More than 3 years have passed since last update.

削除したデータを復旧する(絶対に)

Last updated at 2020-01-28Posted at 2019-12-19

0. 概要

年末の忙しい時期にハードディスクのデータが全て消えるという体験はしたことがありますか？
先輩として忠告しておくと凄い悲しい気持ちになります。

そこで、頭記にもある意気込みでデータ復旧をしていったので、備忘録として残しておきます。

まず置かれている状況。

初めに、rm -rf *を実行します。
目的とするソースコードやファイルが全て消えたことを確認してからがスタートラインです。

この状況から概ね以下の方法をとるでしょう。

普通なら、ここまですれば凡そのファイルは復旧されます。
しかしながら、この場合でも頑なに復旧を拒まれる場合があります。

ここで現状の条件をまとめておくと、

最後は、データ復旧業者にお願いしたところTestDiskやext4magic、foremost、extundeleteで復旧出来ない場合は、相当やってしまっているので無理ですと言われ、
どうしてもお願いしますと価格交渉したところ、最低でも100万円からですと言われました。

まず物理的に逝ったわけではなく、インデックスが外れてしまっただけで目的とするファイルはディスク中の情報の海にいると仮定します。
そこでまずは、RAIDがややこしいのダンプして1つのファイルにします。その次にファイルを復旧させていきたいと思います。

以下でダンプをする。

# 対象のディスクを確認する
$ sudo fdisk -l
> sda1
# ダンプする
$ dd if=/dev/sda1 of=./dump.img bs=512M

これで1つのファイルになった。

今回、復旧させたいのは主にソースコード。
そして、そのソースコードは多分、このダンプファイルのどこかにいる。

ダンプファイルが1テラくらいあり、どこに何のデータがあるかなんてまるで見当もつかない。
そこで、ソースコードの1部を想像して、あるテキストのバイナリコードがあるところを引っ張ってくるようにする。
そう、Grepを使う。

grep -i -a -B[size before] -A[size after] 'SEARCH_TEXT' DEVICE > OUTPUT_PATH

-iはケースセンシティブにしない(大文字小文字を区別しない)
-aはバイナリサーチ

例えば、pythonであれば#!/usr/bin/pythonなんて書かれていたりする。
その場合は、こんな感じで使う。

grep -i -a -B10 -A1000 '#!/usr/bin/python' /dev/sda1 > ./backup.txt

これで地道にソースコードを追っていった結果、部分的に復旧することが出来た。
なお、画像なら画像のヘッダーを同様に検索にかければよい。

因みに\r->^Mで検索を掛ければ大体のテキストを持ってこれる。

部分的にデータは引っ掛かるものの、この部分データから1つのファイルに成型していくのが、地獄の作業。

一先ず、この方法でかけらでも復旧できないようなら諦めた方が良さそう。
データは消さないに限る。