How to Restore a Deleted File in Linux

Nếu bạn lỡ xóa một file trong Linux, đừng lo lắng! Bạn vẫn có thể khôi phục file đó miễn là vùng đĩa lưu trữ chưa bị ghi đè. Bài viết này sẽ hướng dẫn bạn cách khôi phục file đã xóa một cách dễ dàng bằng công cụ Foremost.

Giới Thiệu Foremost

Foremost là một công cụ giúp quét ổ đĩa hoặc file ảnh thô (raw image file) để khôi phục các file dựa trên header, footer và cấu trúc dữ liệu nội bộ của chúng.

Cài Đặt Foremost

Foremost có sẵn trên nhiều bản phân phối Linux.

Mint/Debian/Ubuntu

apt-get install foremost

CentOS/RHEL

Foremost không có sẵn trong các repository chuẩn của CentOS/RHEL. Bạn có thể cài đặt nó từ RPM:

yum install https://forensics.cert.org/centos/cert/7/x86_64//foremost-1.5.7-13.1.el7.x86_64.rpm -y

Lưu ý: RPM cho phiên bản el6 có thể tải tại đây.

Nếu không cài đặt được bằng RPM, bạn cũng có thể tải mã nguồn tại đây.

Xóa File Để Thử Khôi Phục

Sau khi cài đặt Foremost, ta thử xóa một file. Foremost không cần phải được cài đặt trước khi file bị xóa, bạn có thể cài bất kỳ lúc nào.

Ví dụ: Ta có file image.jpg với thông tin sau:

[root@centos7 ~]# file image.jpg
image.jpg: JPEG image data, JFIF standard 1.01
[root@centos7 ~]# md5sum image.jpg
f2b6f5c9f3795363cddfd6aae6d1ba0d  image.jpg

Xóa file bằng lệnh:

[root@centos7 ~]# rm -f image.jpg

Khôi Phục File Đã Xóa

1. Tạo một thư mục trống để chứa file khôi phục:

   [root@centos7 ~]# mkdir /root/restored

2. Chạy lệnh Foremost:

   [root@centos7 ~]# foremost -i /dev/sda3 -t jpg -o /root/restored/
   Processing: /dev/sda3
   |**************************************************************************************************************************|
   

   Quá trình này mất khoảng 2 phút với ổ đĩa 18GB. Foremost sẽ tìm các file .jpg trong /dev/sda3 và lưu vào thư mục /root/restored/.

3. Kiểm tra file khôi phục:

   [root@centos7 ~]# md5sum /root/restored/jpg/18608472.jpg
   f2b6f5c9f3795363cddfd6aae6d1ba0d  /root/restored/jpg/18608472.jpg
   

   Mặc dù tên file không được khôi phục, nội dung file vẫn chính xác như ban đầu.

Tóm Tắt

• Chúng ta đã cài đặt Foremost trên CentOS 7 và sử dụng nó để khôi phục file đã xóa.
• Dựa vào hash MD5, ta xác nhận file được khôi phục hoàn toàn chính xác.
• Foremost là công cụ hữu ích để khôi phục dữ liệu, đặc biệt trong các thử thách Capture The Flag (CTF).

Nguồn: RootUsers