如何恢复 NTFS 分区上最近删除的目录

Question

在 Ubuntu 12.04 下的 Nautilus 中，我不小心选择了一个分区上的几个目录并一次删除了它们（不幸的是，我通过 Shift+Delete 删除了它们，这样它们就不会留在垃圾箱中）。自删除以来，我还没有向该分区写入任何新数据。我想知道我可以尝试哪些方法来恢复它们？请注意，分区是 NTFS，在 Windows 7 和 Ubuntu 12.04 之间共享。

以下是我迄今为止尝试过的不同软件。

1. 我也尝试过使用 Sleuthkit，但我不知道如何使用它。

   我已经sudo fls -f ntfs -d -r -p /dev/sda3 > ~/deleted_files.txt在我的 110GB 96% 使用的 ntfs 分区上运行了将近一个星期。还没跑完（不知道什么时候跑完），文件~/deleted_files.txt还是空的。我所有的工作都被搁置了，因为我不敢向分区写入任何数据。

   现在我想知道我对 sleuthkit 的使用是否是识别最近删除的目录和文件的最快方法？

2. 我通过 apt-get install 安装了 TestDisk 6.13，并按照 http://www.cgsecurity.org/wiki/Undelete_files_from_NTFS_with_TestDisk 来恢复删除的目录和其中的文件。但是TestDisk显示的不是链接中图片所示的已删除文件/目录名称，而是以inode编号命名的文件：

   TestDisk 6.13, Data Recovery Utility, November 2011
   Christophe GRENIER <grenier@cgsecurity.org>
   http://www.cgsecurity.org
    3 P HPFS - NTFS           9291  38 28 23650 187 25  230686720 [Data]
   Deleted files
   
   >inode_13285                           30-Jan-2011 20:55     29427
    inode_13285:Zone.Identifier           30-Jan-2011 20:55        26
    inode_164258                          11-Aug-2011 13:16      2993
    inode_307016                          12-Feb-2011 09:34      1808
    inode_307017                          12-Feb-2011 09:34     10254
    inode_307018                          12-Feb-2011 09:34     13155
    inode_307019                          12-Feb-2011 09:34      7586
    inode_307020                          12-Feb-2011 09:34      7344
    inode_307021                          12-Feb-2011 09:34      6943
    inode_307022                          12-Feb-2011 09:34      6081
    inode_307023                          12-Feb-2011 09:34     24043
    inode_314965                          12-Feb-2011 09:36    112947
    inode_314983                          12-Feb-2011 09:36     23581
    inode_314984                          12-Feb-2011 09:36      8486
    inode_314985                          12-Feb-2011 09:36       158
    inode_314986                          12-Feb-2011 09:36        45
                                                      Next
   Use : to select the current file, a to select/deselect all files,
       C to copy the selected files, c to copy the current file, q to quit
   

   当我点击a然后C选择并复制所有选定的文件时，命名的文件inode_xxxxxx将被复制到我指定的目录中。

   另外，我不知道 TestDisk 显示的每个文件的日期和时间的含义。是指删除日期和时间还是删除前的最后更新日期和时间？（注意 TestDisk 显示的最近日期和时间是 30-Jul-2012 20:53，这不是意外删除发生的今天。）

   如何确定哪些文件是我最近删除的文件，以及如何恢复它们？

   我可以找出并恢复最近删除的目录而不仅仅是文件吗？

3. 我也很想知道这两个指向 How-to 的链接是否真的有效？

   在 http://www.ehow.com/how_5202235_retrieve-deleted-files-linux.html 中， grep -b 'search-text' /dev/partition > file.txt用于搜索已删除的文件。

   在 http://www.ehow.com/how_7517984_restore-overwritten-file-linux.html 中，使用了“Isdel”命令。

除了 TestDisk 和 Sleuthkit 之外，我还可以尝试哪些其他软件？

Answer 1

Linux 中的数据恢复工具非常奇怪，而且在 NTFS 文件系统上运行的数据恢复工具中很少见。因此，如果您想要一个工具来恢复文件的元数据并呈现它们，如果它不是建议的 ntfsundelete、PhotoRec (Sleuthkit) 或 TestDisk 之一；我建议使用仅限 Windows 的工具来完成该任务。