -c 256 -s 9099 /dev/hda5 >> /mnt/recovered.001
# fsgrab -c 256 -s 9356 /dev/hda5 >> /mnt/recovered.001
# fsgrab -c 256 -s 9613 /dev/hda5 >> /mnt/recovered.001
mais ces blocs occupaient malheureusement 512 octets (un reliquat
d'Unix), ce que nous voulons rñÆllement est alors 3616/2 = 1808
blocs de 1024 octets. Cela signifie que nous avons seulement besoin
de quatre blocs de plus. Le dernier bloc de donnñÆs ñÄrit portait
le numñÓo 10125. De la móÎe faíÐn que depuis le dñÃut, on saute
un bloc indirect (numñÓo 10126) ; on peut alors ñÄrire ces
quatre derniers blocs.


# fsgrab -c 4 -s 10127 /dev/hda5 >> /mnt/recovered.001

                     User ID    [503] 
                    Group ID    [100] 
                        Size    [6065] 
               Creation time    [833201524] 
           Modification time    [832708049] 
                 Access time    [826012887] 
               Deletion time    [833201524] 0
                  Link count    [0] 1
                 Block count    [12] 
                  File flags    [0x0] 
                   Reserved1    [0] 
                    File acl    [0] 
               Directory acl    [0] 
            Fragment address    [0] 
             Fragment number    [0] 
               Fragment size    [0] 
             Direct Block #0    [594810] 
             Direct Block #1    [594811] 
             Direct Block #2    [594814] 
             Direct Block #3    [594815] 
             Direct Block #4    [594816] 
             Direct Block #5    [594817] 
             Direct Block #6    [0] 
             Direct Block #7    [0] 
             Direct Block #8    [0] 
             Direct Block #9    [0] 
            Direct Block #10    [0] 
            Direct Block #11    [0] 
              Indirect Block    [0] 
       Double Indirect Block    [0] 
       Triple Indirect Block    [0]



faire face. Si vous vouliez du velours, il fallait utiliser un
Ž« systïÎe d'exploitation Ž» graphique avec une jolie Ž« corbeille Ž».
ŽÀ propos, le texte de sortie de mi indique un champ
Ž« crñÂtion Ž» (creation time). Il est totalement mensonger
debugfs pour crñÆr un lien vers l'inode dans le systïÎe de
fichiers. Utilisez la commande link de debugfs quand
vous avez fini de modifier l'inode.


debugfs:  link <148003> toto.txt

lignes sont ñÄrites (2 fñ×rier 1999), les noyaux stables actuels (la sñÓie
2.0.x) effacent les blocs indirects, ce n'est plus le cas des noyaux de
dñ×eloppement 2.1.x, ni des noyaux stables 2.2.x, dont le 2.2.1 qui vient
d'utiliser la commande dump de debugfs sur des fichiers
longs, et d'utiliser d'autres outils de rñÄupñÓation.

13. Existe-t-il des outils qui automatisent le processus ?

devrait s'avñÓer quand móÎe utile dïÔ maintenant ; vous pouvez le tñÍñÄharger
depuis 
ma page, et
prochainement sur Metalab.
Scott D. Heavner est l'auteur de lde, (`Linux Disk Editor'). lde peut
servir aussi bien d'ñÅiteur binaire de disque, que d'un ñÒuivalent de
debugfs pour les systïÎes ext2 et minix, et móÎe pour les systïÎes xia
(bien que le support xia ne soit plus disponible dans les noyaux 2.1.x et
2.2.x). Il dispose de fonctionnalitñÔ pour faciliter la rñÄupñÓation, comme
le parcours de la liste des blocs, et la recherche dans le contenu du disque.
Il possïÅe ñÈalement une documentation sur
les concepts de base des systïÎes de fichiers particuliïÓement utile,
ainsi qu'un document expliquant comment l'utiliser afin de
rñÄupñÓer des fichiers supprimñÔ.
La version 2.4 de lde est disponible sur
Comme la plupart des outils actuels de rñÄupñÓation, il gïÓe trïÔ mal les blocs
indirects effacñÔ -- la plupart du temps il ne rñÄupïÓe que les 12 premiers
Ko des gros fichiers.
La derniïÓe version peut óÕre rñÄupñÓñÆ depuis
le site ftp officiel.

O'Reilly and Associates, Inc., ISBN : 1-56592-127-5.

Garfinkel, Simson, Daniel Weise et Steven Strassmann
(1994), The Unix-Haters Handbook, IDG Books, ISBN : 1-56884-203-1.
(ext2fs/debugfs), comp.os.linux.misc Usenet posting.

Peek, Jerry, Tim O'Reilly, Mike Loukides et al (1993),
UNIX Power Tools, O'Reilly and Associates, Inc./Random House,
Inc., ISBN : 0-679-79073-X.

  

Microsoft ;

UNIX est une marque dñÑosñÆ de 
the Open Group ;

Linux est une marque dñÑosñÆ de Linus Torvalds aux USA et dans
quelques autres pays.


Ce document est Copyright Ž© 1997, 1999 Aaron Crane

aaronc@pobox.com.
courts extraits sans modification pour des revues ou une citation ;
dans ces circonstances, les sections peuvent óÕre reproduites
accompagnñÆs d'une citation appropriñÆ mais sans cette note de copyright.
L'auteur demande, mais n'exige pas, que des parties souhaitant
vendre des copies de ce document, sur un medium lisible par un
ordinateur ou par un humain, informent de leurs intentions,
soit l'auteur, soit le coordinateur des HOWTO Linux.
Le coordinateur des HOWTO Linux est actuellement Tim Bynum

linux-howto@metalab.unc.edu.

1.1 Historique des rñ×isions

NouveautñÔ de la version 1.1

NouveautñÔ de la version 1.2

4. Bon, alors comment je rñÄupïÓe un fichier ?

8. Trouver les inodes supprimñÔ

9. Obtenir des dñÕails sur les inodes

10. RñÄupñÓer les blocs de donnñÆs

13. Existe-t-il des outils qui automatisent le processus ?