Encryption 恢复被覆盖的加密luks设备

昨天我很累，我有一个朋友 我的有点讨厌。我不得不放一个 usb驱动器上的Linux ISO

我将所有数据临时存储在一台计算机上 设备，这是一个5 TB的驱动器。此设备被/正在使用 加密使用：

cryptsetup -luksFormat ... 

我将此设备安装到

/a

并对一个 5 TB驱动器上的Linux ISO。我打到的那一秒 我意识到了这一点，然后我做了一个控制C 从我的驱动器上拔下插头

在这之后，我完全精神崩溃了 我开始过度换气

---

无论如何，我已经读到，即使数据被覆盖 直到有机会读取下面的数据 覆盖部分

我认为这比简单地说要复杂得多 运行testdisk（也许testdisk可以做到这一点，没有线索）

昨天的整个过程如下：

:/a/1master-targz/iso# ls
debian-8.1.0-amd64-xfce-CD-1.iso  FreeBSD-11.0-RELEASE-amd64-disc1.iso                         
linuxmint-18.1-cinnamon-32bit.iso  nonpaelubuntu.iso
:/a/1master-targz/iso# lsblk
NAME        MAJ:MIN RM  SIZE RO TYPE  MOUNTPOINT
sda           8:0    0  4.6T  0 disk  
└─sda       254:0    0  4.6T  0 crypt /a
sdb           8:16   1 28.7G  0 disk  
├─sdb1        8:17   1  648M  0 part  
└─sdb2        8:18   1  416K  0 part  
:/a/1master-targz/iso# dd if=linuxmint-18.1-
linuxmint-18.1-cinnamon-32bit.iso  linuxmint-18.1-mate-32bit.iso      
linuxmint-18.1-mate-64bit.iso      
:/a/1master-targz/iso# dd if=linuxmint-18.1-cinnamon-32bit.iso 5~^C
:/a/1master-targz/iso# lsblk
NAME        MAJ:MIN RM  SIZE RO TYPE  MOUNTPOINT
sda           8:0    0  4.6T  0 disk  
└─sda       254:0    0  4.6T  0 crypt /a
sdb           8:16   1 28.7G  0 disk  
├─sdb1        8:17   1  648M  0 part  
└─sdb2        8:18   1  416K  0 part  
:/a/1master-targz/iso# dd if=linuxmint-18.1-cinnamon-32bit.iso  of=/dev/sda bs=512k 
10+1 records in
10+1 records out
5685920 bytes (5.7 MB, 5.4 MiB) copied, 0.81171 s, 7.0 MB/s
:/a/1master-targz/iso# 
:/a/1master-targz/iso# ^C
:/a/1master-targz/iso# lsblk
NAME        MAJ:MIN RM  SIZE RO TYPE MOUNTPOINT
sdb           8:16   1 28.7G  0 disk 
├─sdb1        8:17   1  648M  0 part 
└─sdb2        8:18   1  416K  0 part 
sdc           8:32   0  4.6T  0 disk 
└─sdc1        8:33   0  1.6G  0 part 
mmcblk0     179:0    0 29.8G  0 disk 
├─mmcblk0p1 179:1    0 41.8M  0 part /boot
└─mmcblk0p2 179:2    0 29.8G  0 part /
:/a/1master-targz/iso# 

#somewhere here I got a panic attack

TestDisk 7.0, Data Recovery Utility, April 2015
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/sdc - 5000 GB / 4657 GiB - CHS 4769307 64 32
     Partition               Start        End    Size in sectors
>P ext4                     0  63 31 4769306  63 30 9767538688 [Ghost] # doubt this is right

fdisk -l /dev/sdb
Disk /dev/sdb: 4.6 TiB, 5000981077504 bytes, 9767541167 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 4096 bytes
I/O size (minimum/optimal): 4096 bytes / 4096 bytes
Disklabel type: dos
Disk identifier: 0x69e72c6a

Device     Boot Start     End Sectors  Size Id Type
/dev/sdb1  *        0 3289087 3289088  1.6G 17 Hidden HPFS/NTFS

# head /dev/mapper/sda
head: error reading '/dev/mapper/sda': Input/output error

：/a/1 Master targz/iso#ls
debian-8.1.0-amd64-xfce-CD-1.iso FreeBSD-11.0-RELEASE-amd64-disc1.iso
linuxmint-18.1-肉桂-32位
：/a/1 Master targz/iso#lsblk
名称主要：最小RM尺寸RO类型安装点
sda 8:0 4.6T 0磁盘
└─sda 254:0 4.6T 0加密/a
sdb 8:16 128.7G 0磁盘
├─sdb1 8:17 1 648M 0部分
└─sdb2 8:18 1 416K 0部分
：/a/1 Master targz/iso#dd if=linuxmint-18.1-
linuxmint-18.1-肉桂-32bit.iso linuxmint-18.1-mate-32bit.iso
linuxmint-18.1-mate-64位.iso
：/a/1master targz/iso#dd if=linuxmint-18.1-肉桂-32bit.iso 5~^C
：/a/1 Master targz/iso#lsblk
名称主要：最小RM尺寸RO类型安装点
sda 8:0 4.6T 0磁盘
└─sda 254:0 4.6T 0加密/a
sdb 8:16 128.7G 0磁盘
├─sdb1 8:17 1 648M 0部分
└─sdb2 8:18 1 416K 0部分
：/a/1master targz/iso#dd if=linuxmint-18.1-肉桂-32bit.iso of=/dev/sda bs=512k
中的10+1记录
10+1记录输出
已复制5685920字节（5.7 MB，5.4 MiB），0.81171秒，7.0 MB/s
：/a/1 Master targz/iso#
：/a/1主targz/iso#^C
：/a/1 Master targz/iso#lsblk
名称主要：最小RM尺寸RO类型安装点
sdb 8:16 128.7G 0磁盘
├─sdb1 8:17 1 648M 0部分
└─sdb2 8:18 1 416K 0部分
sdc 8:32 0 4.6T 0磁盘
└─sdc1 8:33 0 1.6G 0部分
mmcblk0 179:0 29.8G 0磁盘
├─mmcblk0p1 179:1 0 41.8M 0零件/防尘套
└─mmcblk0p2 179:2 0 29.8G 0零件/
：/a/1 Master targz/iso#
#我在这里的某个地方得了恐慌症
TestDisk 7.0，数据恢复实用程序，2015年4月
克里斯托夫·格雷尼尔
http://www.cgsecurity.org
磁盘/dev/sdc-5000 GB/4657 GiB-CHS 4769307 64 32
分区开始和结束大小（扇区）
>P ext4 0 63 31 4769306 63 30 9767538688[幽灵]#怀疑这是对的
fdisk-l/dev/sdb
磁盘/dev/sdb:4.6tib，5000981077504字节，9767541167个扇区
单位：1*512=512字节的扇区
扇区大小（逻辑/物理）：512字节/4096字节
I/O大小（最小/最佳）：4096字节/4096字节
磁盘标签类型：dos
磁盘标识符：0x69e72c6a
设备启动开始结束扇区大小Id类型
/dev/sdb1*0 3289087 3289088 1.6G 17隐藏的HPFS/NTFS
#head/dev/mapper/sda
头：读取“/dev/mapper/sda”时出错：输入/输出错误

总结 我有什么： 1：覆盖加密luks设备的一部分。 2：我仍然有cryptsetup何时打开设备的映射器（我没有 （从那时起触摸了我的电脑）

我希望： -可能有一种方法可以欺骗我的操作系统，使其将我的加密驱动器视为/dev/sda 并将/dev/mapper/sda连接到此设备，然后重新安装设备，忽略正在销毁的驱动器部分？（我真的不知道……）

-我知道我用哪个图像覆盖了数据，也许这有助于读取它破坏的数据

-任何其他想法都非常有用

清理问题并删除故事

---

“我读到，即使数据被覆盖，仍有可能读取覆盖部分下方的数据。”

您将无法按原样使用计算机和驱动器恢复过度写入的数据。为了尝试恢复被覆盖的数据，必须能够看到驱动器读取头的实际电压，以便可以将过度写入值的剩余部分视为电压的微小差异。这意味着打开HD并使用专用设备。IOW:没有

您已经学会了持续备份的艰难方法，似乎“艰难的方法”是唯一有效的方法，并且通常需要多个教训，让这一点很重要

---

即使打开硬盘也不行。有一篇论文是关于识别一个位的，有60%的几率是正确的。基本上一文不值。@AndreaLazzarotto同意，我基本上是说它不起作用，这就是“过度书写价值的残余”所说的。好吧。顺便说一句，上周末也发生了类似的事情。“我读到，即使数据被覆盖，仍有可能读取被覆盖部分下方的数据。”可能在CSI上：P顺便说一句，不幸的是，它丢了。您应该开始从备份中恢复。而且，这似乎与编程无关。