Как восстановить последний раз удаленные каталоги на разделе NTFS

Инструменты восстановления данных в Linux очень странные и редкие, и даже больше, что работает с файловыми системами NTFS. Итак, если вам нужен инструмент, который восстанавливает метаданные файла и представляет их, если это не один из предложенных, ntfsundelete, PhotoRec (Sleuthkit) или TestDisk; Я бы рекомендовал использовать для этой задачи инструменты только для Windows.

Если вы используете fls -r, то он будет рекурсивно проходить по всем каталогам, что может быть не совсем то, что вам нужно для вашей цели здесь. Попробуйте использовать flsболее интерактивным способом, как ls. Кроме того, использование mactimeдля обработки вывода может быть полезно для перехода к нужным каталогам/файлам.

mactimeпомещает все файлы на временную шкалу, отмечая, когда каждый из них был изменен ( m), доступ ( a), (атрибут-) изменен ( c) или родился ( b). Поскольку файлы могут создаваться и изменяться в разное время, вы увидите одни и те же имена файлов в разных строках.

Например, используйте fls -m X: /dev/sda3 | mactime -b -, чтобы получить список верхнего каталога, отсортированного по времени. Удаленные файлы помечаются (удалены). Вы также увидите множество хранилищ данных об обслуживании, которые обычно скрыты в проводнике Windows.

В случае NTFS существует комбинация из 3 цифр, например x-y-z, обозначающая идентификатор файла в файловой системе. Для обычных каталогов yдолжно быть 144.

Используйте fls -m X: /dev/sda3 x-y-z | mactime -b -, чтобы получить список интересующей вас директории.

Восстановление выполняется аналогично с использованием идентификаторов файлов: icat /dev/sda3 xyz >recovered_file