<div dir="auto"><div>Just a quick note, go for the undelete utilities first, but when they fail I have had some luck with data carving. Image the unencrypted partition with dd then use the data carver to find files of interest with unique signatures.<br><div class="gmail_extra"><br><div class="gmail_quote">On Feb 6, 2018 12:21 PM, "Bryan Pesterfield via SGVLUG" <<a href="mailto:sgvlug@sgvlug.net">sgvlug@sgvlug.net</a>> wrote:<br type="attribution"><blockquote class="quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="auto">Good morning, <div dir="auto"><br></div><div dir="auto">I used that dreaded command from the wrong folder while rebuilding my system and restoring files. I know I need to be careful with that command and that sooner or later I would regret it. That day came yesterday. I was looking at a different directory and forgot where I was at when I issued the command.</div><div dir="auto"><br></div><div dir="auto">So far, I have read that debugfs and lsdel only works on ext2, extundelete works for unmounted drives but I get a Bad Magic Number error when attempting to run (presumably because the disk is encrypted), testdisk says on their wiki it can do it but gives no indication how, and of course, every hit on a search engine leaves out one or two terms, so most of what I find is nonapplicable or junk. </div><div dir="auto"><br></div><div dir="auto">At least when I screw up, I do it spectacularly. Any ideas? </div><div dir="auto"><br></div><div dir="auto">Thanks, </div><font color="#888888"><div dir="auto">Bryan Pesterfield </div></font></div>
</blockquote></div><br></div></div></div>