PhotoRec: восстановление удалённых файлов в Linux

Примечание: примеры приведены для Linux (Ubuntu), но PhotoRec кроссплатформен и работает на Windows и macOS.

Почему удалённые файлы не исчезают сразу

Когда вы удаляете файл, файловая система обычно не перезаписывает данные немедленно. Она помечает пространство как доступное для записи. До тех пор, пока новая запись не перезапишет эти сектора, инструмент восстановления может их «прочитать» и восстановить файл.

Важно: чем быстрее вы прекратите использовать диск после случайного удаления, тем выше шансы на успешное восстановление.

Что такое карвинг файлов и как работает PhotoRec

Карвинг — это метод поиска файлов по сигнатурам формата (header/footer), без опоры на файловую систему и метаданные. PhotoRec последовательно просматривает сырой образ диска или раздела и извлекает фрагменты, соответствующие известным структурам файлов.

PhotoRec поддерживает множество форматов: изображения, документы (odf, pdf), архивы (zip, 7zip, tar), пакеты (rpm, deb), виртуальные диски и прочие.

PhotoRec входит в пакет TestDisk; вместе они часто присутствуют в live-distro для восстановления данных и восстановления разделов.

Подготовка перед запуском (важные шаги)

1. Остановите запись на диск. Извлеките съёмные носители или размонтируйте разделы.
2. Если возможно, сделайте побайтовую копию устройства (образ) и работайте с образом, а не с оригиналом. Это сохранит состояние носителя и позволит повторять попытки.

Пример создания образа с помощью dd (требуется достаточное свободное место на другом диске):

sudo dd if=/dev/sdX of=~/images/disk-image.img bs=4M status=progress

Где /dev/sdX — устройство-источник. Работайте с disk-image.img в PhotoRec для минимизации риска.

Важно: dd перезаписывает целевой файл; будьте осторожны с параметром of=.

Установка PhotoRec (TestDisk)

Установите пакет testdisk, он содержит photorec:

sudo apt-get update
sudo apt-get install testdisk

После установки запустите утилиту photorec (требуются привилегии root для доступа к дискам):

sudo photorec /log

Флаг /log создаёт лог-файл с результатами: полезно для аудита и повторного анализа.

Как проходит процесс восстановления в PhotoRec

PhotoRec — консольная утилита с пошаговым текстовым интерфейсом, похожим на «мастера».

1. Выберите устройство или образ (список доступных дисков и подключенных носителей отображается при старте).
2. Выберите раздел, если устройство содержит несколько разделов.
3. Укажите тип файловой системы: выберите ext2/ext3/ext4 для Linux или Other для FAT/NTFS/HFS+ и т. п.
4. Выберите режим поиска: свободное пространство (free) или весь раздел (whole).
5. Укажите путь назначения для сохранения восстановленных файлов — это должен быть отдельный диск или раздел, чтобы избежать перезаписи.

После подтверждения PhotoRec начнёт анализ и запись найденных файлов в указанный каталог. Процесс может занять много времени на больших носителях.

Фокусированное восстановление: ограничение типов файлов

PhotoRec по умолчанию пытается восстановить все известные форматы, поэтому выдаёт много результатов. Чтобы сократить время и объём выборки, используйте опцию File Opt и снимите выбор (клавиша s), затем вручную отметьте только нужные форматы (пробел).

Выберите только те расширения, которые вам действительно нужны (например, jpg, png, pdf) — это уменьшит количество ложных срабатываний и облегчит сортировку.

Сортировка и постобработка восстановленных файлов

PhotoRec сохраняет найденные элементы в папки recup_dir.1, recup_dir.2 и т.д. Имена файлов часто генерируются автоматически (фрагменты, порядковые номера).

Примеры полезных команд для быстрой сортировки и фильтрации файлов:

Перенести все .jpg из всех recup_dir.* в отдельную папку:

mkdir -p ~/all-recovered-images
mv ~/recovered/recup_dir.*/*.jpg ~/all-recovered-images/ 2>/dev/null || true

Найти и переместить маленькие файлы (например, миниатюры меньше 10K) в папку thumbnails:

mkdir -p ~/thumbnails
find ~/all-recovered-images -type f -name "*.jpg" -size -10k -print0 | xargs -0 -I{} mv {} ~/thumbnails/ 2>/dev/null || true

Отсортировать по размеру и посмотреть топ больших файлов (полезно для поиска полноразмерных изображений или видео):

find ~/all-recovered-images -type f -printf "%s %p\n" | sort -nr | head -n 30

Эти примеры можно адаптировать под другие расширения (png, pdf, docx) и под конкретные сценарии.

Когда PhotoRec может не помочь

• Когда данные уже перезаписаны новыми файлами — восстановление невозможно.
• Для файлов, чья структура сильно фрагментирована, карвинг может вернуть повреждённые или неполные файлы.
• PhotoRec ориентирован на известные сигнатуры форматов; проприетарные или необычные форматы могут быть не распознаны.

Если восстановление кажется неудачным, используйте образ диска и попробуйте другие инструменты либо обратитесь к профессионалам по восстановлению данных.

Альтернативы и дополнения

• TestDisk (в комплекте): восстановление таблиц разделов и загрузочных записей.
• scalpel, foremost: другие карверы с похожими возможностями и конфигурациями сигнатур.
• Коммерческие решения (R-Studio, Disk Drill): предлагают GUI и дополнительные алгоритмы.
• Профессиональные лаборатории восстановления: подходят при физическом повреждении носителя.

Мини-методология: быстрый план действий при случайном удалении

1. Немедленно прекратите запись на диск.
2. При возможности извлеките диск и подключите к другому компьютеру как вторичный, либо загрузитесь с live-USB.
3. Сделайте полный образ диска (dd, ddrescue) и работайте с образом.
4. Запустите PhotoRec (или альтернативу) для извлечения нужных форматов.
5. Сортируйте результаты и верифицируйте целостность восстановленных файлов.

Чек-лист по ролям

Администратор/инженер:

• Отключить автоматическое монтирование и фоновые бэкапы.
• Создать образ диска и хранить его в безопасном месте.
• Запустить PhotoRec с логированием.

Пользователь/владелец данных:

• Не записывать на диск после удаления.
• Предоставить список приоритетных типов файлов.
• Проверить восстановленные файлы и уведомить администратора о результатах.

Операционный персонал:

• Обеспечить место для хранения восстановленных данных.
• Настроить права доступа на каталоги с восстановленными файлами.

Шпаргалка команд и полезные советы

• Запуск PhotoRec с указанием образа:

sudo photorec /d ~/recovered -log ~/images/disk-image.img

• Запуск на физическом устройстве:

sudo photorec /d /media/recovered /log /dev/sdX

Где /d — каталог назначения, /log — лог, /dev/sdX или путь к образу.

Советы:

• Указывайте каталог назначения на другом физическом диске.
• Если PhotoRec долго анализирует, проверьте загрузку CPU и I/O; процесс I/O-интенсивен и зависит от скорости носителя.
• Для больших образов используйте экранную сессию (screen или tmux), чтобы не прервать процесс при закрытии терминала.

Глоссарий (в одну строку)

• Карвинг: извлечение файлов по сигнатурам без использования метаданных файловой системы.
• Образ диска: побайтовая копия устройства, сохраняющая текущее содержимое.
• Free space: свободное пространство, помеченное файловой системой как доступное для записи.

Критерии приёмки

• Найдены и открываются критичные файлы (PDF, DOCX, JPG) с приемлемой целостностью.
• Количество восстановленных целевых форматов соответствует ожиданиям (проверено выборочно).
• Лог восстановления сохранён и повторяемость процесса обеспечена (работа с образом).

Итог

PhotoRec — надёжный инструмент для восстановления удалённых файлов, особенно когда вы действуете быстро и правильно: сначала снимите образ, затем работайте с копией, ограничьте типы файлов и аккуратно отсортируйте результаты. Для критичных случаев и при физическом повреждении диска лучше подключать специалистов по восстановлению данных.

Ключевые контакты и ресурсы: документация PhotoRec, страница TestDisk, community-forums и руководства по dd и ddrescue.

Image credit: U.S. Army Corps of Engineers