find -delete

extundelete, photorec, testdisk.

А так, всё зависит от файловой системы.

В любом случае сейчас на файловую систему, с которой удалены файлы ничего писать нельзя.

Если у вас это /home или всего одна файловая система, то выключайте компьютер или отмонтируйте /home. И далее грузитесь с liveCD и используйте указанные команды.

у мну это /dev/mapper/vg-data, отмонтировал. Надо сделать образ с него командой dd наверное и с образом уже работать ?

Надо сделать образ с него командой dd наверное и с образом уже работать ?

Так, конечно, будет лучше, но можно и прямо с диска работать. Если ты не будешь там ничего менять, что с ним сделается? Нужно иметь отдельный диск, куда ты будешь восстанавливать файлы. В случае особой паранойи можно создать loop device только для чтения и работать через него: losetup --find --show --read-only /dev/mapper/vg-data.

вообщем подцепил я диск другой, отформатировал его, установил testdisk восстанавливаю. Вроде все ясно понятно, хорошая программка

эмм, testdisk создал только папки

восстановить со структурой все файлы можно при помощи этих утилит ?

Как повезёт. Попробуйте extundelete. А лучше ищите платный софт.

Ну и учитесь делать бэкапы, а заодно читать документацию по используемым утилитам, в частности findutils, перед их использованием.

Удачи.

восстановить со структурой все файлы можно при помощи этих утилит ?

Вообще он должен был восстановить файлы. Может, ты что-то не так делаешь?

Если не получится, попробуй extundelete. Если и так не получится, попробуй photorec, но это уже крайний вариант и структуры он не восстановит (и я вообще не уверен, что он работает с чем-то, кроме фото и видео).

вообщем сделал так:

dd if=/dev/mapper/vg-data of=/mnt/sde/image.img
cd /mnt/sdd
extundelete /mnt/sde/image.img --restore-directory /data

Жесткий или SSD? Если последний, то можешь забыть про данные, там нули.

Если последний, то можешь забыть про данные, там нули.

Почему?

(это я спрашиваю, потому что не знаю, а не потому что спорю)

Потому что ячейки возвращаются в исходное состояние довольно быстро. Я SSD нечаянно отформатировал, пытался сначала восстановить, потом залез нёх редактором и увидел замечательную картину в виде нулей. А прошла всего пара часов.

Потому что ячейки возвращаются в исходное состояние довольно быстро.

Но зачем они возвращаются в исходное состояние? Кто их в него возвращает?

Зато теперь навсегда запомнишь, что сначала нужно без -delete смотреть что он там тебе нашёл такого, а только потом с ним. Это я без злорадства, все хоть раз обжигались.

Контроллер, не?

Это TRIM. Причём раньше там проверялось, работает ли он (включён). А сейчас уже появились диски, у которых не обнуляется.

Это TRIM

А, вот теперь я прочитал про SSD TRIM, и стало понятно. Спасибо.

да SATA RAID1, правда не все вернулось а только часть. Сейчас ищу другие альтернативы типа ext4magic но что-то мне не нравится, может быть работаю только с ней в первый раз.

пока идет скан образа в testdisk...

однако extundelete говорит

NOTICE: Extended attributes are not restored.
Loading filesystem metadata ... 2400 groups loaded.
Loading journal descriptors ... 31567 descriptors loaded.
Searching for recoverable inodes in directory /data ... 
5171 recoverable inodes found.
Looking through the directory structure for deleted files ... 
500 recoverable inodes still lost.

Потому что ячейки возвращаются в исходное состояние довольно быстро.

Не совсем так, точнее совсем не так. Ввиду того, что ssd - это по сути Flash память, ячейки памяти которой имеют ограниченное число циклов перезаписи (смены состояния), то для равномерного износа всех ячеек контроллер накопителя каждый раз при записи в некоторую ячейку памяти (сектор ssd накопителя) осуществляет её переназначение. Т.е. внутри накопителя есть некоторая таблица переадресации. В итоге если в некоторый сектор ssd накопителя была записана некоторая информация, то с большой долей вероятности данные были записаны не в туже физическую ячейку памяти, которой был сопоставлен логический сектор диска, а в другую новую ячейку, которая была на лету сопоставлена сектору диска, а исходная ячейка памяти вообще осталась без изменений. В итог если вам нужны ваши данные, то обращайтесь в специализированную фирму, которая может считать всю память накопителя напрямую, а не через контроллер ssd накопителя, потом из считанных блоков можно будет собрать файловую систему и прочитать даже удалённые файлы.

Так что по сути после записи данных в какой-либо сектор при считывании данных из него данные по сути считываются уже из другой физической ячейки памяти ssd накопителя.

Т.е. описание TRIM вас не устраивает и вы написали свою тиорийу?

В следующий раз делай find -ok