删除文件的恢复

最近帮别人恢复U盘的一些文件信息,看了一下sleuthkit工具的使用,当然最简单还是在windows下使用easy recover,当时fat的文件系统还是存在许多缺点,它文件占用的cluster记录在fat表中,以链式的结果,如果删除的文件不连续,可以讲恢复的文件可能是坏的.

当然这个在linux下使用sleuthkit与autopsy也无法避免,不过使用sleuthkit还是可以拼接出正确的文件,只不过手工操作太繁琐.加上使用autopsy,还是有一些无法恢复的文件,不过autopsy要求使用的硬盘空间要很大.

记录一下常用的sleuthkit命令:

# fls -f fstype image 2

# fls -r -d -f fstype image 2

# icat -f fstype image inode

还有许多常用的命令,一般f开头涉及文件系统,i开头的与inode有关,d 开头的是相关的数据块层的.属性就很好理解了.