Tip: Recuperando archivos borrados, fácilmente con Foremost

No es la primera vez que me ocurre que cuando hago limpieza en un Pendrive, me cepillo algún archivo que luego recuerdo que necesitaba.
Para los despistados como yo, esto tiene solución, existen un gran numero de herramientas pensadas para recuperar datos perdidos o borrados por error. Una de ellas es Foremost (forensic data recovery), que trabaja desde la linea de comandos con una sintaxis muy simple, pero muy efectiva.
Su forma más básica seria: foremost tipo_de_archivo_a_recuperar /directorio_de_búsqueda /directorio_de_salida.

Como siempre digo, es más fácil de entender como funciona con un ejemplo practico, así que vamos allá.
En este caso voy a utilizar Linux Mint 12 y un Pendrive (sdb1), que contiene una imagen jpg que borraré junto con la papelera, que es una carpeta oculta.

Aquí hago un inciso para comentar que yo he utilizado esta imagen como ejemplo, pero los formatos soportados son muchos más, entre ellos: jpg, gif, png, bmp, avi, exe, mpg, wav, wmv, mov, pdf, ole, doc, zip, xml, sxw, rar, htm, cpp, etc.

Comencemos, primero instalamos Foremost…

sudo apt-get install foremost

… y recuperamos la imagen:

sudo foremost -t jpg -i /dev/sdb1 -o /home/hispalis70/recuperado

La opción -t indica el tipo de archivo a buscar, si no sabemos cual es o queremos recuperar diferentes tipos de archivos, lo sustituiremos por all, que recuperará todos los archivos que encuentre. Con -i indicamos el lugar donde buscarlo y con -o donde guardarlo. La carpeta donde guardarlo la he llamado /recuperado y no hace falta crearla.

Tan sencillo como eso, si nos dirigimos a la carpeta creada veremos nuestra imagen de nuevo.

Pero, ¿y si hemos formateado el disco?

No hay problema, si no hemos escrito encima, el archivo se recupera igualmente aunque formateemos el disco.
Espero que os sea de ayuda.

Más información en Linux man page

Compártelo. ¡Gracias!

10 Comentarios
  1. Santiago Burgos says:

    Nada mal la herramienta, pero la pregunta extra es: ¿Y si no solo he formateado el disco sino que también le he pasado dd para dejarlo a puros ceros (o dejarlo en blanco si lo quieren ver mejor)? ¿También funciona o ahí si podemos dar los datos por perdidos? Espero que esté en otras distros porque se ve de una gran utilidad

    • Elías Hidalgo says:

      Si se llena un disco de ceros, en realidad no se está borrando, sino escribiendo “ceros”. Por lo tanto los datos que hayan en ese disco serán irrecuperables.

      Saludos

    • Musikolo says:

      A lo que ha comentado Elías, creo que sería bueno añadir que este tipo de utilidades se basa en el reconocimiento de cabeceras de cada tipo de fichero. Así pues, si se borrar esta información, como ocurriría al escribir a ceros en el disco, la herramienta no encontraría nada.Quizá podrías hacer una prueba muy sencilla: crea un disco RAM, copia una imagen (u otro tipo soportado), llena el disco de ceros y luego trata de recuperar el fichero.

      Saludos.

  2. algoban says:

    Se ve que ya hiciste un artículo sobre photorec. Aun así un dato para quien tenga que recuperar ficheros:

    Photorec soporta más tipos de archivos por defecto que foremost, así que dependiende de los archivos que tengas que recuperar puedes elegir uno u otro.

  3. el pinche pregunton says:

    tengo pregunas yo creo de mucho mas nivel que lo que aqui habla pero igual se agradece el intento y el esfuerzo por resolverlas, asi que aqui van los espadazos

    1 estou sando FOREMOST desde un CDLive, despues de observar que si funciona y muy bien me encontre con un problema bastante complicado

    como chingadas madres tengo que hacer para estructurar una orden que le diga a FOREMOST que todo lo que encuentre segun mi busqueda de recuperacion, no lo guarde en la version CDLive que esta corriendo porque evidentemente superarara la memoria ram y te mandara el mensaje de error

    descripcion del entorno….

    uso una portatil, inicio el sistema desde una DVD externa, donde corro kali linux, y ahi inicio FOREMOST, tengo un disco particionado en 3 pero la primera particion /dev/sda es la que me interesa es una particion que perdio el sistema, no me interesa revivirlo, solo necesito 1 archivo .rar que me es importante ya que es parte de un conjunto de 3 paquetes que hacen un directorio

    estas son las instrucciones que probe hasta que di con lo mas funcional pero no puedo resolver el problema de la falta de espacio o el destino al cual debe ir la informacion. YA QUE SI LA MANDAS A LA MISMA PARTICION ES MUY PROBABLE QUE SOBRE ESCRIBA DATOS EN ALGUN MOMENTO SOBRE LOS DATOS QUE NECESITAS RESCATAR LO QUE LO HACE SUMAMENTE PELIGROSO

    usuarioviejo@kali: foremost -T -t rar -i /dev/sda -o /root/desktop -t rar

    pero si intento dar la direccion hacia otro lugar fuera del directorio raiz de la CDLive se llena y se detiene puedes checar los archivos pero solo son algunos hay que adivinar despues de todo cual es el que uno busca

    Como puedo desirle que envie la informacion al mismo hdd pero en una particion distinta y no a la memoria ram la cual se atasca y no funcionara te quedas con alguos archivos hasta que se detiene por falta de espacio y no puedes darle continuidad

    att el mas odioado por usuarionuvo, de wifislax

    me puedes encontrar en : http://lfsmxbymauricioyamanyusuf.createaforum.com/index.php

    • sicker says:

      necesitas dos hdd, uno de donde recuperas y otro a donde depositas lo recuperado, montas el de escaneo, despues el de recuperacion, y foremost /escaneo /recupera tan pinche dificil que es pensar verdad…

  4. Anonymous says:

    Hola… por favor dime que hacer, editaba una archivo de office Writer, pero tuve que forzar la salida porque se paralizo el programa, al recuperarse borro el contenido de unas tablas que estaban en el documento
    . Como puedo recuperar esa información?

Dejar una respuesta

no se hace responsable de las opiniones de los internautas
Por favor revisa la ortografía y respeta las normas de la web.
XHTML: Puedes utilizar los siguientes tags:
<a href=""> <b> <i> <strong>

Linux Zone © 2007 - 2019