Re: recover

[Ruediger Noack <ernohl@yahoo.de>]

Ruediger Noack wrote:
> Kann mir jemand 'nen Tipp geben, wie ich zu den letzten Datenblöcken der 
> Datei komme?
Mit recover und debugfs bin ich nicht weiter gekommen. Anscheinend weil 
ich ja nicht gelöscht, sondern die Datei (inode) überschrieben habe. Mit 
debugfs kann man anscheinend nur auf inode-Ebene und nicht auf der 
Datenblockebene rekonstruieren. Jedenfalls habe ich auf die Schnelle 
nichts dazu gesehen.

Ich habe mir jetzt erst einmal mit der quick-and-dirty-Methode geholfen: 
Image der Partition mittels dd in ein file geschrieben und aus diesem 
Image-File per strings, grep und vi meine gelöschten Bereiche 
rekonstruiert. Dabei ist allerdings die Formatierung hinüber und auch 
sonst manuelle Nacharbeit notwendig (es war keine ASCII-Datei, sondern 
eine Textdatei mit Umlauten - schlecht für strings).

Jetzt würde mich trotzdem eine saubere Lösung interessieren.

Welche Hilfsmittel sind geeignet, die Datenblöcke der gelöschten Datei 
zu finden?
Mit welchen Mitteln kann man bestimmte Datenblöcke in eine Datei 
wegschreiben?
Wie kann ich aus einer Binärdatei (Imagefile) bestimmte Teilbereiche 
komplett extrahieren?

Danke für Denkanstöße
Rüdiger
--