Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

récupération fichier supprimé - recherche du bon outils

Valérie_z

Bonjour,

Le sujet du fichier supprimé par erreur est déjà pas mal fourni... mais venant de commettre la bêtise (en suppression définitive, donc fichier rendu inaccessible par le système), je ne comprends pas pourquoi les outils de récupération vous obligent tous (enfin, ceux que j'ai testé, le dernier étant foremost) à récupérer toute une partition.

Le scan de la partition entière prend des heures, ramènent un nombre impressionnant de bouts de fichiers, et vous laisse ensuite avec une montagne de fichiers à analyser (qu'on re-supprimera de toute façon par la suite) pour retrouver LE fichier qu'on venait juste d'effacer. En terme de temps investi pour récupérer une donnée particulière, ce n'est pas gérable....

Ma question est donc : existe-il un outil auquel on pourrait juste spécifier un nom / un type de fichier, voire un emplacement dans l'arborescence, pour cibler la recherche, et ne ramener que celui qui fait l'objet de notre recherche ?

Merci de vos lumières.
Valérie

Bougron

Bonjour
Ne sachant pas si c'est un fichier de type windows que tu as supprimé ou de type EXT4, je ne sais pas ce que donne ta tentative de récupération par extundelete.

Valérie_z

Bonjour Bougron, merci de ta réponse.
Il s'agit d'un tout bête fichier texte créé avec Gedit.
Je vais voir ce que ça donne avec extundelete.
:-)
V.

Valérie_z

Ah non, zut, je suis sur une partition NTFS par contre.... du coup, d'après la description de l'utilitaire, ça ne va pas coller.... Je viens de trouver un ntfsundelete, ici :
https://www.howtogeek.com/howto/13706/recover-deleted-files-on-an-ntfs-hard-drive-from-a-ubuntu-live-cd/

Mais pas encore vu si c'est plus intéressant que les outils de récupération testés jusque là...

ar barzh paour

photorec permet de choisir le type de fichier à récupérer , (mais il travaille aussi sur toute une partition et je ne vois pas comment il pourrait faire autrement , le fichier ayant été effacé)
pour le temps passé , laissons faire le logiciel et dormons

Valérie_z

Merci ar barzh paour
J'aurais espéré un système de recherche sur le nom par exemple... seul le 1er caractère disparaît physiquement au moment de la suppression il me semble ?.... Mais bon, c'est peut-être simplement pas possible...

ar barzh paour

effectivement , il se pourrait que le fichier "effacé" soit tout simplement dans la corbeille ,mais ce n'est pas toujours le cas ( tu as dit "en suppression définitive")

Bougron

Effectivement photorec peut aussi récupérer tous les secteurs de la partition qui contiennent une info dont la structure ressemble à un fichier se terminant par .txt si tel est bien le cas.

Lorsque tu as supprimé physiquement le fichier, (windows ou ubuntu) ont restitué l'espace au système pour utilisation y compris le nom du fichier qui est stocké dans l'arborescence.
Soit cet espace a été réutilisé et c'est perdu. Soit cet espace n'a pas été réutilisé, dans ce cas la fonctionnalité undelete peut fonctionner.

Valérie_z

Oui c'est bien une suppression définitive, donc pas de corbeille. Et oui, il s'agit d'une fichier de nom xxx.txt
Je pars du principe que pour l'instant l'espace n'est pas encore réutilisé, et j'aimerais trouver un moyen de cibler ma récupération.
Ma commande Foremost lancée ce matin sur des fichiers type doc tourne encore, et je ne suis même pas sûre que ce soit le type qui convienne, je n'ai malheureusement pas trouvé de type plus proche du basique txt dans les options de la commande.

Bougron, la fonctionnalité undelete dont tu parles, c 'est Photorec ou une autre fonction qui répondrait mieux au besoin ?

Bougron

Tu peux tenter cette commande
sudo ntfsundelete -u -m "*" -d /DATA/RECUP /dev/sda11
En remplaçant /DATA/RECUP par un répertoire qui n'est pas dans la partition en question ( /home convient parfaitement )..
En remplaçant sda11 par la partition en question
A titre d'exemple

u16041@u16041:/DATA/ISO$ sudo ntfsundelete -u -m "*" -d /DATA/RECUP /dev/sda11
Inode    Flags  %age     Date    Time       Size  Filename
-----------------------------------------------------------------------
6486     D...     0%  2017-06-19 12:40         0  MSIc2ae2.tmp
File has no recoverable data.

6754     FR..   100%  2017-02-23 12:27        80  $IYM98QS.lnk
Undeleted '$IYM98QS.lnk' successfully.

6755     D...     0%  2017-02-24 21:39         0  MSI6df8b.tmp
File has no recoverable data.


Files with potentially recoverable content: 1
u16041@u16041:/DATA/ISO$ cd /DATA/RECOVERY 
bash: cd: /DATA/RECOVERY: Aucun fichier ou dossier de ce type
u16041@u16041:/DATA/ISO$ cd /DATA/RECUP
u16041@u16041:/DATA/RECUP$ ls -ls
total 1
1 -rwxrwx--- 1 u16041 plugdev 80 févr. 23 12:27 $IYM98QS.lnk
u16041@u16041:/DATA/RECUP$

Valérie_z

Merci !
J'ai lancé ça :

sudo ntfsundelete -u -m "*" -d  /home/tt  /dev/sdb1

(un dossier tt sous mon home pour voir comment ça marche, et sur ma partition sdb1.
Et j'obtiens ce message :

Access is denied because the NTFS volume is already exclusively opened.
The volume may be already mounted, or another software may use it which
could be identified for example by the help of the 'fuser' command.
You can use force option to avoid this check, but this is not recommended
and may lead to data corruption.

Même après avoir fermé les applis qui pouvaient y accéder. Du coup, je suis tentée de forcer, mais pas trouvé dans man. A moins que ce soit trop risqué à ta connaissance ? Et dans ce cas, qu'est-ce qu'il vaut mieux faire ?
En revanche, j'ai vu qu'une combinaison de -u --undelete et --match pouvait répondre à mon besoin...

Bougron

Je pense que tu peux tenter de démonter cette partition

sudo umount -v /dev/sdb1

et que tu peux utiliser l'option -f sans risque ( ntfsundelete --help ). Du moins je ne vois pas lequel puisque tu choisis le répertoire de sortie ailleurs que dans cette partition.

Notes que sudo ntfsundelete -u -m "*"..... est strictement identique à sudo ntfsundelete --undelete --match "*"

Valérie_z

Re,
Alors j'ai lancé ça :

sudo ntfsundelete -u -m "*" -d  /home/tt  /dev/sdb1

Résultat : la commande trouve bien des fichiers potentiellement récupérables, mais ne trouve pas mon dossier /home/tt, pourtant bien présent, et pas sur la partition sdb1 préalablement démontée.
Quelques retours :

21623    FN..   100%  2008-07-25   7602176  spectaclesoirvilleGap-3.mov 48000d1afc70c-20f2-4add-a12b-b67e70ca5aeb.cfa
Couldn't create output file: Aucun fichier ou dossier de ce type

21624    FN..   100%  2008-07-25     14882  spectaclesoirvilleGap-3.mov 48000d1afc70c-20f2-4add-a12b-b67e70ca5aeb.pek
Couldn't create output file: Aucun fichier ou dossier de ce type

21731    FN..   100%  2008-07-31 2526427388  Paris2005.avi
Couldn't create output file: Aucun fichier ou dossier de ce type

68504    FN..   100%  2012-05-26 746957262  Le_roi_lion.avi
Couldn't create output file: Aucun fichier ou dossier de ce type

124924   FN..   100%  2017-04-01    367727
Couldn't create output file: est un dossier

Files with potentially recoverable content: 346

Quant à lui fournir une partie du nom de fichier, l'argument devient invalide, avec ça par exemple :

sudo ntfsundelete -u -m ".txt" -d  /home/tt  /dev/sdb1

sudo ntfsundelete -u -m "positionnement" -d  /home/tt  /dev/sdb1

Retours :

ntfs_mst_post_read_fixup_warn: magic: 0x00000000  size: 1024   usa_ofs: 0  usa_count: 65535: Argument invalide
ntfs_attr_find: Corrupt inode (-1): Erreur d'entrée/sortie
ntfs_attr_find: Corrupt inode (-1): Erreur d'entrée/sortie
ntfs_attr_find: Corrupt inode (-1): Erreur d'entrée/sortie
ntfs_attr_find: Corrupt inode (-1): Erreur d'entrée/sortie
ntfs_attr_find: Corrupt inode (-1): Erreur d'entrée/sortie
ntfs_attr_find: Corrupt inode (-1): Erreur d'entrée/sortie
(...)
Files with potentially recoverable content: 0

Du coup, là, je ne vois plus trop...

??

Pour le répertoire de récupération, je ne comprends pas

ls -ls /home

sinon, peut-être

sudo ntfsundelete -u -m "*.txt" -d  /home/tt  /dev/sdb1

sudo ntfsundelete -u -m "*positionnement*" -d  /home/tt  /dev/sdb1

Valérie_z

Moi non plus je ne comprends pas...
ls -ls /homme donne :

4 drwxr-xr-x 23 tux    tux    4096 juin  13  2011 tux
4 drwxr-xr-x 61 ubuntu ubuntu 4096 juin  22 15:35 ubuntu

J'ai mis lecture / écriture pour tout le monde sur le dossier tt, au cas où... Mais pas de changement.

sudo ntfsundelete -u -m "*.txt" -f -d  /home/tt  /dev/sdb1

sudo ntfsundelete -u -m "*positionnement*" -f -d  /home/tt  /dev/sdb1

tombent toujours sur le même argument invalide (avec -f pour l'histoire de la partition non démontée)...

Bon bon bon...

erresse

Bonjour,
Je ne sais pas si c'est possible pour une partition NTFS (je n'en utilise pas) mais tu pourrais essayer "testdisk" avant de recourir à "photorec"...
Avec "testdisk", la structure du volume est reconnue et peut être explorée logiquement.
Les fichiers supprimés (pas mis à la corbeille, mais bien supprimés) apparaissent généralement en rouge dans le répertoire où ils étaient enregistrés et il est possible alors de les récupérer et de les "désupprimer".
J'ai déjà fait cette opération avec "testdisk" et récupéré mes données sans problème, mais sur des volumes EXT4.

Note: Dans ton message précédent, lorsque tu dis lister le /home, on ne voit aucun répertoire nommé "tt" dedans. Par ailleurs, les répertoires présents ne sont pas la propriété de "root" comme cela devrait être le cas...
Est-ce que tu serais en session "live" pour faire ces opérations ?

??

Je ne vois pas la présence du dossier /home/tt dans ta commande ls -ls /home
Je rejoins la remarque de erresse ": Ne serais-tu pas en vraie session ubuntu?.

Valérie_z

Aaah oui, fort juste, tt se trouve dans le home de mon user "ubuntu", donc la commande à lancer est :

sudo ntfsundelete -u -m "*position*" -f -d  /home/ubuntu/tt  /dev/sdb1

D'ailleurs, ls -ls /home me liste bien le dossier, donc on est bon.

En revanche cette commande ne change pas d'idée sur son argument invalide :-(

Inode    Flags  %age  Date           Size  Filename
---------------------------------------------------------------
ntfs_mst_post_read_fixup_warn: magic: 0x00000000  size: 1024   usa_ofs: 0  usa_count: 65535: Argument invalide
ntfs_attr_find: Corrupt inode (-1): Erreur d'entrée/sortie
ntfs_attr_find: Corrupt inode (-1): Erreur d'entrée/sortie
ntfs_attr_find: Corrupt inode (-1): Erreur d'entrée/sortie
ntfs_attr_find: Corrupt inode (-1): Erreur d'entrée/sortie
ntfs_attr_find: Corrupt inode (-1): Erreur d'entrée/sortie
ntfs_attr_find: Corrupt inode (-1): Erreur d'entrée/sortie

Mais du coup, avec "*" (et le bon dossier), ça marche. Mais on est parti pour longtemps....
Je vais essayer testdisk, merci du tuyau. Et pour répondre à la question du live, si live est la session lancée depuis CD, non, je suis bien sur une install sur disque...
Merci pour ces pistes !

Bougron

Disons que ton nom d'utilisateur est trompeur.

Mais ton argument n'est pas invalide. Il y a certainement un incident matériel sur sdb1

Valérie_z

Oui, j'aurais pu trouver mieux pour le nom d'utilisateur :-)
Mais un incident matériel...sur la base d'un argument non accepté par la commande ntfsundelete ?
J'imagine que le mieux à faire est un diag du disque ?
++

Page suivante »