Löschen und Restaurieren von Dateien

undelete

Eine intuitivere Möglichkeit zur Restauration gelöschter Dateien bietet das Tool undelete von Sebastian Hetze (von der Firma Lunetix). Dieses Tools wird zwar vom Autor noch explizit als Alpha-Version bezeichnet, in vielen Fällen funktioniert es aber bereits jetzt ausreichend. Es ist meines Wissens nach noch in keiner Distribution enthalten. Sie finden es auf dem Server von Lunetix (www.lunetix.de). undelete kennt in der Version 0.6 drei Optionen: Das Argument von -d (device) definiert die Gerätedatei, über die das betroffene Dateisystem angesprochen wird, mit -a (age) kann der Zeitraum in Stunden seit dem Löschen der Datei angegeben und damit die Anzahl der relevanten Inodes eingegrenzt werden. Voreingestellt ist die Berücksichtigung von Inodes, die zu in den letzten 24 Stunden gelöschten Dateien gehören. -f (force) erzwingt die Bearbeitung von Dateisystemen, die ohne diese Option nicht geöffnet werden würden, weil sie beispielsweise noch gemountet sind. Das Fenster von undelete ist in vier Bereiche unterteilt:

Abbildung 1: undelete in Aktion

Die aktuellen Aktionen des Programms werden immer in dem Statusfenster unten rechts angezeigt. Dort gibt das Programm auch Hinweise, was jetzt getan werden sollte, etwa, dass das bearbeitete Dateisystem demontiert werden sollte. Im Listenfenster werden die auf dem Dateisystem gefundenen Inodes gelöschter Dateien angezeigt, die in dem angegebenen Zeitlimit liegen. Weitergehende Informationen zu der Inode, auf die der Zeiger im Listenfenster verweist, stellt undelete im Infofenster dar. Die Namen der gelöschten Dateien und Verzeichnisse können wie oben dargestellt nicht restauriert werden. Deshalb werden sie in der Form unknown INODE angezeigt. Die Daten in den zu der Inode gehörenden Blöcken und andere umfangreichere Informationen zeigt undelete im Datenfenster an. Die Steuerung von undelete kann über eine Reihe von Tastenkürzeln erfolgen. ? veranlasst das Programm, diese im Datenfenster anzuzeigen. Innerhalb dieses Fensters gilt eine Tastensteuerung analog zum vi. Vorwärts und rückwärts Scrollen kann mit den Cursortasten erfolgen, die Tasten h, l, j und k erlauben das block- bzw. seitenweise Springen. Durch f wird der force-Modus aktiviert, und mit d kann ein neues Device geöffnet werden, a stellt ein anderes Höchstalter der gelöschten Inodes ein. Auf diese Weise kann sich der Anwender durch seine Dateisysteme "hangeln", um möglichst viel von dem zu retten, was noch vorhanden ist.

Fazit

Wie man sieht, ist Rettung beim versehentlichen Löschen wichtiger Dateien oft möglich, erfordert aber natürlich einige Arbeit. Daher: glücklich ist der, der über aktuelle Backups verfügt. Aber das ist eine andere Geschichte.