(pagina 6 di 8)


L’analisi predefinita salterà i settori occupati dalle partizioni già rilevate. Tuttavia, potrebbe essere necessario effettuare l’analisi settore per settore. In tal caso dovrete aggiungere il parametro “-f”. Ottenute le informazioni relative alle partizioni realmente presenti sul disco, possiamo usare fdisk o uno strumento simile per adeguare la tabella delle partizioni, oppure lasciare che sia gpart stesso a farlo per voi: gpart -W /dev/sdb /dev/sdb. Benché questo strumento sia molto avanzato, non fa miracoli. L’ordine delle partizioni probabilmente non verrà mantenuto e possono sorgere diversi problemi nella rilevazione delle partizioni estese. Quest’ultimo è un limite di progetto su come sono gestite le partizioni in un sistema “Intel”, per cui le partizioni estese sono memorizzate in una lista concatenata (linkedlist) la cui determinazione non è sempre facile. Tuttavia, nella maggior parte dei casi il risultato vi soddisferà.

File cancellati
Sarà sicuramente capitato a tutti voi di cercare di annullare, senza successo,la cancellazione di alcuni file premendo spasmodicamente sul pulsante annulla o sui tasti Ctrl+C. Il computer è sempre più veloce di noi e ci rimarrà solo la disperazione. Per prima cosa niente panico: interrompete qualsiasi operazione e spegnete immediatamente il computer (in alcuni casi c’è chi preferisce staccare direttamente l’alimentazione). La cancellazione di un file è deleteria se eseguita su un file system Ext3/4: gli algoritmi di memorizzazione dei dati è complessa e gli inode vengono azzerati quando il file deve essere deallocato. Ciò rende l’operazione di recupero impossibile se non con tecniche che verranno spiegate in seguito. Tuttavia, possiamo prevenire invece che curare installando il software giis: esso permetterà il recupero dei file cancellati dal momento della sua installazione in poi e agisce collezionando periodicamente le informazioni di struttura del file system in modo da tenere traccia di un file anche qualora esso sia stato cancellato. Se il file cancellato è in una partizione con il file system di Windows, chiamato NTFS, possiamo provare un recupero miracoloso utilizzando la nostra fedele SystemRescueCD o collegando il dispositivo di memorizzazione su un computer con GNU/Linux: ntfsundelete -p 50 /dev/sdb2. Il risultato, mostrato nella figura in alto riporterà i file che è possibile recuperare. Il parametro “p” permette di filtrare quei file per cui la percentuale di recupero è al di sotto una certa soglia. Se il file è stato appena cancellato abbiamo comunque buone possibilità di riuscita (Figura 5). Se siamo fortunati, oltre al contenuto sarà visibile anche il nome, caratteristica solitamente persa durante l’operazione di eliminazione. Per recuperare ogni singolo file, conoscendo il suo numero di inode, possiamo utilizzare la seguente sintassi: ntfsundelete -u -i 622 -o /tmp/file.recuperato. Se nessun settore del file era stato riallocato, il file sarà così come lo avevate lasciato.

Pagina 6/8