Recuperação de arquivos apagados no Linux

Guia de sobrevivência para um "rm" acidental

Quem nunca sentiu aquele frio na espinha ao perceber que apagou o arquivo errado com um simples rm? A sensação de perda pode ser imediata, mas calma! Se você agiu rápido, ainda existe uma luz no fim do túnel. Este tutorial vai te guiar por um método eficaz para tentar recuperar arquivos que foram deletados, mas que ainda podem estar "vivos" na memória do seu sistema Linux.

Atenção: a chave para o sucesso desta técnica é a rapidez. Quanto mais você usar o computador após a exclusão, maior a chance de os dados do arquivo serem sobrescritos, tornando a recuperação impossível. Pare imediatamente qualquer operação de escrita no seu disco.

Pré-requisitos

• Acesso ao terminal do Linux.

• Privilégios de superusuário (root) ou permissão para usar o comando sudo.

• O arquivo deletado precisa estar aberto por algum processo no momento da exclusão.

Passo 1 - Identificando o processo "culpado" (e esperançoso!)

O sistema Linux mantém informações sobre todos os arquivos que estão sendo usados pelos processos em execução. Mesmo após a exclusão de um arquivo, se algum programa ainda o estiver utilizando (por exemplo, um editor de texto aberto, um reprodutor de vídeo rodando, etc.), o sistema ainda mantém uma referência a ele. Vamos usar o comando lsof para encontrar esses processos.

1. Abra o seu terminal.

2. Execute o seguinte comando com privilégios de superusuário:

sudo lsof +L1 | grep -i "deleted"

2. • sudo: Executa o comando com permissões de administrador.

   • lsof: List Open Files - uma ferramenta poderosa para listar todos os arquivos abertos por processos.

   • +L1: Filtra a saída do lsof para mostrar apenas arquivos que foram deletados, mas ainda estão abertos.

   • |: Redireciona a saída do lsof para o comando seguinte.

   • grep -i "deleted": Filtra a saída para exibir apenas as linhas que contêm a palavra "deleted", ignorando a capitalização.

3. Analise a saída do comando. Você deverá ver linhas com informações sobre os processos que ainda referenciam arquivos deletados. Uma linha típica pode se parecer com isso:

nome_do_processo   PID   USUARIO   FD   TYPE DEVICE SIZE/OFF NLINK DELETE /caminho/para/o/arquivo_deletado

4. 
   

   • nome_do_processo: O nome do programa que ainda está usando o arquivo deletado.

   • PID: O ID do Processo (Process ID). Anote este número!

   • USUARIO: O usuário que está executando o processo.

   • FD: O Descritor de Arquivo (File Descriptor) associado ao arquivo deletado. Geralmente é um número seguido de uma letra (ex.: 3u, w). Anote o número antes da letra! Este é o nosso FD_NUM.

   • DELETE: Indica que o arquivo foi deletado e mostra o caminho original do arquivo.

Passo 2 - Resgatando o conteúdo do arquivo "zumbi"

Agora que identificamos o processo que ainda tem o arquivo aberto, podemos tentar copiar o conteúdo diretamente da sua "memória". O sistema de arquivos virtual /proc nos dá acesso a informações sobre os processos em execução, incluindo seus descritores de arquivo.

1. Com o PID e o FD_NUM que você anotou no Passo 1, execute o seguinte comando, substituindo <PID> pelo ID do processo e <FD_NUM> pelo número do descritor de arquivo:

cp /proc/<PID>/fd/<FD_NUM> ~/arquivo_recuperado

1. • cp: O comando para copiar arquivos.

   • /proc/<PID>/fd/<FD_NUM>: Este é o caminho especial que aponta para o descritor de arquivo do arquivo deletado dentro do diretório /proc do processo.

   • ~/arquivo_recuperado: Este é o caminho onde o arquivo recuperado será salvo. Você pode alterar arquivo_recuperado para o nome que desejar e ~ para qualquer outro diretório onde você tenha permissão de escrita.

2. Aguarde a conclusão do comando. Se tudo correr bem, um novo arquivo chamado arquivo_recuperado (ou o nome que você escolheu) será criado no seu diretório home (ou no diretório especificado).

Passo 3 - Verificando a ressurreição do arquivo

1. Navegue até o diretório onde você salvou o arquivo recuperado (~/ no nosso exemplo).

2. Abra o arquivo com o aplicativo apropriado para o tipo de arquivo que você estava tentando recuperar (editor de texto, visualizador de imagens, etc.).

3. Verifique se o conteúdo está completo e correto. Em alguns casos, se o arquivo estava sendo gravado ou modificado no momento da exclusão, pode haver alguma perda de dados ou corrupção.

Considerações finais e limitações

• Sucesso não garantido: Esta técnica só funciona se o arquivo deletado ainda estiver aberto por algum processo no momento da sua tentativa de recuperação. Se nenhum processo estiver usando o arquivo, ou se o processo fechar o arquivo antes que você tente copiá-lo, este método não funcionará.

• Aja rápido! O tempo é crucial. Quanto mais tempo passar, maior a probabilidade de o processo fechar o arquivo ou de o espaço em disco ser reutilizado.

• Arquivos grandes: A recuperação de arquivos muito grandes pode ser menos confiável.

• Permissões: Você precisará de permissões adequadas para executar os comandos e para salvar o arquivo recuperado.

• Esta não é uma solução de backup: Este método é uma tentativa de último recurso. A melhor maneira de proteger seus dados é ter um sistema de backup robusto e realizar backups regularmente.

Em resumo, se você acidentalmente usou o temido rm, não entre em pânico imediatamente! Use este guia para tentar resgatar seu arquivo perdido. Compartilhe este tutorial com seus amigos e colegas para que eles também saibam o que fazer em uma situação de emergência!

#Linux #DicasLinux #RecuperarArquivo #rm #Terminal #TutorialLinux