Como recuperar o “estado atual” anterior do VirtualBox * após * restaurar a partir do snapshot?

Question

Detalhes:

Computador portátil Win 8.1 (host OS) executando o Virtual Box. Ubuntu 10.04 Guest machine dentro da Virtual box. Instantâneo de 6 meses de idade da máquina convidada e "estado atual" em uso. O usuário estava tendo problemas com a carga do "estado atual" da máquina lentamente (talvez interrompida) e, em um ponto, o VirtualBox perguntou se eles preferiam restaurar a captura instantânea. Não percebendo que isso despejaria sua imagem de máquina de "estado atual", eles disseram que sim e agora perderam 6 meses de dados.

Sim, eu sei, eles devem ter backups. Não é útil neste momento. Atualmente estou procurando opções de recuperação para eles

Existe alguma maneira de recuperar / restaurar a anterior VM do "estado atual" antes que eles concordassem em ir para o instantâneo?

Eu tenho a máquina desligada agora, então algum tipo de recuperação de dados pode ser possível se for "apenas" um arquivo excluído que eu possa recuperar do sistema operacional Windows host.

Qualquer ajuda apreciada, ou recomendações para ferramentas específicas de recuperação de arquivos / dados, ou qual vmd / vdi arquivo a procurar.

Editar 1:

Trabalhando na teoria de que o "estado atual" era apenas um outro arquivo .vdi , e que eu poderia encontrá-lo com o software genérico de recuperação do Windows, comecei a procurar possíveis candidatos. Uma varredura "rápida" encontrou (e recuperou) o arquivo vbox-prev , mas não encontrou o arquivo .vdi . No entanto, o arquivo "prev" me deu o nome do arquivo .vdi ausente, então é um progresso. Agora estou tentando uma varredura profunda.

A ferramenta de verificação que estou usando me permite definir novos formatos de arquivo para procurar em bytes no disco, mas precisa de "bytes mágicos" e um comprimento de deslocamento e dados. Parece uma ferramenta excelente, mas esses recursos avançados de pesquisa não são bem documentados. Se alguém tiver um ponteiro para o formato de arquivo .vdi , isso seria ótimo.

Para aqueles que podem encontrar isso mais tarde, todos os arquivos .vdi atuais começam com bytes (little endian) que se parecem com isso:

0000000   <   <   <       O   r   a   c   l   e       V   M       V   i
0000020   r   t   u   a   l   B   o   x       D   i   s   k       I   m
0000040   a   g   e       >   >   >  \n  
0000000 3c3c 203c 724f 6361 656c 5620 204d 6956
0000020 7472 6175 426c 786f 4420 7369 206b 6d49
0000040 6761 2065 3e3e 0a3e 0000 0000 0000 0000
  
0000000   <   <   <       O   r   a   c   l   e       V   M       V   i
0000020   r   t   u   a   l   B   o   x       D   i   s   k       I   m
0000040   a   g   e       >   >   >  \n  
0000000 3c3c 203c 724f 6361 656c 5620 204d 6956
0000020 7472 6175 426c 786f 4420 7369 206b 6d49
0000040 6761 2065 3e3e 0a3e 0000 0000 0000 0000
  %pre%  %pre%  %pre%  %pre%  %pre%  %pre%  %pre%
  %pre%  %pre%  %pre%  %pre%  %pre%  %pre%

ou

%pre%     

Answer 1

Resposta:

Não é possível recuperar completamente a imagem anterior do "estado atual", pois quando o instantâneo é restaurado, o VirtualBox aparece para copiar o arquivo de imagem atual com o arquivo de instantâneo. Isso não deixa nenhum "arquivo de imagem de disco excluído" residual no disco a ser resgatado.

No entanto, no meu caso, como o instantâneo era muito menor que o "estado atual" anterior, grande parte dos dados do "estado atual" ainda estava disponível para os editores / editores de hexadecimal / programas de recuperação no agora "espaço livre" no disco, como o copy-over não zerou o arquivo de imagem de disco.

Portanto, recomendação: sua melhor opção é instalar algum programa capaz de recuperar arquivos e / ou verificações de disco brutos e pesquisar o espaço livre para as strings conhecidas. Você não recuperará toda a imagem da VM, mas poderá resgatar os dados com os meios tradicionais de recuperação de arquivos.