Как восстановить удалённые файлы на Linux с помощью TestDisk

В этой статье подробно объяснено, что такое TestDisk, как установить утилиту в разных дистрибутивах Linux и как пошагово восстановить удалённые файлы и папки. Также приведены практические советы, сценарии, когда восстановление не сработает, альтернативы и контрольные списки для пользователей и администраторов.

Что такое TestDisk?

TestDisk — это надёжный и активно используемый инструмент для восстановления данных из-под командной строки. Он написан на языке C и поддерживается на большинстве платформ: Linux, Windows, macOS и некоторых Unix-подобных системах. Кратко: TestDisk помогает найти и восстановить удалённые разделы, восстановить загрузочные секторы и извлечь отдельные файлы из повреждённых или удалённых файловых систем.

Определение в одну строку: утилита для анализа, восстановления таблиц разделов и копирования (извлечения) файлов из обнаруженных разделов.

Ключевые возможности TestDisk:

• Восстановление удалённых разделов и их описаний в таблице разделов.
• Восстановление повреждённых или перезаписанных таблиц разделов.
• Восстановление и восстановление загрузочных секторов (boot sector) с резервных копий.
• Работа с файловыми системами: FAT, NTFS, exFAT, ext2/3/4 и др. (возможности зависят от версии и модулей).
• Поиск и копирование удалённых файлов из найденных разделов.

Важно: если файл был удалён с помощью утилиты shred или данные были многократно перезаписаны, восстановление, как правило, невозможно — TestDisk не сможет вернуть физически уничтоженные данные.

Ограничения и ситуации, когда восстановление не получится

• Если файл был удалён командой shred или был безопасно перезаписан — восстановление маловероятно.
• Если секторы, содержащие данные, были перезаписаны новой информацией — данные утеряны.
• Аппаратные повреждения (физические дефекты диска) могут препятствовать восстановлению; в таких случаях лучше обратиться в специализированную лабораторию.

Заметка: при сомнении не записывайте на диск, с которого хотите восстановить файлы. Любая запись уменьшает шансы восстановления.

Как установить TestDisk

На большинстве дистрибутивов TestDisk не установлен по умолчанию. Ниже приведены распространённые команды для установки. Выполняйте команды от имени пользователя с правами sudo.

Debian/Ubuntu (если требуется, активируйте репозиторий universe):

sudo add-apt-repository "deb http://archive.ubuntu.com/ubuntu $(lsb_release -sc) universe"
sudo apt update
sudo apt install testdisk

Fedora:

sudo dnf install testdisk

Arch Linux / Manjaro:

sudo pacman -S testdisk

RHEL / CentOS (через EPEL; команды приведены как пример для RHEL/CentOS 8):

sudo yum install epel-release
sudo yum update
sudo yum install testdisk

Проверка установки:

testdisk --version

Вывод команды покажет версию установленного пакета testdisk.

Подход к восстановлению — рекомендации перед началом

• Прекратите запись на диск, с которого нужно восстановить данные.
• Если возможно, отключите диск и подключите к другой системе как вторичный диск (или используйте live-USB), чтобы не изменять диск, содержащий удалённые данные.
• При работе с подозрительными носителями создайте образ (битовый дамп) и работайте с образом. Пример: dd или ddrescue для проблемных дисков.
• Всегда создавайте лог TestDisk — это помогает анализировать процесс.

Важно: работа с оригинальным диском без осторожности снижает шансы на восстановление.

Восстановление удалённых файлов на Linux с помощью TestDisk — пошаговое руководство

Ниже — подробные шаги с пояснениями и скриншотами интерфейса TestDisk.

Шаг 1: Создание лог-файла

Запустите TestDisk (без sudo в некоторых системах может потребоваться разрешение):

sudo testdisk

На первом экране TestDisk предложит создать лог-файл. Выберите Create, чтобы начать новый лог.

Пояснение опций:

• Create — создать новый лог-файл. Рекомендуется.
• Append — добавить информацию в существующий лог.
• No Log — не сохранять лог (не рекомендуется).

Лог-файл хранит все действия и найденные структуры — пригодится при повторном анализе или при передаче отчёта коллегам.

Шаг 2: Выбор диска для восстановления

После создания лога TestDisk отобразит список доступных устройств и их размеры. Выберите диск, с которого нужно восстановить данные.

Если нужный диск не виден, попробуйте запустить testdisk от root (sudo testdisk) или проверьте подключение носителя.

Шаг 3: Выбор типа раздела

TestDisk попытается автоматически определить тип таблицы разделов. Если вы не уверены — выберите вариант, который TestDisk предлагает по умолчанию.

Типы:

• Intel (MBR)
• EFI GPT
• Humax
• Mac
• None
• Sun
• Xbox

После выбора типа перейдите к опциям восстановления. Для поиска и копирования файлов выберите Advanced.

TestDisk покажет список разделов на выбранном диске. Выберите нужный раздел и нажмите Enter.

При необходимости TestDisk предложит выбрать каталог для сохранения образа раздела — укажите место на другом диске и нажмите Proceed.

Шаг 4: Поиск и копирование удалённых файлов

После входа в режим просмотра файлов TestDisk отобразит каталог и список файлов. Навигируйте по каталогам клавишами стрелок. Удалённые файлы отмечаются красным цветом.

Примечание: TestDisk не «восстанавливает» файлы обратно в прежнее место. Вместо этого вы копируете (экспортируете) найденные файлы в целевую папку на другом носителе.

Чтобы скопировать файл:

1. Выделите нужный файл (он будет красного цвета, если удалён).
2. Нажмите клавишу C (большая латинская C) для копирования.
3. Выберите целевой каталог (на другом диске или разделе) и снова нажмите C, чтобы подтвердить копирование.

Успех копирования будет подтверждён сообщением “Copy done! 1 ok, 0 failed”.

Если файлов много, можно выбрать несколько элементов и копировать их пакетно.

Завершение работы с TestDisk

Чтобы выйти, используйте опцию Quit на каждом экране до полного выхода из приложения.

Практические советы и лучшие практики

• Всегда копируйте найденные файлы на другой физический диск.
• При восстановлении с системного диска используйте Live-USB, чтобы минимизировать записи на диск.
• Если есть сомнения по физическому состоянию носителя, сначала снимите битовый образ (ddrescue) и работайте с образом.
• Сохраняйте лог-файлы и снимки экрана при передаче инцидента коллегам.

Альтернативы и дополняющие инструменты

• PhotoRec — утилита, распространяемая вместе с TestDisk, умеет восстанавливать файлы по сигнатурам (полезно, если файловая система сильно повреждена).
• dd и ddrescue — для создания побитового образа диска перед восстановлением.
• extundelete, ext4magic — специализированные инструменты для ext-файловых систем (в определённых ситуациях дают лучшие результаты).

Когда использовать PhotoRec: если TestDisk не находит структуру файловой системы или файловая система сильно повреждена, PhotoRec может восстановить отдельные файлы по сигнатурам (но теряется иерархия каталогов и имена файлов).

Когда TestDisk не сработает — типичные случаи

• Файл был удалён с использованием shred или другой утилиты, перезаписывающей содержимое.
• Файловая система была полностью переформатирована и данные перезаписаны новыми файлами.
• Физическое повреждение поверхностей диска (шумы, щелчки) — требуется апаратная экспертиза.

Быстрый план действий при потере данных (SOP)

1. Остановите запись на диск; отключите или примонтируйте как только для чтения.
2. Подключите диск к другой машине или загрузитесь с Live-USB.
3. Создайте битовый образ (опционально, рекомендуется для проблемных дисков):

sudo dd if=/dev/sdX of=/path/to/image.dd bs=4M conv=sync,noerror
# или лучше
sudo ddrescue -f -n /dev/sdX /path/to/image.img /path/to/ddrescue.log

4. Запустите testdisk на образе или на подключённом диске:

sudo testdisk /path/to/image.dd

5. Создайте лог, выберите диск/образ, тип раздела, режим Advanced и скопируйте файлы на внешний носитель.
6. По завершении проверьте целевой диск на целостность и перенесите восстановленные данные туда, где они должны храниться.

Рольовые контрольные списки

Для пользователя (не админа):

• Не записывать на диск с удалёнными файлами.
• Связаться с администратором или IT-отделом, если не уверены.
• Подготовить внешний носитель для копирования восстановленных файлов.

Для администратора/инженера восстановления:

• Подготовить Live-USB с TestDisk/PhotoRec и инструментами ddrescue.
• Снять образ проблемного диска при подозрении на аппаратные ошибки.
• Проверить целевой носитель на достаточно свободного места и файловую систему.
• Вести лог и фиксировать шаги восстановления.

Критерии приёмки

• Восстановленные файлы читаются и открываются в ожидаемых приложениях.
• Количество успешно восстановленных файлов соответствует ожидаемому (в разумных пределах).
• Никаких записей на исходный диск не производилось после инцидента.

Тестовые случаи и приёмочные проверки

• Попытка восстановления файла, затем открытие файла в соответствующем приложении.
• Восстановление нескольких файлов разных типов (текст, изображение, архив).
• Проверка прав доступа восстановленных файлов — при необходимости скорректировать.

Модель принятия решений (простая диаграмма)

flowchart TD
  A[Потеря файла] --> B{Был ли диск перезаписан?}
  B -- Да --> C[Шанс восстановления низкий]
  B -- Нет --> D{Использовалась ли shred?}
  D -- Да --> C
  D -- Нет --> E[Создать образ и запустить TestDisk]
  E --> F[Найден файл?]
  F -- Да --> G[Скопировать на другой диск]
  F -- Нет --> H[Попробовать PhotoRec / обратиться к специалистам]

Риск-матрица и рекомендации по смягчению

• Запись на исходный диск: риск высокий — смягчение: монтировать только для чтения, использовать Live-USB.
• Перезапись данных: риск критический — смягчение: немедленно прекратить использование диска.
• Физическая деградация носителя: риск высокий — смягчение: создать образ и обратиться в сервис при необходимости.

Краткая справка по поддерживаемым файловым системам

TestDisk официально работает с MBR и GPT, а также с распространёнными файловыми системами типа FAT/NTFS/ext и др. PhotoRec дополняет ситуацию, позволяя восстановить файлы по сигнатурам при сильном повреждении файловой системы.

1‑строчный глоссарий

• Лог-файл — файл регистра, сохраняющий ход операций TestDisk.
• Битовый образ — побитовая копия носителя (dd, ddrescue).
• shred — утилита для безопасного удаления файлов путём перезаписи.

Итог и рекомендации

TestDisk — универсальный и проверенный инструмент для восстановления удалённых файлов и разделов на Linux. Он особенно полезен, когда данные ещё не перезаписаны и файловая система частично читаема. Для максимальных шансов восстановления:

• Немедленно прекратите запись на проблемный диск.
• Работайте с образом диска или с диском, подключённым как второй носитель.
• Используйте TestDisk для поиска и копирования удалённых файлов, а PhotoRec — когда файловая система сильно повреждена.

Важно: план резервного копирования (например, удалённый бэкап через rsync или регулярное создание образов) надёжнее любых восстановлений после инцидента.

Дополнительные ресурсы: документация TestDisk и встроенная помощь (опция /help при запуске).