如何恢复被 Linux dd 命令部分覆盖的 USB 驱动器上的数据？

Question

我尝试使用以下命令将 iso 映像刻录到 DVD：

sudo dd if=/path/to/iso.iso of=/dev/sdb bs=1024k status=progress

Ctrl然而，在我使用+终止进程之前，我最终覆盖了 USB 驱动器上约 1.4 GB 的内容，其中包含重要数据C！驱动器上大约有 10 GB 的数据，因此数据并没有全部丢失。我尝试使用 恢复数据testdisk，但找不到数据。我知道 PhotoRec 可以从我的 USB 驱动器中恢复照片和视频，但我还有.odt、.docx和.pptx许多其他类型的文件。我的加密日记也在 USB 驱动器上（带有其私钥）。

有什么方法可以恢复数据吗？我知道 USB 驱动器是用 NTFS 格式化的。

PS 此后，我将命令更正为：

sudo dd if=/path/to/iso.iso of=/dev/sr0 bs=1024k status=progress

该命令返回一条错误消息，指出 DVD/dev/sr0是只读的，尽管 DVD 完全是空白的并且之前没有使用过。

Answer 1

首先，您可以尝试从 USB 驱动器创建一个二进制文件：

dd of=~/myusb.bin if=/dev/sdb bs=4M（当然要替换成/dev/sdb你的 USB 设备路径）

然后我建议你尝试二进制取证工具，它可以检测文件头来恢复整个文件，例如：

• 最重要的（http://foremost.sourceforge.net/)：foremost ~/myusb.bin
• 宾沃克（https://github.com/ReFirmLabs/binwalk)：binwalk -e ~/myusb.bin
• 解剖刀（https://github.com/sleuthkit/scalpel）：（scalpel ~/myusb.bin不太确定命令行，但你可以尝试一下）。