filesystems: recuperando nomes de arquivos do ext4 quando não há inode raiz ou journal?

Question

O inode raiz e o diário foram apagados acidentalmente do meu sistema de arquivos ext4 quando zerei os primeiros megabytes da minha partição. Meus dados, no entanto, foram todos recuperados com sucesso com o photorec. É possível recuperar algo além dos dados brutos? Algum nome de arquivo? metadados? Ou todas as coisas são normalmente armazenadas no começo da partição do disco?

    

Answer 1

A execução de e2fsck é normalmente a melhor maneira de recuperar um sistema de arquivos, e ele pode fazer um excelente trabalho mesmo se parte do sistema de arquivos estiver ausente. Isso ocorre porque o ext2 / 3/4 usa um layout relativamente estático para metadados do sistema de arquivos (inodes, bitmaps, etc., mas não diretórios) e possui cópias redundantes das tabelas do superbloco e do descritor de grupos críticos em vários locais no sistema de arquivos. p>

Dependendo de como (e quando) seu sistema de arquivos foi formatado, o início do sistema de arquivos pode não conter muitas informações críticas no início além do próprio inode raiz. Pode haver muitos inodes nesse primeiro grupo, mas eles geralmente não são usados se o sistema de arquivos não estiver cheio. A execução do e2fsck colocará quaisquer arquivos e diretórios em uso que ele achar que não tenham uma entrada de diretório (que contenha o nome do arquivo) no diretório lost+found . Esses arquivos e diretórios serão nomeados como #1234 , mas você poderá identificá-los por seu conteúdo, UID, GID e movê-los para o local apropriado no sistema de arquivos (possivelmente após recriar os diretórios-pai).

Ferramentas mais complexas como ext3grep podem potencialmente recuperar mais algumas informações (se você tiver um sistema de arquivos ext3 mais antigo, pois ele não foi atualizado recentemente), como blocos de diretório, mas desde o início do sistema de arquivos há limites para o que pode ser recuperado.

    

Answer 2

Nomes de arquivo etc. são espalhados pelo disco em inodes, então eles (a maioria deles, alguns podem estar na parte zerada) ainda devem estar por perto.

Como encontrá-los é outro assunto. Quando o inode raiz é perdido, não creio que exista uma maneira de descobrir quais blocos contêm inodes, o que significa que você fica com programas que lêem blocos brutos de dados e adivinha quais são o quê, e os inodes provavelmente são difíceis de serem usados. identificar, eu não tenho idéia se algum programa pode fazer isso (eu não ouvi falar disso).