☰

更新

tag-icon • tag-icon 12.10 data-recovery
更新

我正在使用 scalpel 恢复意外删除的 rar 文件，该文件大小为 476 MB。我有以下配置设置来恢复 rar 文件：

   rar     n       10000000000000000000        Rar!

并运行以下命令：

sudo scalpel /dev/sda1 -o ./recovered/

显示结果如下：

Scalpel version 1.60
Written by Golden G. Richard III, based on Foremost 0.69.

Opening target "/dev/sda1"

Image file pass 1/2.
/dev/sda1: 100.0% |*********************************************************|  476.0 MB    00:00 ETAAllocating work queues...
Work queues allocation complete. Building carve lists...
Carve lists built.  Workload:
rar with header "\x52\x61\x72\x21" and footer "" --> 1 files
Carving files from image.
Image file pass 2/2.
/dev/sda1: 100.0% |*********************************************************|  476.0 MB    00:00 ETAProcessing of image file complete. Cleaning up...
Done.

但当我recovered以 root 身份浏览文件夹并检查恢复的 rar 的大小时，它显示大小只有 42.1 MB。我该如何恢复整个 RAR 文件？请帮忙。

答案1

这可能是由于恢复软件无法正常工作scalpel。因此，最好使用其他恢复工具，例如 r-linux、照片录制

R-Linux 是适用于 Linux 操作系统和多种 Unix 操作系统中使用的 Ext2/Ext3/Ext4 FS 文件系统的免费文件恢复实用程序。

哪个分区用于存储从 sda1 恢复的数据？

更新

将数据恢复到同一个分区不是一个好主意。黄金法则是，在数据丢失的分区恢复之前，永远不要写入数据。因此，启动到实时 CD，将分区安装到 RO 中，恢复到另一个存储设备（如 pen drive）。如果您没有外部存储设备，并且有 1.5+ GB 的 RAM，请将数据恢复到 RAM。Ubuntu 使用 RAM 进行操作/tmp。如果您不确定，请使用以下方法在 /mnt 安装部分 RAMsudo mount -t tmpfs tmpfs /mnt -o size=600M

答案2

不幸的是，通过向试图恢复的文件所在的同一分区写入数据，您完全恢复文件的机会大大降低了。阅读@totti 的更新和 musher 评论。尝试恢复数据时，您应该做的第一件事就是停止使用数据所在的驱动器。我会在另一个驱动器或映像上制作该驱动器的法医副本，这样您就可以处理副本并确保原始文件仍然处于未中断的状态。

相关内容