FreeBSD Data Rescue

出自KMU Wiki

在2009年6月22日 (一) 10:24所做的修訂版本 (編輯) Cch (對話 | 貢獻) ←上一個		在2009年6月22日 (一) 10:30所做的修訂版本 (編輯) (撤銷) Cch (對話 | 貢獻) (→UFS fsck -y failed) 下一個→
第3行：		第3行：
	==UFS fsck -y failed==		==UFS fsck -y failed==
-	fsck -y	+	If fsck -y UFS failed
		+	fsck -y
		+	...
	UNKNOWN FILE TYPE I=8408063		UNKNOWN FILE TYPE I=8408063
	UNEXPECTED SOFT UPDATE INCONSISTENCY		UNEXPECTED SOFT UPDATE INCONSISTENCY
	CLEAR? yes		CLEAR? yes
	fsck_4.2bsd: bad inode number 8408064 to nextinode		fsck_4.2bsd: bad inode number 8408064 to nextinode
		+
		+	Try to mount UFS read-only
	mount -r		mount -r
第14行：		第18行：
	tar -T /root/T2 -cf - | ssh admin@bak "cat > host-home.tar"		tar -T /root/T2 -cf - | ssh admin@bak "cat > host-home.tar"
-	萬一檔案系統 ls 時已無任何檔案或目錄，則可再試試幾個工具程式	+	If ls can not see any files or directories
	* /usr/ports/sysutils/ffs2recov		* /usr/ports/sysutils/ffs2recov
第24行：		第28行：
	sudo autopsy localhost		sudo autopsy localhost
	add case -> add host -> add image -> ...		add case -> add host -> add image -> ...
-
	==Bad Partition Table==		==Bad Partition Table==

---

在2009年6月22日 (一) 10:30所做的修訂版本

在 FreeBSD 利用自由軟體搶救檔案

UFS fsck -y failed

If fsck -y UFS failed

fsck -y
...
UNKNOWN FILE TYPE I=8408063
UNEXPECTED SOFT UPDATE INCONSISTENCY
CLEAR? yes
fsck_4.2bsd: bad inode number 8408064 to nextinode

Try to mount UFS read-only

mount -r
find home -type f -and -size -1G -print > /root/T2
tar -T /root/T2 -cf - | ssh admin@bak "cat > host-home.tar"

If ls can not see any files or directories

• /usr/ports/sysutils/ffs2recov
• /usr/ports/sysutils/scan_ffs
• /usr/ports/sysutils/sleuthkit
• /usr/ports/sysutils/autopsy

e.g.  使用 autopsy
sudo autopsy localhost
add case -> add host -> add image -> ...

Bad Partition Table

/usr/ports/sysutils/magicrescue

magicrescue 可救的檔案類型有 (ls /usr/local/share/magicrescue/recipes/)

• avi
• flac
• gzip
• mp3-id3v1
• perl
• canon-cr2
• gimp-xcf
• jpeg-exif
• mp3-id3v2
• png
• elf
• gpl
• jpeg-jfif
• msoffice
• zip

e.g.
將欲搶救的硬碟拆下，用 USB-to-ATA/SATA 轉接器
magicrescue -r msoffice -r jpeg-jfif -r jpeg-exif -d ~/output /dev/da0
或 (避免多次讀取 /dev/da0)
dd if=/dev/da0 of=/big/da0img
magicrescue -r msoffice -r jpeg-jfif -r jpeg-exif -d ~/output /big/da0img

參考資料︰

http://www.student.dtu.dk/~s042078/magicrescue/manpage.html

參考資料中有提到︰

Partition Table 不見了，可考慮用 gpart 重建

foremost (/usr/ports/sysutils/foremost) 認識更多類型的檔案，但判斷檔案實際大小的能力較弱。