Server Backups retten

M

michael390

New Member
Hallo Leute , es handelt sich um einen Notfall leider.

Mein Root Server wurde leider gehackt und alle darauf gelöscht und auf eine andere Seite umgeleitet.

Nun mein Problem das letzte Backup das ich via Plesk heruntergeladen habe liegt leider ne woche zurück. Und das Repository mit den Backups wurde auch vom Eindringling gelöscht.


OS: Ubuntu
Plesk in der aktuellsten Version.
Dateisystem Ext4

Nun meine Frage gibt es eine Möglichkeit des Ordner wo Plesk die backups speichert wiederherzustellen? Genauergesagt eines der Backups?
Falls ja wie?

Bitte um dringende Antwort .

Ich danke euch schon im voraus für eure Ratschläge
 
Wenn ich dich richtig verstanden habe, willst du das gelöschte Verzeichnis /var/lib/psa/dump wiederherstellen, richtig?

Solange die Dateien nur gelöscht wurden und die Inhalte auf der Festplatte nicht überspielt wurden, hast du eine einigermaßen gute Chance an die Daten ranzukommen.

Zum Beispiel hiermit: http://extundelete.sourceforge.net/

Allerdings solltest du dir überlegen deinen Server schleunigst neu zu installieren und dabei den Fehler, der den Hack ermöglicht hat, nicht wieder zu machen ;-)
 
Erstmal danke für deine schnelle Antwort :)
Genau dieses, da mein Server nachts immer komplettbackups gemacht hat und da alles drinnen sein sollte (DB und Webspace Inhalt) .

Bezüglich Hack muss ich erst noch die Lücke finden -.- aber werde da natürlich umgehend dann was ändern falls ich alles wiederherstellen kann.


Bezüglich des Tools.
Kannst du mir hier noch bitte kurz Schritt für Schritt bei der Installation helfen? (In der Aufregung gerade bekomm das file per wget einfach nicht runter -.-)
 
Habe es nun geschafft das tool runterzuladen aber beim installieren scheitert es nun -.-

./configure gibt nur folgendes aus :error: C++ compiler cannot create executables
See `config.log' for more details.

(Ich würde auch gern den Inhalt des Files posten nur weiß ich nicht wie ich über die Konsole den Inhalt in die Zwischenablage bekomme)
 
michael390 said:
./configure gibt nur folgendes aus :error: C++ compiler cannot create executables
See `config.log' for more details.
Click to expand...

Ich schätze mal dir fehlt ein Compiler. Hiermit installieren:

Code: 
apt-get install build-essential

michael390 said:
(Ich würde auch gern den Inhalt des Files posten nur weiß ich nicht wie ich über die Konsole den Inhalt in die Zwischenablage bekomme)
Click to expand...

Nutzt du Putty? Dann einfach den gewünschten Inhalt markieren und dann ein LINKSKLICK darauf (RECHTSKLICK fügt den markierten Inhalt auch gleich wieder ein).
 
Danke für deine Hilfe :)
Habe es nun geschafft das tool zu installieren... compiler war drauf aber es war eine andere abhängikeit nicht gegeben...

Code: 
Disk /dev/sda: 1000.2 GB, 1000204886016 bytes
255 heads, 63 sectors/track, 121601 cylinders
Units = cylinders of 16065 * 512 = 8225280 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disk identifier: 0x00046393

   Device Boot      Start         End      Blocks   Id  System
/dev/sda1               1          63      500000   fd  Linux raid autodetect
Partition 1 does not end on cylinder boundary.
/dev/sda2              63         312     1998848   82  Linux swap / Solaris
Partition 2 does not end on cylinder boundary.
/dev/sda3             312      115968   929012736   fd  Linux raid autodetect

Disk /dev/sdb: 1000.2 GB, 1000204886016 bytes
255 heads, 63 sectors/track, 121601 cylinders
Units = cylinders of 16065 * 512 = 8225280 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disk identifier: 0x0005e8d6

   Device Boot      Start         End      Blocks   Id  System
/dev/sdb1               1          63      500000   fd  Linux raid autodetect
Partition 1 does not end on cylinder boundary.
/dev/sdb2              63         312     1998848   82  Linux swap / Solaris
Partition 2 does not end on cylinder boundary.
/dev/sdb3             312      115968   929012736   fd  Linux raid autodetect

Disk /dev/md0: 511 MB, 511901696 bytes
2 heads, 4 sectors/track, 124976 cylinders
Units = cylinders of 8 * 512 = 4096 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disk identifier: 0x00000000

Disk /dev/md0 doesn't contain a valid partition table

Disk /dev/md1: 951.3 GB, 951308976128 bytes
2 heads, 4 sectors/track, 232253168 cylinders
Units = cylinders of 8 * 512 = 4096 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disk identifier: 0x00000000


Ich vermute nun das /dev/md1 meine Partition ist wo alles liegt(habe 2 Platten Im Raid Verbund) , kann ich mit dem tool auch zuerst nur ein einzelnes Verzeichnis recovern oder muss ich alles auf einmal recovern? Weißt du das zufällig?
 
michael390 said:
Ich vermute nun das /dev/md1 meine Partition ist wo alles liegt(habe 2 Platten Im Raid Verbund) , kann ich mit dem tool auch zuerst nur ein einzelnes Verzeichnis recovern oder muss ich alles auf einmal recovern? Weißt du das zufällig?
Click to expand...


Schau mal hier: http://extundelete.sourceforge.net/options.html

Code: 
[B]--restore-directory path/of/directory[/B]
Restores all files possible to link to specified directory to their names before deletion, when possible.
 
ok, weißt du zufällig auch in welchem Ordner Plesk standardmäßig die Backups speichert die man über Plesk erstellt?


Im Ordner den du oben vorhin erwähnt hast hab ich folgendes gefunden:

Code: 
drwxr-xr-x 3 root root   4096 2012-04-23 18:07 domains
-rw------- 1 root root 254550 2012-05-28 06:30 mysql.daily.dump.0.gz
-rw------- 1 root root 252043 2012-05-27 06:32 mysql.daily.dump.1.gz
-rw------- 1 root root 248386 2012-05-26 06:32 mysql.daily.dump.2.gz
-rw------- 1 root root 246532 2012-05-25 06:31 mysql.daily.dump.3.gz
-rw------- 1 root root 243868 2012-05-24 06:31 mysql.daily.dump.4.gz
-rw------- 1 root root 241332 2012-05-23 06:32 mysql.daily.dump.5.gz
-rw------- 1 root root 237130 2012-05-22 06:30 mysql.daily.dump.6.gz
-rw------- 1 root root 236142 2012-05-21 06:30 mysql.daily.dump.7.gz
-rw------- 1 root root 234364 2012-05-20 06:29 mysql.daily.dump.8.gz
-rw------- 1 root root 172550 2012-04-19 14:32 mysql.preupgrade.10.11.0-10.13.4.20120419-143208.dump.gz
-rw------- 1 root root 172550 2012-04-19 14:32 mysql.preupgrade.10.11.0-10.13.4.20120419-143210.dump.gz
-rw------- 1 root root 175087 2012-04-19 14:41 mysql.preupgrade.10.13.4-10.13.4.20120419-144111.dump.gz
-rw------- 1 root root 175087 2012-04-19 14:41 mysql.preupgrade.10.13.4-10.13.4.20120419-144113.dump.gz
-rw------- 1 root root 223340 2012-05-07 06:43 mysql.preupgrade.10.13.4-10.13.4.20120507-064325.dump.gz
-rw------- 1 root root 223340 2012-05-07 06:43 mysql.preupgrade.10.13.4-10.13.4.20120507-064328.d

Was genau ist das? Sind das Snapshots der DB?


Zusatz:


WARNING: Extended attributes are not restored.
WARNING: EXT3_FEATURE_INCOMPAT_RECOVER is set.
The partition should be unmounted to undelete any files without further data loss.
If the partition is not currently mounted, this message indicates
it was improperly unmounted, and you should run fsck before continuing.
If you decide to continue, extundelete may overwrite some of the deleted
files and make recovering those files impossible. You should unmount the
file system and check it with fsck before using extundelete.
Would you like to continue? (y/n)


Bin gerade ein wenig am Verzweifeln -.-

Kann ich denn die Platte im laufenden Betrieb aushängen? Auf der befindet sich doch auch das OS? Und wenn ich die Platte aushänge wo kann ich dann meine Dateien hinsichern wenn er welche wiederherstellen kann?
 
Last edited by a moderator:
michael390 said:
Was genau ist das? Sind das Snapshots der DB?
Click to expand...

In diesem Ordner speichert Plesk alle Backups, im Ordner domains solltest du die Backups der einzelnen Webaccounts auf deinem Server wiederfinden. Stell ihn am Besten im Ganzen wieder her und lad ihn dir runter. Dann installierst du erstmal deinen Server neu, damit die Kiste sauber ist. Ein Problem könnte nur die Größe der Backups beim wiederherstellen sein, da du diese ja über deine DSL-Leitung mit langsamen Upload erst wieder auf den Server schieben musst. Hast du von deinem Provider evtl. FTP-Backupspeicher, auf dem du die Backups parken kannst?
 
WARNING: Extended attributes are not restored.
WARNING: EXT3_FEATURE_INCOMPAT_RECOVER is set.
The partition should be unmounted to undelete any files without further data loss.
If the partition is not currently mounted, this message indicates
it was improperly unmounted, and you should run fsck before continuing.
If you decide to continue, extundelete may overwrite some of the deleted
files and make recovering those files impossible. You should unmount the
file system and check it with fsck before using extundelete.
Would you like to continue? (y/n)


Bin gerade ein wenig am Verzweifeln -.-

Kann ich denn die Platte im laufenden Betrieb aushängen? Auf der befindet sich doch auch das OS? Und wenn ich die Platte aushänge wo kann ich dann meine Dateien hinsichern wenn er welche wiederherstellen kann?




Nein leider kein extra Speicher vorhanden.

Nur der Raidverbund :(

liese sich so etwas lokal auf meinem PC einrichten?
 
Naja prinzipiell sollte die Partition nicht gemountet sein, damit keine Verändungen mehr an ihr vorgenommen werden. Es könnte ja sonst passieren, dass der Bereich der Festplatte, in der sich deine Daten befinden, neu beschrieben wird, und dann war es das. Das Risiko bist du aber auch schon bei der Installation des extundelete-Tools eingegangen, sofern du nur diese eine Partition hast.

Im Idealfall hast du eine ausgehängte Partition mit deinen verlorenen Daten, und eine aktive Partition von der aus du arbeiten kannst und auf die die Daten wiederhergestellt werden.

Ich befürchte, dir bleibt im Moment nicht viel anderes übrig als das Risiko einzugehen.
 
Filesystem Size Used Avail Use% Mounted on
/dev/md1 873G 3,6G 825G 1% /
none 3,8G 232K 3,8G 1% /dev
none 3,8G 0 3,8G 0% /dev/shm
none 3,8G 396K 3,8G 1% /var/run
none 3,8G 0 3,8G 0% /var/lock
none 3,8G 0 3,8G 0% /lib/init/rw
/dev/md0 473M 18M 431M 4% /boot
 
michael390 said:
Filesystem Size Used Avail Use% Mounted on
/dev/md1 873G 3,6G 825G 1% /
none 3,8G 232K 3,8G 1% /dev
none 3,8G 0 3,8G 0% /dev/shm
none 3,8G 396K 3,8G 1% /var/run
none 3,8G 0 3,8G 0% /var/lock
none 3,8G 0 3,8G 0% /lib/init/rw
/dev/md0 473M 18M 431M 4% /boot
Click to expand...

Siehst du, du hast nur zwei "richtige" Partitionen auf deiner Platte.

Eine /boot mit knapp 500MB und der ganze Rest steckt in deiner /-Partition. Wenn du diese aushängst (abgesehen davon, dass das nicht gehen wird..) hast du ja keine Partition mehr, wohin du die wiederhergestellten Daten schreiben kannst. Die /boot ist etwas zu klein dafür ;)
 
Naja die Backup Größe wird sich um die 200MB bewegen geschätzt (komprimiert)



Code: 
Disk /dev/sda: 1000.2 GB, 1000204886016 bytes
255 heads, 63 sectors/track, 121601 cylinders
Units = cylinders of 16065 * 512 = 8225280 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disk identifier: 0x00046393

   Device Boot      Start         End      Blocks   Id  System
/dev/sda1               1          63      500000   fd  Linux raid autodetect
Partition 1 does not end on cylinder boundary.
/dev/sda2              63         312     1998848   82  Linux swap / Solaris
Partition 2 does not end on cylinder boundary.
/dev/sda3             312      115968   929012736   fd  Linux raid autodetect

Disk /dev/sdb: 1000.2 GB, 1000204886016 bytes
255 heads, 63 sectors/track, 121601 cylinders
Units = cylinders of 16065 * 512 = 8225280 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disk identifier: 0x0005e8d6

   Device Boot      Start         End      Blocks   Id  System
/dev/sdb1               1          63      500000   fd  Linux raid autodetect
Partition 1 does not end on cylinder boundary.
/dev/sdb2              63         312     1998848   82  Linux swap / Solaris
Partition 2 does not end on cylinder boundary.
/dev/sdb3             312      115968   929012736   fd  Linux raid autodetect

Disk /dev/md0: 511 MB, 511901696 bytes
2 heads, 4 sectors/track, 124976 cylinders
Units = cylinders of 8 * 512 = 4096 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disk identifier: 0x00000000

Disk /dev/md0 doesn't contain a valid partition table

Disk /dev/md1: 951.3 GB, 951308976128 bytes
2 heads, 4 sectors/track, 232253168 cylinders
Units = cylinders of 8 * 512 = 4096 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disk identifier: 0x00000000


Das gibt fdisk -l aus .


Es ist aber komisch das df-h meinen Raidverbund nicht anzeigt

das gibt mount aus:
/dev/md1 on / type ext4 (rw,usrquota)
proc on /proc type proc (rw)
none on /sys type sysfs (rw,noexec,nosuid,nodev)
none on /sys/fs/fuse/connections type fusectl (rw)
none on /sys/kernel/debug type debugfs (rw)
none on /sys/kernel/security type securityfs (rw)
none on /dev type devtmpfs (rw,mode=0755)
none on /dev/pts type devpts (rw,noexec,nosuid,gid=5,mode=0620)
none on /dev/shm type tmpfs (rw,nosuid,nodev)
none on /var/run type tmpfs (rw,nosuid,mode=0755)
none on /var/lock type tmpfs (rw,noexec,nosuid,nodev)
none on /lib/init/rw type tmpfs (rw,nosuid,mode=0755)
/dev/md0 on /boot type ext2 (rw)


Nur was tun... Ich weiß gerade nicht weiter -.- .

Sonst wäre es ein Versuch wert die andere Platte neu einzubinden und da rauf zu sichern? (Nur brauche ich hier eine Schritt für Schritt Anleitung, vor allem wie ich dann die betroffene Platte schreibschützen kann)
 
michael390 said:
Es ist aber komisch das df-h meinen Raidverbund nicht anzeigt
Click to expand...

Warum sollte es auch? df zeigt dir ja deine Partitionen ein, und die Partition /boot gibt es ja nur einmal. Dass sie sich physikalisch auf zwei Festplatten verteilt, interessiert in diesem Fall nicht.

michael390 said:
Sonst wäre es ein Versuch wert die andere Platte neu einzubinden und da rauf zu sichern? (Nur brauche ich hier eine Schritt für Schritt Anleitung, vor allem wie ich dann die betroffene Platte schreibschützen kann)
Click to expand...

Ja könnte in der Tat eine Option sein, das Software-Raid aufzulösen. Dann arbeitest du nur noch auf einer Partition und stellst von der anderen wieder her.

Hier findest du eine beispielhafte Anleitung für das Auflösen des SW-Raid:

http://www.huschi.net/2_126_de-software-raid-aufloesen.html
 
Ich kann seit meinem letzten Missgeschick ext4magic empfehlen.

Generell habe ich aber den Eindruck, dass du einen Administrator gebrauchen könntest. ;)
 
Nicht gut. Dann sieh auf jeden Fall zukünftig zu, dass du von deinem Provider FTP-Speicher für deine Backups bekommst. Lokale Backups sind, wie du jetzt schmerzlich erfahren musstest, sehr uneffektiv ;)
 
You must log in or register to reply here.
Back
Top