Damweiniol rm -rf neu Shift-Delete ar Linux, macOS, neu Windows: Ail-osod Darllen yn Unig Ar Unwaith¶

Gwylio damweiniol rm -rf, find -delete, git clean -fdx, neu Windows Shift+Delete dileu cronfeydd data cynhyrchu hanfodol, cod ffynhonnell, neu ffeiliau personol heb eu hanfon i Bin Ailgylchu neu ffolder Sbwriel yn sbarduno panig ar unwaith. Fodd bynnag, nid y naill na'r llall rm -rf nac ychwaith Shift+Delete mewn gwirionedd yn sero'ch sectorau storio sylfaenol allan ar hyn o bryd y mae'r gorchymyn yn ei gwblhau: yn lle hynny, mae'r system weithredu yn syml yn datgysylltu'r cofnod cyfeiriadur, yn diweddaru ei ddyddlyfr metadata, ac yn nodi'r awgrymiadau inod hynny neu'r Master File Table (MFT) cofnodion a mapiau didau bloc fel y maent ar gael i'w hailddefnyddio. Yr hyn sy'n dinistrio'ch ffeiliau sydd wedi'u dileu yn barhaol yw bob eiliad mae'r system ffeiliau yn parhau i fod wedi'i gosod yn read-write (rw) modd ar ôl y dileu, fel cofnodwyr system gefndir (systemd-journald, rsyslog), caches porwr, gweithgaredd cyfnewid, ac SSD TRIM / discard mae gorchmynion yn trosysgrifo'r blociau sydd newydd eu rhyddhau yn gyflym. Os yw'ch system yn lle hynny yn dioddef o glicio corfforol, sectorau gwael, neu reolwr marw, stopiwch a newidiwch i'n canllaw methiant gyriant caled ac adfer data, neu os yw eich gyriant cyflwr solet wedi cloi ei hun oherwydd traul rheolydd, gweler Modd darllen yn unig sydyn SSD a NVMe a TRIM yn analluogi achub; ar gyfer camgymeriadau fformatio ehangach neu faterion cerdyn camera, ymgynghorwch dileu ffeiliau yn ddamweiniol, gyriant wedi'i fformatio, ac adfer lluniau. Os yw’r digwyddiad hwn yn cynnwys difrod troseddol, cribddeiliaeth, neu doriad system diogelwch bywyd, ffoniwch eich rhif argyfwng lleol (911 yn yr Unol Daleithiau a Chanada, 112 ar draws yr Undeb Ewropeaidd, 999 yn y Deyrnas Unedig) neu edrychwch ar ein cyfeiriadur rhyngwladol o rhifau brys.

Gwnewch hyn nawr¶

1. Gwasg Ctrl+C ar unwaith os yw'r gorchymyn dileu yn dal i redeg, a PEIDIWCH â chau unrhyw ffenestri terfynell agored, golygyddion testun, chwaraewyr cyfryngau, neu daemonau cronfa ddata: Os oes unrhyw raglen redeg (nginx, postgres, mysqld, vim, code, python, tail, neu chwaraewr fideo) yn dal i fod â'r ffeil wedi'i dileu ar agor yn y cof, mae'r cnewyllyn Linux neu macOS yn cadw blociau data'r ffeil yn gyfan ar ddisg nes bod y broses honno'n cau ei disgrifydd ffeil. Bydd cau'r rhaglen neu ailgychwyn y peiriant ar hyn o bryd yn rhyddhau'r cyfrif cyfeirnod ar unwaith (i_nlink == 0) a sbarduno deallocation bloc gwirioneddol.
2. ** Cyn ail-osod neu bweru ar Linux, gwiriwch /proc/<pid>/fd/ ar hyn o bryd i achub unrhyw ffeiliau sydd wedi'u dileu sy'n dal ar agor gan broses redeg**: Rhedeg sudo lsof +L1 (sy'n rhestru'r holl ffeiliau agored sydd â chyfrif dolen yn llai nag 1, sy'n golygu eu bod wedi'u datgysylltu gan rm tra'n dal ar agor) a chopïo eu cynnwys crai allan o storfa RAM / cnewyllyn i yriant ar wahân neu /dev/shm (tmpfs disg RAM) gan ddefnyddio cp /proc/<pid>/fd/<fd_number> /dev/shm/rescued_file.
3. ** Ail-osod y rhaniad Darllen yn Unig yr effeithiwyd arno (ro) ar unwaith fel na all cnewyllyn yr AO ysgrifennu beit sengl arall o logiau dyddlyfr neu ffeiliau dros dro i'r blociau heb eu dyrannu**:
4. Ar Linux (ext4, XFS, Btrfs): Rhedeg sudo mount -o remount,ro /path/to/mountpoint (er enghraifft, sudo mount -o remount,ro /home neu sudo mount -o remount,ro /).
5. Os mount -o remount,ro yn methu â mount point is busy ar eich gwraidd (/) rhaniad: Sbardun adlif brys darllen-yn-unig brys y cnewyllyn trwy Magic SysRq trwy redeg echo u | sudo tee /proc/sysrq-trigger (sy'n gorfodi'r holl systemau ffeiliau sydd wedi'u gosod i ail-osod gosodiadau darllen yn unig yn syth heb brosesau lladd nac aros am gloeon agored).
6. Ar macOS (APFS / HFS+): Rhedeg sudo diskutil mount readOnly /Volumes/TargetVolume ar gyfer cyfrolau nad ydynt yn cychwyn, neu os oedd y ffeiliau ar eich cynradd Data cyfaint (/System/Volumes/Data), gorfodi pŵer i ffwrdd ar unwaith trwy ddal y botwm Touch ID / Power am 10 eiliad i atal Sbotolau cefndir (mds_stores) a fseventsd yn ysgrifennu.
7. ** Ar Windows (NTFS / ReFS)**: Pe bai'r ffeiliau sydd wedi'u dileu ar yriant eilaidd (D:, E:), agorwch Anogwr Gorchymyn Gweinyddwr a chlowch y gyfrol darllen yn unig drwyddo diskpart (select volume D, attributes volume set readonly). Os oedd y ffeiliau ymlaen C:\, peidiwch â chau Windows i lawr fel arfer (mae cau arferol yn ysgrifennu cannoedd o megabeit o gychod gwenyn cofrestrfa, logiau digwyddiadau, a diweddariadau ffeil tudalen dros ryddhad MFT clystyrau); yn lle hynny, tynnwch y llinyn pŵer bwrdd gwaith neu ddal y botwm pŵer gliniadur i lawr am 10 eiliad i dorri pŵer yn syth.
8. ** Atal SSD TRIM (discard / UNMAP) rhag sero'r tudalennau fflach heb eu dyrannu**: Os yw'r gyriant yn NVMe neu SATA SSD ac wedi'i osod gyda di-dor discard (neu os yw Windows / macOS yn rhedeg wedi'u hamserlennu TRIM yn syth ar ôl dileu ffeil), torri pŵer neu ail-osod ro yn atal yr OS rhag ciwio ychwanegol ar unwaith NVME_DSM_ATTR_DEALLOCATE gorchmynion, a gosod yr SSD i mewn i addasydd pont USB-i-NVMe nad yw'n pasio TRIM yn ystod adferiad yn atal casgliad sbwriel cefndir y rheolwr rhag sychu blociau y gellir eu hadennill.
9. ** Cist o USB byw allanol (Ubuntu Live, SystemRescue, neu WinPE) a chloniwch y rhaniad did-am-did i yriant storio allanol gan ddefnyddio ddrescue cyn rhedeg unrhyw offeryn undelete**: Peidiwch byth â rhedeg ext4magic, extundelete, testdisk, photorec, neu ntfsundelete yn uniongyrchol yn y modd ysgrifennu yn erbyn gyriant y dioddefwr; delweddwch y ddyfais bloc bob amser (sudo ddrescue -d -r0 /dev/nvme0n1p2 /mnt/external/disk_image.raw /mnt/external/rescue.map) a cherfiwch eich ffeiliau o'r ddelwedd neu ysgrifennwch ffeiliau wedi'u hadfer yn llym i ail ddisg gorfforol.
10. **Gwiriwch gipluniau system ffeiliau lleol cudd (Btrfs, ZFS, LVM, cipluniau lleol MacOS APFS Time Machine, a Chopïau Cysgodol Cyfrol Windows) cyn treulio oriau yn cerfio sectorau crai **: Mae llawer o systemau yn cadw cyfeiriadau bloc atomig pwynt-mewn-amser yn dawel (tmutil listlocalsnapshots / ar macOS, vssadmin list shadows ar Windows, zfs list -t snapshot, neu btrfs subvolume list -s /) sy'n caniatáu adferiad o 100 y cant ar unwaith rm -rf neu Shift+Delete cyfeiriaduron heb gyffwrdd â chlystyrau amrwd heb eu dyrannu.

Coeden benderfynu: brysbennu ar unwaith ar ôl damwain rm -rf neu Shift+Delete¶

Dilynwch y goeden benderfynu hon o fewn y 60 eiliad cyntaf ar ôl darganfod y dilead i gadw'r ganran uchaf bosibl o flociau data heb eu cysylltu:

flowchart TD
    Start["Damweiniol rm -rf, find -delete, neu Shift+Delete Wedi'i Weithredu"] --> OpenCheck{"A A Allai Unrhyw Broses Redeg (DB, Golygydd, Gweinydd, Cynffon) Fod y Ffeil Wedi'i Dileu Ar Agor o Hyd?"}

    OpenCheck -->|"Ydy (Mae Linux / macOS yn dal i redeg)"| ProcRescue["CAM 1: Rhedeg sudo lsof + L1 Ar unwaith a Copïwch Ddisgrifyddion Ffeil Agored o / proc/PID/fd/N i RAM Disk (/dev/shm) neu USB Allanol"]
    OpenCheck -->|"Na (Neu Roedd Pob Ffeil Ar Gau)"| SnapCheck{"A yw'r Gyfrol yn Defnyddio ZFS, Btrfs, Cipluniau Lleol APFS, neu Gopïau Cysgodol Windows?"}

    ProcRescue --> FreezeOS["CAM 2: Rhewi'r Holl Ysgrifeniadau Disg ar unwaith"]
    SnapCheck -->|"Ydy: Mae Ciplun CoW yn Bodoli"| FreezeOS
    SnapCheck -->|"Na: Ext4 safonol, XFS, neu NTFS Heb Cipluniau"| FreezeOS

    FreezeOS --> OSBranch{"Pa System Weithredu a Rhaniad A Darwyd?"}

    OSBranch -->|"Linux Di-Wraidd (/cartref, /data)"| RemountRO["Rhedeg: sudo mount -o remount, ro /mountpoint"]
    OSBranch -->|"Linux Root (/) Rhaniad"| SysRqRO["Rhedeg: adlais u | tee sudo /proc/sysrq-trigger (Cnewyllyn Argyfwng Darllen yn Unig Remount)"]
    OSBranch -->|"Windows C: Drive neu macOS Boot APFS"| HardPower["PEIDIWCH â Chau i Lawr Fel arfer: Daliwch y Botwm Pŵer 10 Eiliad neu Tynnwch y Cord Pŵer i Atal Log Cau i Lawr/Ysgrifeniadau Ffeil Tudalen"]
    OSBranch -->|"Gyriant Allanol Eilaidd neu Gyriant Data"| UnmountSec["Dadosod / Gosod Cyfrol Darllen yn Unig Ar Unwaith a Datgysylltu Drive"]

    RemountRO --> LiveBoot["CAM 3: Boot Allanol SystemRescue Live USB a Clôn Rhaniad gyda ddrescue i Gyriant Allanol"]
    SysRqRO --> LiveBoot
    HardPower --> LiveBoot
    UnmountSec --> LiveBoot

    LiveBoot --> FSRecovery{"Dewiswch Dull Adfer trwy System Ffeiliau"}
    FSRecovery -->|"est4/est3"| ExtRec["Journal Inode Recovery: ext4magic / extundelete / debugfs"]
    FSRecovery -->|"XFS / APFS / Heb ei gyhoeddi"| CarveRec["Llofnod a Cherfiad Pennawd / Troedyn: photorec / sgalpel / yn bennaf / xfs_irecover"]
    FSRecovery -->|"NTFS (Windows)"| NtfsRec["Dosrannu Cofnod MFT: ntfsundelete / TestDisk / UFS Explorer / DMDE"]

Pam fod pob eiliad wedi gosod Read-Write (rw) yn dinistrio ffeiliau sydd wedi'u dileu¶

I ddeall pam mai penderfyniad bywyd neu farwolaeth ar gyfer eich data yw ail-osod darllen-yn-unig ar unwaith neu doriad pŵer caled, archwiliwch yr hyn y mae pob system ffeiliau fodern yn ei addasu pan fyddwch chi'n rhedeg unlink() (rm) neu DeleteFileW() (Shift+Delete):

1. Beth sy'n digwydd y tu mewn ext4, XFS, APFS, a NTFS yn ystod dileu¶

Pan gaiff ffeil ei dileu, nid oes unrhyw system weithredu defnyddiwr yn gwario lled band disg I/O yn ysgrifennu sero dros gronfa ddata neu ffeil fideo 10 gigabyte (10.7 biliwn beit). Yn lle hynny, dim ond strwythurau metadata bach y mae gyrrwr y system ffeiliau yn eu treiglo:

2. Yr AGC TRIM (Discard / Deallocate) Bom Amser¶

Ar yriant caled troelli (HDD), mae sectorau'n aros yn ddarllenadwy nes eu bod wedi'u trosysgrifo. Ar SSD (SATA neu NVMe), pan fydd system ffeiliau yn cyhoeddi a TRIM neu Deallocate gorchymyn: - Mae'r rhan fwyaf o reolwyr NVMe yn gweithredu ** Darllen Sero Penderfynol ar ôl TRIM (DRAT / DZAT), yn dychwelyd 0x00000000 (pob sero) o'r Haen Gyfieithu Flash (FTL) yn syth ar ôl ei dderbyn TRIM, hyd yn oed cyn casglu sbwriel NAND corfforol yn rhedeg. - Pam mae systemau Linux yn goroesi'n aml TRIM: Y rhan fwyaf o ddosbarthiadau Linux (Ubuntu, Debian, Fedora, RHEL) ** peidiwch â galluogi amser gosod parhaus discard yn ddiofyn; maen nhw'n rhedeg amserydd wythnosol (fstrim.timer). Os ydych chi'n ad-daliadau darllen yn unig (ro)** o'r blaen fstrim.timer yn rhedeg **, nid yw'r SSD wedi dadfapio'r blociau hynny eto.

Cam 1: Achub ffeiliau sydd wedi'u dileu sy'n dal i gael eu cadw ar agor gan broses redeg (/proc/<pid>/fd/)¶

Cyn i chi ailgychwyn, dadosod, neu gau ffenestr sengl ar Linux neu macOS, gwiriwch am ddisgrifyddion ffeil agored. Mewn systemau POSIX, rm galwadau unlink(). Mae'r cnewyllyn yn olrhain dau gownter ar gyfer pob inod: 1. i_nlink: Cofnodion cyfeiriadur ar ddisg yn pwyntio at y inod. 2. i_count: Prosesau gweithredol sy'n dal y inod yn agored yn y cof.

Rheol POSIX euraidd: Nid yw'r cnewyllyn ** byth yn rhyddhau'r inod nac yn dyrannu blociau disg tan y DDAU i_nlink == 0 AC i_count == 0**. Os yw cronfa ddata, log, fideo, neu ffeil cod wedi'u dileu yn dal i fod ar agor mewn unrhyw broses, Mae 100 y cant o'r ffeil honno'n parhau'n gyfan ar ddisg.

Cam wrth gam /proc/<pid>/fd/ echdynnu ar Linux¶

1. Dewch o hyd i bob ffeil sydd wedi'i dileu sy'n dal ar agor gan unrhyw broses:

   sudo lsof +L1
   

   (Neu hidlo yn ôl enw ffeil: sudo lsof | grep -i "(deleted)" | grep -i "filename")
2. Darllenwch y lsof colofnau allbwn:

   COMMAND    PID     USER   FD   TYPE DEVICE  SIZE/OFF   NLINK    NODE NAME
   postgres  4182 postgres   14u   REG  259,2 524288000       0 1839204 /var/lib/postgresql/16/main/base/16384/16399 (deleted)
   

   Sylwch ar y PID (4182) a thynnu'r llythyren ôl (u, r, w) o FD (14u -> 14).
3. ** Copïwch y ffeil amrwd allan o /proc/<pid>/fd/<fd_num> i mewn i RAM (/dev/shm) neu yriant allanol**: Peidiwch byth ag ysgrifennu'r ffeil a achubwyd yn ôl i'r rhaniad yr effeithiwyd arno. Ysgrifennwch at /dev/shm (disg RAM) neu yriant USB allanol:

   mkdir -p /dev/shm/rescued_files
   sudo cp /proc/4182/fd/14 /dev/shm/rescued_files/16399_recovered
   

4. Rescue multiple open deleted files from a database or container (PID=4182) in one loop:

   sudo mkdir -p /dev/shm/rescued_db
   for fd in /proc/4182/fd/*; do
     target=$(sudo readlink "$fd")
     if echo "$target" | grep -q "(deleted)"; then
       fd_num=$(basename "$fd")
       clean_name=$(echo "$target" | sed 's/ (deleted)//; s/\//_/g')
       sudo cp "$fd" "/dev/shm/rescued_db/fd_${fd_num}${clean_name}"
     fi
   done
   

5. Rescue buffers and IDE Local History (vim, VS Code, Cursor, JetBrains):
6. Do not close open editor tabs: Save open buffers directly to /dev/shm or a thumb drive.
7. VS Code / Cursor / VSCodium Local History: Stores automatic timestamped copies of every saved file inside -/.config/Code/User/History/ (Linux), -/Library/Application Support/Code/User/History/ (macOS), or %APPDATA%\Code\User\History\ (Windows), completely outside your project folder. Even after rm -rf -/my-project neu git clean -fdx, your code files remain intact inside User/History/ with an entries.json manifest mapping each file back to its original path.
8. JetBrains IDEs (IntelliJ, PyCharm, WebStorm): Stores automatic history inside -/.cache/JetBrains/<IDE>/LocalHistory/.
9. Git (git reset --hard neu git branch -D gyda .git/ intact): Run git reflog neu git fsck --lost-found immediately to recover dangling blobs inside .git/objects/.

Phase 2: Freezing the filesystem Read-Only (ro) without overwriting unallocated blocks¶

Once you have extracted any open file descriptors from /proc (or verified none exist), your immediate priority is stopping the operating system from writing a single additional sector to the partition.

1. Linux: Remounting a Data Partition vs. the Root (/) Rhaniad Darllen yn Unig¶

• ** Senario A: Roedd y ffeiliau a ddilëwyd ar raniad ar wahân (/home, /var, /data, /mnt/storage)**:
• Rhowch gynnig ar unwaith ar swm darllen yn unig glân:

  sudo mount -o remount,ro /home
  

• Os mount yn dweud mount point is busy, adnabod ac atal y prosesau ysgrifennu (sudo fuser -vm /home dilyn gan sudo fuser -km -TERM /home), yna ail-redeg ar unwaith sudo mount -o remount,ro /home.
• ** Senario B: Roedd y ffeiliau sydd wedi'u dileu ar y Root (/) rhaniad (neu ni allwch ladd prosesau prysur): Peidiwch â rhedeg sudo reboot neu sudo shutdown -h now, oherwydd normal systemd shutdown yn ysgrifennu megabeit o journald logiau cau i lawr, hadau ar hap, a ffeiliau cyflwr gwasanaeth yn uniongyrchol ymlaen /. Yn lle hynny, ysgogwch y ** Linux Kernel Magic SysRq Remount Argyfwng Darllen yn Unig:

  echo 1 | sudo tee /proc/sys/kernel/sysrq
  echo s | sudo tee /proc/sysrq-trigger
  echo u | sudo tee /proc/sysrq-trigger
  

• s (Emergency Sync): Yn fflysio yn yr arfaeth metadata system ffeiliau yn y cof fel bod yr uwchfloc yn gyson.
• u (Emergency Remount Read-Only): Yn rymus yn ail-osod pob system ffeiliau wedi'i osod ar y peiriant fel un Darllen yn Unig (ro) y tu mewn i'r cnewyllyn, hyd yn oed os yw prosesau yn dal i fod â ffeiliau ar agor i'w hysgrifennu. Gwiriwch hynny / yn awr darllen-yn-unig gyda grep " / " /proc/mounts.

2. Delweddu Gweinydd Cwmwl Pell wedi'i rewi (AWS EC2, GCP, DigitalOcean, Hetzner) dros SSH¶

Os rhedoch yn ddamweiniol rm -rf ar weinydd cwmwl anghysbell lle na allwch blygio gyriant USB i mewn: 1. Rhedeg y swm darllen yn unig Magic SysRq (echo s > /proc/sysrq-trigger && echo u > /proc/sysrq-trigger). Mae eich sesiwn SSH presennol yn aros yn fyw oherwydd bod SSH yn rhedeg mewn RAM a /dev/pts (devpts) yn system ffeiliau ffug-derfynell rithwir RAM. 2. Ar lwyfannau cwmwl (AWS EC2, GCP, Azure, DigitalOcean), cymerwch ** EBS / Ciplun Cyfrol Bloc** atomig ar unwaith o'r consol cwmwl, neu stopiwch yr enghraifft, datgysylltwch y cyfaint gwraidd, a'i gysylltu â darllen yn unig (/dev/xvdf) i VM achub glân. 3. Ar weinydd pell-metel noeth, ffrydio delwedd amrwd cywasgedig o'r rhaniad darllen-yn-unig wedi'i rewi yn uniongyrchol dros SSH i'ch gweithfan leol:

ssh root@remote-server-ip "dd if=/dev/nvme0n1p2 bs=4M status=progress | zstd -1" > ~/rescued_partition.img.zst

Cam 3: Gwirio Copi-ar-Ysgrifennu cudd (CoW) cipluniau a Chopiau Cysgodol cyn eu cerfio¶

Cyn sganio terabytes o sectorau heb eu dyrannu, gwiriwch a yw eich system weithredu wedi creu ciplun pwynt-mewn-amser cudd yn awtomatig:

1. macOS: Cipluniau APFS Peiriant Amser Lleol (tmutil)¶

Hyd yn oed os yw eich gyriant Peiriant Amser allanol wedi'i ddad-blygio ers wythnosau, mae macOS yn cofnodi cipluniau Copïo-ar-Ysgrifennu APFS lleol bob awr ar eich SSD mewnol (com.apple.TimeMachine.YYYY-MM-DD-HHMMSS.local) pryd bynnag y bydd Time Machine wedi'i ffurfweddu neu cyn diweddariadau macOS: 1. Rhestrwch yr holl gipluniau lleol yn y Terminal:

tmutil listlocalsnapshots /
tmutil listlocalsnapshots /System/Volumes/Data

mkdir -p /tmp/apfs_rescue
sudo mount_apfs -o ro -s com.apple.TimeMachine.2026-10-31-140000.local /System/Volumes/Data /tmp/apfs_rescue
ls -la /tmp/apfs_rescue/Users/yourname/

2. Windows 10 / 11 / Gweinyddwr: Copïau Cysgod Cyfrol (VSS)¶

1. Agorwch Anogwr Gorchymyn Gweinyddwr a rhedeg:

   vssadmin list shadows
   

2. Os Copi Cysgodol (\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1) rhagflaenu eich Shift+Delete, ei gysylltu â ffolder a chopïo'ch ffeiliau i yriant USB:

   mklink /d C:\ShadowRescue \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\
   

3. Linux: Btrfs, ZFS, a LVM Cipluniau¶

• ** Ymlaen Btrfs (Systemau Fedora, openSUSE, Synology, Timeshift/Snapper)**: Rhedeg sudo btrfs subvolume list -s / ac arolygu /.snapshots/ neu /run/timeshift/backup/timeshift-btrfs/snapshots/.
• ** Ymlaen ZFS (Ubuntu ZFS, Proxmox, TrueNAS)**: Rhedeg zfs list -t snapshot a chopïo ffeiliau yn uniongyrchol o /path/to/dataset/.zfs/snapshot/.

Cam 4: Inode cam wrth gam, Cyfnodolyn, ac Adfer MFT gan System Ffeil¶

Os nad oes disgrifydd ffeil agored (/proc/<pid>/fd/) a dim ciplun yn bodoli, cychwyn o SystemRescue neu Ubuntu Live USB, atodwch yriant caled USB allanol (/mnt/external), a chreu clôn bit-am-did o'r rhaniad dioddefwr heb ei osod (/dev/nvme0n1p2) cyntaf:

sudo ddrescue -f -n /dev/nvme0n1p2 /mnt/external/victim_partition.img /mnt/external/ddrescue.log

1. Adfer o ext4 / ext3 ar Linux (ext4magic a extundelete)¶

Pryd rm -rf yn dileu ffeiliau ar ext4, mae'r cnewyllyn yn sero allan faint o awgrymiadau coed y tu mewn i'r prif dabl inod. Fodd bynnag, ext4's jbd2 cyfnodolyn (fel arfer 128 megabeit i 1,024 megabeit o ran maint) yn storio copïau hanesyddol o blociau inod a addaswyd yn ddiweddar. Cyn belled â'ch bod wedi ail-osod ro cyn i weithgaredd disg trwm lapio byffer cylch y cyfnodolyn, ext4magic yn tynnu'r inod rhag-ddileu o'r dyddlyfr ac yn ail-greu eich ffeiliau gydag enwau ffeiliau gwreiddiol a choed cyfeiriadur yn gyfan.

1. ** Rhedeg ext4magic i adennill pob ffeil a ddilëwyd o fewn y 2 awr ddiwethaf (-a) y tu mewn i lwybr perthynol (-f)**: (Hepgorwch slaes arweiniol y pwynt mynydd i mewn -f: am /home/kmyers/project ar wreiddyn / rhaniad, pas -f home/kmyers/project; os /home yw ei raniad ei hun, pas -f kmyers/project.)

   mkdir -p /mnt/external/recovered_ext4
   sudo ext4magic /mnt/external/victim_partition.img \
     -a $(date -d "2 hours ago" +%s) \
     -f home/kmyers/project \
     -R -d /mnt/external/recovered_ext4
   

2. Arall: Rhedeg extundelete yn erbyn y llun:

   cd /mnt/external
   sudo extundelete /mnt/external/victim_partition.img --restore-directory home/kmyers/project
   

2. Adfer o Windows NTFS ar ol Shift+Delete (TestDisk a ntfsundelete)¶

Yn wahanol ext4, ** Ffenestri NTFS NID yw'n sero allan y pwyntwyr maint bloc (Data Runs) y tu mewn i'r Tabl Meistr Ffeil ($MFT) cofnodi pan fydd ffeil yn cael ei dileu**. Pan fyddwch yn pwyso Shift+Delete ar NTFS, y 1,024-beit $MFT mynediad yn syml yn troi ei baner pennawd o 0x01 (Mewn-Defnydd) i 0x00 (Dileu). Ei $FILE_NAME priodoledd a $DATA mae rhestr rhediad clwstwr yn aros 100 y cant yn gyfan nes bod ffeil arall yn ailddefnyddio hynny $MFT slot:

1. Yn defnyddio TestDisk ar gyfer NTFS ar unwaith $MFT dad-ddileu gyda llwybrau ffolder llawn:

   sudo testdisk /mnt/external/victim_partition.img
   

   Dewiswch [ Proceed ] -> [ EFI GPT ] -> [ Advanced ] -> tynnu sylw at y rhaniad NTFS -> [ Undelete ]. Llywiwch i'ch ffolder, pwyswch a i ddewis ffeiliau sydd wedi'u dileu, a gwasgwch C (cyfalaf C) i'w copïo i /mnt/external/recovered_ntfs/.
2. Yn defnyddio ntfsundelete (ntfs-3g):

   sudo ntfsundelete /mnt/external/victim_partition.img -t 2d
   sudo ntfsundelete /mnt/external/victim_partition.img -u -m "*" -d /mnt/external/recovered_ntfs
   

3. Adfer o XFS, APFS, neu Gylchgronau wedi'u Trosysgrifo trwy Gerfio Bloc Amrwd (PhotoRec a grep -a -b)¶

Pan fydd awgrymiadau inode wedi diflannu (fel ar XFS,APFS, neu ext4 rhaniad y mae ei ddyddlyfr wedi'i lapio), adfer data trwy sganio blociau 4,096-beit (4 cilobeit) heb eu dyrannu ar gyfer penawdau/troedynnau ffeil neu linynnau testun unigryw:

Sut i ddefnyddio grep -a -b + dd i achub cod ffynhonnell dileu neu .env ffeiliau mewn llai na 2 funud¶

Os gwnaethoch ddileu cod ffynhonnell, .env cyfrinachau, neu nodiadau llai na 32 kilobytes o ran maint: 1. Chwiliwch am linyn unigryw y tu mewn i'r ffeil sydd wedi'i dileu ac argraffwch ei hunion wrthbwyso beit (-b):

LC_ALL=C grep -a -b -o "def calculate_invoice_tax" /mnt/external/victim_partition.img

dd if=/mnt/external/victim_partition.img bs=4096 skip=11789795 count=30 status=none > /mnt/external/rescued_code_block.txt

Cam 5: Atal trychinebus yn y dyfodol rm -rf a Shift+Delete damweiniau¶

• ** Disodli rhyngweithiol rm gyda trash-cli a rm -I --preserve-root=all**: Gosod trash-cli (trash-put, trash-list, trash-restore) ac alias rm i rm -I --preserve-root=all mewn /etc/bash.bashrc a -/.zshrc felly mae dileadau ailadroddus damweiniol yn ysgogi unwaith cyn datgysylltu inodes.
• ** Amddiffyn cyfeiriaduron cynhyrchu critigol gyda'r Linux Immutable Priodoledd (chattr +i)**: Hyd yn oed root (sudo rm -rf) ni all ddileu neu addasu cyfeiriadur neu ffeil a farciwyd sudo chattr +i /path/to/critical_config nes bod gweinyddwr yn rhedeg sudo chattr -i.
• ** Galluogi Copi-ar-Ysgrifennu Lleol Awtomataidd (CoW) Cipluniau (Btrfs / ZFS / APFS / Windows Shadow Copies)**: Defnydd Snapper neu Timeshift ymlaen Btrfs, sanoid ymlaen ZFS, neu Gopïau Cysgod Cyfrol ddwywaith y dydd ar Windows (SystemPropertiesProtection.exe).
• Cynnal copïau wrth gefn 3-2-1 awtomataidd gyda storfa ddigyfnewid oddi ar y safle: Dilynwch ein canllaw i copïau wrth gefn o gyfrifiaduron, y strategaeth 3-2-1, ac adfer ar ôl trychineb defnyddio restic neu borgbackup gyda storfeydd o bell atodiad yn unig.

Rhifau brys rhanbarthol a phrotocolau asiantaethau¶

Er bod dileu ffeiliau damweiniol ar gyfrifiadur personol yn argyfwng technegol yn hytrach nag yn fater i’r heddlu, gall dileu damweiniol neu faleisus sy’n effeithio ar systemau gofal iechyd, seilwaith dinesig, tystiolaeth gyfreithiol o dan orchymyn cadw llys, neu ddata personol a reoleiddir sbarduno adrodd am ddigwyddiadau gorfodol:

• Unol Daleithiau a Chanada:
• Diogelwch Bywyd Argyfwng / Dirywiad Isadeiledd Critigol: Deialwch 911 os yw system sychu yn effeithio ar ofal cleifion ysbyty, anfon brys, neu reolaethau diogelwch ffisegol diwydiannol.
• Asiantaeth Seiberddiogelwch a Seilwaith (CISA) (UD): Rhoi gwybod am ddinistrio data seilwaith hanfodol neu ddifrod mewnol a amheuir yn 1-844-Say-CISA (1-844-729-2472) neu cisa.gov/report.
• Canolfan Seiberddiogelwch Canada: Cysylltwch 1-833-CYBER-88 (1-833-292-3788) ar gyfer digwyddiadau seilwaith critigol.
• Deyrnas Unedig:
• Gwasanaethau Argyfwng: Deialu999 (neu 101 ar gyfer adroddiadau nad ydynt yn achosion brys gan yr heddlu os oedd y dileu yn cynnwys camddefnyddio cyfrifiaduron heb awdurdod o dan Ddeddf Camddefnyddio Cyfrifiaduron 1990).
• Swyddfa'r Comisiynydd Gwybodaeth (ICO): Os bydd dilead damweiniol yn dinistrio data personol yn barhaol heb unrhyw adferiad wrth gefn (sy’n gyfystyr â Dor-Argaeledd o dan GDPR y DU), aseswch a yw hysbysiad i’r ICO (0303 123 1113) o fewn 72 awr yn ofynnol.
• Undeb Ewropeaidd:
• Gwasanaethau Argyfwng: Deialu112 ar draws holl aelod-wladwriaethau’r UE.
• Adrodd Torri Argaeledd Erthygl 33 GDPR: O dan y Bwrdd Diogelu Data Ewropeaidd (EDPB) canllawiau, mae dinistrio data personol yn ddamweiniol yn barhaol heb gopi wrth gefn y gellir ei adennill yn cael ei ddosbarthu fel toriad data personol (colli argaeledd) ac efallai y bydd angen adrodd i'ch Awdurdod Diogelu Data cenedlaethol (DPA) o fewn 72 awr.
• Awstralia a Seland Newydd:
• Gwasanaethau Argyfwng: Deialu000 yn Awstralia neu 111 yn Seland Newydd.
• Canolfan Seiberddiogelwch Awstralia (ACSC): ffoniwch1300 CYBER1 (1300 292 371) ar gyfer cymorth menter neu seilwaith.
• India ac Asia-Môr Tawel:
• India (CERT-In / Llinell Gymorth Seiberdroseddu Genedlaethol): Deialwch 112 ar gyfer ymateb brys neu 1930 ar gyfer digwyddiadau seiberdroseddu; rhaid rhoi gwybod am ddigwyddiadau menter a gwmpesir gan fandadau CERT-In o fewn 6 awr i incident@cert-in.org.in.

Cwestiynau cyffredin¶

Pam na wnaeth extundelete neu ext4magic dod o hyd i fy enwau ffeil ar ext4 er i mi roi'r gorau i ddefnyddio'r cyfrifiadur yn weddol gyflym?¶

Pan fydd ffeil yn cael ei dileu ymlaen est4, mae'r cnewyllyn Linux yn sero ar unwaith faint o awgrymiadau coed y tu mewn i'r tabl inod ar-ddisg, felly mae'r system ffeiliau yn gwybod nad oes gan yr inod unrhyw faint wedi'i ddyrannu. Offer fel ext4hud a extundelete dibynnu ar ddod o hyd i gopi hŷn, rhag-ddileu o'r inod hwnnw y tu mewn i'r est4 dyddlyfr (jbd2). Os cafodd y ffeil ei chreu a'i dileu heb i'w inode fynd trwy'r cyfnodolyn yn ddiweddar, neu os yw ysgrifennu cefndir trwm wedi lapio'r byffer cylch cyfnodolyn 128 MB i 1 GB cyn i chi ail-osod darllen yn unig, mae'r copi dyddlyfr wedi diflannu. Yn yr achos hwnnw, rhaid i chi newid i gerfio llofnod bloc crai (FfotoRec) neu chwilio beit testun plaen (grep -a -b), sy'n sganio blociau data heb eu dyrannu yn uniongyrchol heb fod angen metadata inod.

A yw SSD TRIM dinistrio bob amser rm -rf neu Shift+Delete ffeiliau ar unwaith?¶

Ddim bob amser, yn enwedig ar Linux a gyriannau allanol. Ar Windows 10/11 a macOS gyda NVMe SSDs mewnol, mae'r system weithredu fel arfer yn anfon llinell fewnol TRIM / Deallocate gorchymyn i'r rheolydd SSD o fewn eiliadau i ddileu parhaol, sy'n achosi Haen Cyfieithu Fflach yr SSD (FTL) i ddychwelyd sero (DZAT) ar gyfer y blociau hynny. Fodd bynnag, mae'r rhan fwyaf o ddosbarthiadau Linux (Ubuntu, Debian, Fedora, RHEL) yn gwneud hynny ddim galluogi amser gosod parhaus taflu yn ddiofyn; yn lle hynny, maent yn rhedeg fstrim.timer unwaith yr wythnos. Ar ben hynny, nid yw llawer o gaeau allanol USB-i-SATA a USB-i-NVMe yn mynd heibio TRIM gorchmynion dros Storio Torfol USB (BOT), a meddalwedd haenau RAID / LVM / LUKS bloc yn aml taflu pasio drwodd yn ddiofyn oni bai ei fod wedi'i ffurfweddu'n benodol (`issue_discards = 1` neu `allow-discards`).

Beth os yw fy rhaniad Linux wedi'i amgryptio LUKS (dm-crypt) neu mae fy gyriant Windows yn ei ddefnyddio BitLocker: gall yn dal i gerfio ffeiliau dileu?¶

Gallwch, ar yr amod bod gennych y cyfrinair amgryptio neu'r allwedd adfer a datgloi'r cynhwysydd yn y modd darllen yn unig. Peidiwch byth â rhedeg ffotorec, ext4hud, neu disg prawf yn erbyn y rhaniad corfforol amrwd wedi'i amgryptio (/dev/nvme0n1p2), oherwydd mae ciphertext wedi'i amgryptio yn edrych fel sŵn ar hap. Yn lle hynny, cychwyn o USB Byw, datgloi'r cynhwysydd i mewn modd darllen yn unig (ar gyfer LUKS: cryptsetup sudo ar agor --readonly /dev/nvme0n1p2 crypt_rescue; ar gyfer BitLocker ar Linux: datgelydd -r neu ddatgloi darllen-yn-unig yn WinPE), a delwedd neu sganio'r ddyfais mapiwr rhithwir dadgryptio (/dev/mapper/crypt_rescue).

Pam mae tynnu'r llinyn pŵer ar Windows C:\ yn fwy diogel ar ôl damwain Shift+Delete na chlicio "Caewch i lawr"?¶

Pan fyddwch chi'n clicio Cychwyn > Cau i lawr ar Windows, mae'r system weithredu'n perfformio cannoedd o megabeit o ddisgiau yn ysgrifennu cyn pweru i ffwrdd: mae'n fflysio cychod gwenyn y gofrestrfa, yn ysgrifennu digwyddiadau diffodd i .evtx logiau, diweddaru'r USN Journal ($ UsnJrnl), clirio neu newid maint tudalen ffeil.sys, ac ar systemau Cychwyn Cyflym yn ysgrifennu ffeil gaeafgysgu aml-gigabeit (hiberfil.sys) yn uniongyrchol ar draws clystyrau NTFS heb eu dyrannu. Mae'r rhai cau i lawr yn aml yn trosysgrifo'r union heb ei ddyrannu $MFT cofnodion a chlystyrau data a ryddhawyd gan eich Shift+Dileu. Mae gorfodi pŵer i ffwrdd ar unwaith (gan ddal y botwm pŵer am 10 eiliad neu dynnu'r plwg) yn stopio ysgrifennu ar unwaith; Bydd NTFS yn parhau i fod yn gwbl ddarllenadwy pan gaiff ei gychwyn o USB achub Linux neu WinPE darllen-yn-unig.

Sut alla i adennill un sydd wedi'i ddileu .env ffeil, allwedd SSH, neu ffeil cod ffynhonnell hynny PhotoRec anwybyddu?¶

FfotoRec yn edrych am benawdau beit hud deuaidd (fel % PDF, PNG, neu PK ar gyfer ffeiliau ZIP/Office), felly mae'n aml yn hepgor neu'n crynhoi ffeiliau testun plaen byr fel .env ffurfweddau, cod ffynhonnell Python/JavaScript, nodiadau Markdown, ac allweddi SSH. I adfer unrhyw ffeil testun plaen o ddelwedd disg neu raniad darllen yn unig, rhedwch LC_ALL=C grep -a -b -C 100 "UNIQUE_TEXT_FROM_FILE" /dev/nvme0n1p2 > /dev/shm/found.txt. Os ydych chi'n gwybod unrhyw enw newidyn (fel STRIPE_SECRET_KEY= neu DECHRAU AGOR ALLWEDD PREIFAT), grep -a -b yn sganio'r sectorau crai ar sawl gigabeit yr eiliad ac yn argraffu'r union flociau disg amgylchynol.

Pe bawn i'n rhedeg yn ddamweiniol rm -rf / neu eu dileu /usr neu /lib ar Linux a nawr ddim hyd yn oed ls, cp, neu sudo yn gweithio, sut mae rhedeg gorchmynion yn fy nherfynell agored?¶

Pe baech yn sychu / bin neu /lib tra yn bodoli bash neu zsh terfynell yn dal i fod ar agor yn RAM, deuaidd allanol fel /bin/ls neu / bin/cp bydd yn methu â Dim ffeil neu gyfeiriadur o'r fath, ond mae cragen adeiledig yn dal i weithio'n gyfan gwbl y tu mewn i RAM. Gallwch ddefnyddio adlais * yn lle ls, printf "%s\n" "$( /dev/shm/achub yn lle cp, a adlais u > /proc/sysrq-trigger (os yw'ch cragen eisoes yn wraidd) i sbarduno ail-osod cnewyllyn darllen yn unig cyn pweru ac ymgychwyn SystemRescue Live USB.

Canllawiau cysylltiedig¶

• Dileu ffeiliau yn ddamweiniol, gyriant wedi'i fformatio, ac adfer lluniau
• Modd darllen yn unig sydyn SSD a NVMe, blociau sbâr 0%, ac achub sy'n anablu TRIM
• Methiant gyriant caled ac adfer data
• Arae RAID NAS wedi diraddio, methiant gyriant lluosog, ac adferiad ZFS / Btrfs
• Copïau wrth gefn o gyfrifiaduron, y strategaeth 3-2-1, ac adfer ar ôl trychineb
• Rhifau brys yn ôl gwlad

Ffynonellau a chanllawiau swyddogol¶

• Sefydliad Cenedlaethol Safonau a Thechnoleg (NIST) (Unol Daleithiau): Cyhoeddiad Arbennig 800-86: Canllaw i Integreiddio Technegau Fforensig i Ymateb i Ddigwyddiad a SP 800-88 Dat. 1: Canllawiau ar gyfer Glanweithdra Cyfryngau (ATA TRIM / NVMe Deallocate Behaviour).
• Sefydliad Cnewyllyn Linux (kernel.org): * Dogfennaeth System Ffeil Ext4 (Dyraniad Bloc ac Inod, jbd2 Newyddiadura, a procfs /proc/<pid>/fd/ Semanteg Disgrifydd Ffeil) ac Allwedd Cais System Hud Linux (sysrq.txt)*.
• CGSecurity (TestDisk & PhotoRec Dogfennaeth Swyddogol) a ext4magic Llawlyfr Cyfeirio i Fyny'r Afon: Echdynnu Inod Cyfnodolyn a Cherfio Maint Heb ei Ddyrannu ar Gyfrolau est3/ext4 a NTFS.
• Asiantaeth Diogelwch Seiberddiogelwch a Seilwaith (CISA) (Unol Daleithiau): Ymateb i Ddigwyddiad ac Arferion Gorau Gwarchod Tystiolaeth Fforensig Anweddol/Anweddol.
• Asiantaeth yr Undeb Ewropeaidd ar gyfer Seiberddiogelwch (ENISA): Canllaw Arfer Da ar gyfer Fforensig Digidol a Chadwraeth Cyfryngau Storio.