بازیابی فایل حذف شده در لینوکس: ۱۰ روش اصلی ریکاوری داده ها

بسیاری از ما معمولاً با مشکلی روبرو می شویم که در آن برخی از فایل ها را به طور تصادفی در لینوکس حذف می کنیم و بعداً پشیمان می شویم که آن را حذف کرده ایم و در trash هم پیدا نمی کنیم. اما اگر بتوانیم آنها را بازیابی کنیم چه؟ در این مقاله، درباره چگونگی بازیابی یک فایل حذف شده در لینوکس صحبت خواهیم کرد.

دستور lsof، ابزار Foremost، ابزار ext3grep و ext4magic، extundelete و... از جمله ابزارها و راهکارهایی هستند که شما می توانید از آن برای بازیابی فایل های حذف شده در لینوکس استفاده کنید.

زمانی که فایلی را از سیستم خودمان حذف می کنیم، تا زمانی که فضای فایل حذف شده، توسط فایل دیگری در دیسک بازنویسی شود، حذف اتفاق نمی افتد. اما به هر حال آشنا بودن با روش های بازگردانی فایل های حذف شده به شما کمک می کند تا در صورت بروز اتفاق ناگواری، بتوانید فایل هایتان را برگردانید.

البته زمانی که شما از سیستم عامل لینوکس در سرور استفاده می کنید، در این صورت بکاپ گیری های منظمی که دارید، تا حد زیادی می تواند جلوی رخدادهای تلخ پاک کردن فایل های مهم را بگیرد. اما احتیاط شرط عقل است (اگر هنوز سرور لینوکسی ندارید، می توانید به صفحه خرید سرور مجازی لینوکس سر بزنید).

ما در ادامه بهترین روش های بازیابی یک فایل حذف شده در لینوکس را بیان می کنیم. پس اگر از کاربران لینوکس هستید، این مقاله برایتان از نان شب هم واجب تر است.

چرا اطلاعات هارد از بین می رود؟

به طور کلی، از دست دادن اطلاعات می‌تواند به دو دلیل اتفاق بیفتد: دلایل سخت‌افزاری و دلایل نرم‌افزاری. وقتی اطلاعاتمان را از دست می‌دهیم، نیاز به بازیابی و ریکاوری اطلاعات داریم. به دلایل زیر توجه کنید:

1. وجود مشکلات سخت افزاری مانند وجود خرابی در هارد درایوها یا خرابی در هد هارد، خراب شدن موتور اسپیندل، وجود شوک و نوسانات برقی، شکستن بورد PCB، خراب شدن کنترل RAID یا از میان رفتن اطلاعات در آرایه های RAID.
2. وجود مشکلات نرم افزاری مانند مشکل در فریمور یا قسمتی از سرویس سیستم، وجود اختلالات در سیستم عامل، وجود مشکلات در فایل های پایگاه داده، اختلال در فایل های ماشین مجازی، آلودگی فایل ها به ویروس و بدافزارها، حملات سایبری، عدم امکان دسترسی به پارتیشن ها، نمایش ندادن ظرفیت هارد و خراب شدن جدول پارتیشن.

برداشتن کارت حافظه

برداشتن کارت حافظه به‌طور فوری پس از درک اینکه فایل‌های مهمی را حذف کرده‌ایم، بهترین گزینه است تا بلوک‌های داده‌ی فایل‌های حذف شده با داده‌های دیگر بازنویسی نشوند.

در ابتدا سیستم را خاموش کنید و با بوت کردن از یک CD/USB زنده، فرآیند بازیابی را انجام دهید. پارتیشنی که حاوی فایلی است که حذف کرده‌اید را پیدا کنید، برای مثال – /dev/sda1 فایل را بازیابی کنید (اطمینان حاصل کنید که فضای کافی دارید)

دستور lsof

گاهی اوقات فایلی که در حال استفاده است به طور تصادفی حذف می‌شود، در این مواقع دستور lsof به عنوان یک دستوری که جان‌سپر است برای بازیابی آن فایل می‌تواند مفید باشد.

یک نسخه از فایل با استفاده از دستور lsof قبل از بسته شدن فایل توسط برنامه‌ای که آن را باز نگه داشته است، ایجاد می‌شود. این اتفاق می‌افتد زیرا inode هنوز فعال است، بنابراین بلوک‌های داده هنوز در دیسک باقی می‌مانند تا زمانی که برنامه آن را ببندد.

مرحله 1: یک فایل آزمایشی در دایرکتوری /tmp ایجاد کنید.

touch /tmp/test

مرحله 2: چیزی را اجرا کنید که فایل را باز نگه دارد:

tail -f /tmp/test &

نکته: در اینجا عددی که وجود دارد، 8561 است، اما لزوما در مورد شما هم صدق نمی کند و ممکن است متفاوت باشد و به همین دلیل توصیه می کنیم که از دستوراتی که مطابق با آن است، استفاده کنید.

مرحله 3: روند تایید فرآیند اپن سورس را فهرست کنید

ps -ef | grep 8561 | grep -v grep 

مرحله 4: فایل ها را فقط به صورت دستی حذف کنید و سعی کنید که فایل را لیست کنید. بخاطر حذف کردن آن، شما با یک پیام خطا مواجه خواهید شد.

$ rm /tmp/test    $ ls -l /tmp/test 

حالا ما اطمینان داریم که فایل به صورت کامل حذف شده است. در ادامه ما سعی می کنیم که آن را با کمک گرفتن از دستور lsof بازیابی کنیم.

مرحله 5: برای نمایش توصیفگر فایل باز فرآیند از دستور lsof استفاده کنید

$lsof | grep -i test

شماره شناسه (PID) فرآیندی که فایل را باز نگه داشته است، در ستون دوم نمایش داده می‌شود.

مرحله 6: حالا باید نشانگر فایل باز در دایرکتوری /proc را پیدا کنیم.

$ls -l /proc/8561/fd/3

مرحله ۷: حالا فایل باز (که حذف شده ولی توسط یک فرآیند دیگر باز شده است) می‌تواند به محل اصلی خود یعنی زیر پوشه‌ی /tmp کپی شود. پس از آن، شما می‌توانید آن را با نام اصلی آن تغییر نام دهید.

به صورت ساده تر در این مرحله، فایلی که توسط یک فرآیند دیگر در حال استفاده بوده و به طور تصادفی حذف شده است، قادر خواهد بود به مکان اصلی خود بازگردانده شود، به عنوان مثال در زیر پوشه‌ی /tmp. سپس شما همچنین قادر خواهید بود آن را با نام اصلی آن تغییر نام دهید، به همین شکل که قبلاً بوده است.

$ cp /proc/8561/fd/3 /tmp/  $mv /tmp/3 /tmp/test  $ ls -l /tmp/test

به همین راحتی شما فایلی که فکر می کردید دیگر نمی توانید آن را داشته باشید، بازیابی کردید.

Foremost (یک ابزار قانونی)

Foremost  یک ابزار قانونی است که به صورت تقریباً پیش‌فرض در لینوکس کالی نصب شده است، اما اگر وجود نداشته باشد، می‌توانید آن را از خط فرمان نصب کنید. ابزار Foremost برای بازیابی فایل‌های حذف شده از هارد دیسک، کارت حافظه، فلش درایو و غیره استفاده می‌شود.

این ابزار از یک فرآیند به نام File Carving برای بازیابی داده‌ها استفاده می‌کند.

برای بازیابی یک تصویر پاک شده از دستور زیر استفاده کنید:

sudo foremost -v -q -t png -i /dev/sda1 -o ~/test

در اینجا، /dev/sda1 پارتیشن پشتیبانی کننده که /boot در آن قرار دارد است.

در حالی که /home/tithi/Downloads/gg یک دایرکتوری روی یک دیسک جداگانه است که فایل بازیابی شده در آن قرار خواهد گرفت. بهتر است فایل های بازیابی شده را در همان درایو که فایل ها حذف شده بودند بازیابی نکنید، چون این ممکن است منجر به ناموفقیت بازیابی شود. اغلب چندین فایل در کنار هم بازیابی می شوند و نام فایل بازیابی شده شبیه به نام فایل اصلی نخواهد بود.

ext3grep – یک ابزار بازیابی فایل ext3

این یک ابزار خط فرمان است که برای سیستم های فایل ext3 برای بازیابی اطلاعات ایجاد شده است. تنها با دو دستور می توانید فایل های پاک شده ای که با این ابزار بازیابی شده اند را بازیابی کنید.

ext3grep --dump-name <drive>
ext3grep --restore-all <drive>

#Restored data is stored in this folder
cd RESTORED_FILES

ext4magic – یکی از بهترین ابزارهای بازیابی اطلاعات لینوکس برای ext4

این یک ابزار خط فرمان مانند بسیاری از ابزارهای دیگر در لیست است و در بسته های مخازن برای اکثر توزیع های لینوکس موجود است. بعضی از ویژگی های ext4magic عبارتند از:

• قادر به بازیابی سیستم فایل کامل که به طور بازگشتی حذف شده اند
• بازیابی فایل هایی که به طور اتفاقی بازنویسی شده اند
• بازیابی سکتورهای اولیه یک هارد دیسک که به طور تصادفی بازنویسی شده اند

این ابزار قادر است بازیابی فایل‌ها و سیستم‌های فایل که به طور تصادفی حذف شده‌اند یا به طور ناخواسته بازنویسی شده‌اند، انجام دهد. به عنوان مثال، اگر به طور اتفاقی تمام یک سیستم فایل را حذف کرده باشید، ext4magic می‌تواند به شما کمک کند تا اطلاعات را بازیابی کنید. همچنین، اگر یک فایل را اشتباهاً بازنویسی کرده‌اید، ابزار قادر است آن فایل را بازیابی کند، و نیز در صورتی که سکتورهای اولیه یک هارد دیسک را به طور تصادفی بازنویسی کرده‌اید، این ابزار می‌تواند به شما کمک کند تا اطلاعات را بازیابی کنید.

استفاده از TestDisk برای بازیابی پارتیشن حذف شده در لینوکس

TestDisk یک برنامه بازیابی اطلاعات متن‌باز است که می‌تواند به طور موثر فایل‌ها یا پارتیشن‌هایی که به طور دائم حذف شده‌اند را بازیابی کند. این برنامه با بسیاری از ویژگی‌های مفید بسته‌بندی شده است و رابط کاربری آن راحت است. شما می‌توانید با استفاده از دستورات زیر، TestDisk را در لینوکس نصب کنید:

# Ubuntu and Debian
sudo apt install testdisk


# RHEL and CentOS
sudo yum install epel-release
sudo yum install testdisk


# Arch Linux
sudo pacman -S testdisk

پس از نصب، TestDisk را با باز کردن یک ترمینال و تایپ دستور testdisk راه اندازی کنید.

sudo testdisk

شما خودتان را در محیط تعاملی TestDisk خواهید یافت. از کلیدهای پیکان روی صفحه کلیدتان برای حرکت کردن استفاده کنید و برای انتخاب گزینه‌ها Enter را فشار دهید. اولین گزینه قابل استفاده برای ایجاد یک فایل گزارش است. پیش بروید و یکی ایجاد کنید.

صفحه بعدی که نمایش داده می‌شود، یک لیست از رسانه‌های ذخیره‌سازی که به سیستم وصل شده‌اند را نمایش خواهد داد. شما باید دستگاهی را که فایل‌های حذف شده را شامل می‌شود، انتخاب کنید. در اینجا برای این راهنما از رسانه /dev/sdb استفاده شده است و باید رسانه مربوط به خود را انتخاب کنید و سپس دکمه Proceed را فشار دهد.

صفحه بعدی شما را مجاب می‌کند تا نوع پارتیشن را برای دیسک خود انتخاب کنید. نوع صحیح را برای درایو خود انتخاب کنید. توجه کنید که TestDisk سعی می‌کند نوع درست را به طور خودکار تشخیص دهد. بنابراین، اگر مطمئن نیستید، با نوع پارتیشن تشخیص داده شده توسط TestDisk ادامه دهید.

در صفحه بعدی شما چندین گزینه را مشاهده خواهید کرد. گزینه “Analyse” برای بازیابی بخش‌های از دست رفته مفید است. با این حال، ما از گزینه “Advanced” برای بازیابی فایل‌های حذف شده استفاده خواهیم کرد.

در مرحله بعد، لیستی از تمام پارتیشن های موجود در دستگاه انتخابی خود را مشاهده خواهید کرد. پارتیشنی را که داده های پاک شده شما را در خود نگه می دارد انتخاب کنید و از منوی پایین گزینه Undelete را انتخاب کنید.

TestDisk ورودی های MFT را برای فایل های حذف شده در این پارتیشن اسکن می کند و آنها را در اینجا فهرست می کند. ما به دنبال فایل picture.jpg نشان داده شده در این صفحه هستیم.

می‌توانید فایل‌های خاصی را با استفاده از علامت دو نقطه «:» و همه فایل‌ها را با استفاده از a انتخاب یا لغو انتخاب کنید. پس از انتخاب فایل هایی که باید بازیابی شوند، C را فشار دهید تا آنها را کپی کنید.

از شما خواسته می شود مقصد بازیابی را انتخاب کنید. به آنجا بروید و C را فشار دهید تا فایل ذخیره شود.

با استفاده از PhotoRec فایل‌های حذف شده در لینوکس را بازیابی کنید

PhotoRec یک برنامه قدرتمند دیگر از سازندگان TestDisk است که ابتدا برای بازیابی عکس‌های حذف شده در لینوکس ساخته شد، اما به یک برنامه کامل تبدیل شده است. می‌توانید از PhotoRec برای ریکاوری درایو پاک شده استفاده کنید.

تفاوت بین TestDisk و PhotoRec در این است که PhotoRec قادر است حتی فایل‌ها را از دیسک‌هایی که به طور غیرقابل تعمیری خراب شده‌اند، بازیابی کند. این برنامه از امضای فایل برای تشخیص فایل‌های حذف شده استفاده می‌کند که آن را بسیار قدرتمند می‌سازد. با این حال، فایل‌هایی که توسط PhotoRec بازیابی می‌شوند، نام اصلی خود را حفظ نمی‌کنند.

شما می‌توانید PhotoRec را بر روی توزیع‌های مختلف لینوکس با استفاده از دستوراتی که برای نصب TestDisk استفاده می‌شوند، نصب کنید. بنابراین، اگر قبلاً TestDisk را نصب کرده‌اید، نیازی به نصب مجدد PhotoRec ندارید. اگر قبلاً TestDisk را نصب نکرده‌اید، قسمت بالا را بررسی کنید و بسته testdisk را نصب کنید.

sudo photorec

این دستور PhotoRec را شروع می‌کند و شما را به منوی استارت هدایت می‌کند. طرح مشابه با TestDisk است و همچنین حرکت داخل برنامه آن هم شبیه است. شما برای انتخاب رسانه دیسک، سوال خواهید شد. مناسب آن را انتخاب کرده و دکمه Proceed را فشار دهید.

در ادامه کاری که باید انجام دهید، این است که پارتیشن منبع را انتخاب کنید. پارتیشن مناسب را انتخاب کنید و از منوی پایین، گزینه File Opt را انتخاب کنید.

در اینجا، شما می‌توانید نوع فایل‌های حذف شده خود را مشخص کنید. PhotoRec به طور پیش‌فرض همه نوع فایل را انتخاب می‌کند. شما می‌توانید با استفاده از دکمه «s» همه فایل‌ها را غیرفعال کنید و با استفاده از دکمه «x» نوع خاصی را انتخاب کنید. ما برای بازیابی فایل تصویر خود، فرمت jpg را انتخاب کرده‌ایم.

اکنون به کمک q یک گام به عقب برگردید و گزینه Search را انتخاب کنید تا بازیابی فایل در لینوکس شروع شود.

در این مرحله شما باید نوع فایل سیستم را انتخاب کنید. اگر پارتیشن منبع ext3/ext4 نیست، می توانید گزینه Other را انتخاب کنید.

حالا باید تعیین کنید که فایل هایی که انتخاب شده اند را در تمام پارتیشن جستجو کنید یا تنها در فضای آزاد؟ ما برای آن که فرایند جستجو سریع تر انجام شود، گزینه فضای آزاد را انتخاب می کنیم.

مرحله بعد نیاز به انتخاب مسیر مقصد دارد. مطمئن شوید که فایل‌ها را در همان پارتیشنی که در حال اسکن آن هستید، ذخیره نمی‌کنید. با استفاده از کلیدهای پیکان به مکان مورد نظر بروید و کلید C را بفشارید تا ذخیره شود.

فایل «PhotoRec» در حال حاضر بخش‌های خالی را اسکن می‌کند و فایل‌های بازیابی شده را در مقصد انتخاب شده ذخیره خواهد کرد. این برنامه فایل‌های بازیابی شده را در داخل یک پوشه به نام «recup_dir» ذخیره می‌کند.

بازیابی فایل های حذف شده در لینوکس با استفاده از extundelete

برای بازیابی پارتیشن حذف شده در لینوکس می توان از extundelete استفاده کرد. extundelete یک برنامه بازیابی اطلاعات است که می‌تواند فایل‌های حذف شده را از فایل سیستم ext3/ext4 بازیابی کند. این فایل سیستم‌ها توسط توزیع‌های محبوب لینوکس مانند اوبونتو استفاده می‌شوند. برای نصب extundelete می‌توانید از یکی از دستورات زیر استفاده کنید:

# Ubuntu and Debian sudo apt <strong>install</strong> extundelete # RHEL and CentOS sudo yum <strong>install</strong> extundelete # Arch Linux sudo yay -S extundelete

بعد از نصب، شما می‌توانید با استفاده از برنامه extundelete، فایل‌های حذف شده را از سیستم لینوکس خود بازیابی کنید. برای سریع بازیابی یک فایل خاص، از دستور زیر استفاده کنید. توجه داشته باشید که مسیر فایل نسبت به ریشهٔ پارتیشن است.

بعد از نصب، می‌توانید با استفاده از extundelete فایل‌های حذف شده را از سیستم لینوکس خود بازیابی کنید. برای سریع تر بازیابی کردن یک فایل خاص، از دستور زیر استفاده کنید. لطفا توجه داشته باشید که مسیر فایل را نسبت به دایرکتوری اصلی پارتیشن مشخص کنید.

sudo extundelete --restore-file picture.jpg /dev/sdb1

دستور زیر به شما کمک می کند تا بتوانید تمامی فایل ها را از پارتیشن /dev/sdb1 بازیابی کنید. دقت داشته باشید که نام پارتیشن را بر اساس منبع خودتان تغییر دهید.

sudo extundelete --restore-all /dev/sdb1

اگر قصد دارید فایل های بازیابی شده را در دایرکتوری خاصی ذخیره کنید، این کار را با استفاده از گزینه -o تعیین کنید.

sudo extundelete -o ~/recovery --restore-all /dev/sdb1

extundelete به صورت پیش فرض، فایل هایی که بازیابی شده اند را در ساب دایرکتوری RECOVERED_FILES/ ذخیره سازی می کند.

بازیابی فایل های پاک شده در لینوکس با استفاده از R-Linux

با استفاده ازR-Linux، می‌توانید فایل‌های حذف شده را در لینوکس بازیابی کنید. R-Linux یک ابزار بازیابی داده با رابط کاربری گرافیکی برای سیستم عامل لینوکس است که رایگان است اما اپن سورس نیست. این ابزار قادر است فایل‌های حذف شده را در سیستم‌های فایل ext2/ext3/ext4 اسکن کند و آن‌ها را بازیابی کند. برای دریافت نسخه باینری R-Linux، می‌توانید آن را از وب‌سایت R-Tools Technology برای توزیع خاص خود دریافت کنید.

بعد از دانلود R-Linux، آن را با استفاده از مدیر بسته خود نصب کنید. پس از نصب، با استفاده از منوی برنامه‌های خود، نرم‌افزار را باز کنید. هنگام درخواست رمز عبورsudo، رمز عبور خود را وارد کنید.

حالا، پارتیشن منبعی را که حاوی فایل‌های حذف شده است، انتخاب کنید و از طریق رابط گرافیکی آن را اسکن کنید. شما می‌توانید از روش‌های اسکن مختلفی براساس نیازهای خود استفاده کنید.

کمی صبر کنید تا اسکن تمام شود  و لیست فایل هایی که حذف شده اند، برایتان نمایش داده شود. از این لیست مواردی که نیاز دارید را انتخاب کنید و از منوی بالایی بازیابی کنید.

بازیابی فایل حذف شده از trash

اگر شانس‌های کافی داشته باشید و فایل حذف شده شما در trash قرار گرفته باشد، می‌توانید هنوز هم با چند کلیک فایل خود را بازیابی کنید.

1. روی یک فضای خالی در رومیزی خود راست کلیک کنید و Show Desktop in Files را از منوی زمینه انتخاب کنید تا file manager خود را باز کنید.

2. برای دسترسی به trash، از نوار کناری سمت چپ، سطل زباله را انتخاب کنید. روی فایل کلیک راست کرده، Restore from Trash را انتخاب کنید تا فایل بازیابی شود و فایل به محل اصلی خود برگردد.

3. در نهایت، به مکان اصلی فایل حذف شده خود بروید تا فایل با موفقیت بازیابی شده را ببینید.

سخن آخر

فایل‌ها در لینوکس ممکن است به دلایل زیر از بین بروند:

• حذف تصادفی: کاربران ممکن است به طور تصادفی فایل‌ها را حذف کنند، به خصوص اگر از دستورات خط فرمان مربوط به حذف استفاده کنند.
• خرابی سیستم‌ها: مشکلات سخت‌افزاری یا نرم‌افزاری می‌توانند باعث از بین رفتن فایل‌ها شوند، به عنوان مثال هارددیسک خراب شده یا بروزرسانی ناموفق سیستم عامل. بازیابی فایل‌های حذف شده در لینوکس به دلایل زیر اهمیت زیادی دارد، زیرا:

• اطلاعات ارزشمند: فایل‌ها ممکن است اطلاعات ارزشمندی را شامل کنند، از جمله تصاویر، فایل‌های مالتی‌مدیا، سند‌های کاری و غیره.
• جبران داده‌ها: در صورت از دست رفتن فایل‌های مهم، بازیابی آنها می‌تواند امکان بازگرداندن داده‌ها و اطلاعات به حالت قبلی را فراهم کند.
• امکان ادامه کار: بازیابی فایل‌های حذف شده، به کاربران امکان می‌دهد تا از کار خود ادامه دهند و دسترسی به فایل‌های مورد نیاز خود را بهبود بخشند.

بنابراین، بازیابی فایل‌های حذف شده در لینوکس اهمیت بالایی دارد و به جبران داده‌ها و جلوگیری از از دست رفتن اطلاعات مهم کمک می‌کند. با توجه به توانایی قدرتمند ابزارهای موجود در لینوکس برای بازیابی فایل‌ها و درایوهای پاک شده، اگر شما یک کاربر لینوکس هستید، نگرانی بیشتری درباره از دست دادن اطلاعات خود نخواهید داشت. با استفاده از روش‌های مناسب، می‌توانید به راحتی داده‌هایتان را بازیابی کنید و از این طریق از سانحه های ناخواسته‌ای که ممکن است برای فایل‌هایتان رخ دهد، جلوگیری کنید. پس با اطمینان از این ابزارها استفاده کنید و اطلاعات خود را در لینوکس به امانت بسپارید.

در لینوکس، روش‌های اصلی برای بازیابی فایل‌های حذف شده وجود دارد. از جمله این روش‌ها می‌توان به استفاده از برنامه‌هایی مانند TestDisk و PhotoRec اشاره کرد. با استفاده از این ابزارها، می‌توانید فایل‌های خود را حتی از دیسک‌هایی که به طور غیرقابل تعمیری خراب شده‌اند، بازیابی کنید. در صورتی که راهکار دیگری می شناسید، با ما در قسمت نظرات به اشتراک بگذارید و اگر سوالی دارید با ما مطرح کنید تا در سریع ترین زمان پاسخ دهیم.