Как восстановить предыдущее «текущее состояние» из VirtualBox * после * восстановления из снимка?

Подробности:

Win 8.1 (хост ОС) Ноутбук под управлением Virtual Box. Ubuntu 10.04 Гостевая машина внутри Виртуальной коробки. 6-месячный снимок гостевой машины и "текущее состояние" в использовании. У пользователя возникли проблемы с медленной загрузкой (текущее состояние) машины (возможно, завис), и в какой-то момент VirtualBox услужливо спросил, не лучше ли восстановить снимок. Не понимая, что это приведет к сбросу образа машины в «текущем состоянии», они сказали «да» и потеряли данные за 6 месяцев.

Да, я знаю, у них должны быть резервные копии. Не полезно на данном этапе. В настоящее время я ищу варианты восстановления для них

Есть ли способ восстановить / восстановить предыдущую виртуальную машину с «текущим состоянием» до того, как они согласились сделать снимок?

Теперь я выключил машину, поэтому возможно восстановление данных, если это «просто» удаленный файл, который я могу вернуть из хост-системы Windows.

Любая помощь приветствуется, или рекомендации для конкретных файлов / инструментов для восстановления данных, или какой vmd/ vdiфайл искать.

Изменить 1:

Работая над теорией, что «текущее состояние» было просто другим .vdiфайлом, и что я мог бы найти его с помощью стандартного программного обеспечения для восстановления Windows, я начал искать возможных кандидатов. «Быстрое» сканирование обнаружило (и восстановило) vbox-prevфайл, но не нашло .vdiфайл. Тем не менее, файл «prev» дал мне имя отсутствующего .vdiфайла, так что это некоторый прогресс. Я сейчас пытаюсь глубокое сканирование.

Сканирующий инструмент, который я использую, позволяет мне определять новые форматы файлов для поиска в байтах на диске, но ему нужны «волшебные байты», а также смещение и длина данных. Это кажется хорошим инструментом, но эти расширенные функции поиска недостаточно хорошо документированы. Если у кого-то есть указатель на .vdiформат файла, это было бы здорово.

Для тех, кто может найти это позже, .vdiвсе текущие файлы начинаются с байтов (с прямым порядком байтов), которые выглядят так:

0000000   <   <   <       O   r   a   c   l   e       V   M       V   i
0000020   r   t   u   a   l   B   o   x       D   i   s   k       I   m
0000040   a   g   e       >   >   >  \n  \0  \0  \0  \0  \0  \0  \0  \0

или же

0000000 3c3c 203c 724f 6361 656c 5620 204d 6956
0000020 7472 6175 426c 786f 4420 7369 206b 6d49
0000040 6761 2065 3e3e 0a3e 0000 0000 0000 0000

Ответ:

Невозможно полностью восстановить предыдущее изображение «текущего состояния», так как при восстановлении моментального снимка VirtualBox копирует текущий файл изображения с файлом снимка. Это не оставляет остаточного «удаленного файла образа диска» на диске для восстановления.

Однако, в моем случае, поскольку моментальный снимок был намного меньше, чем предыдущее «текущее состояние», большая часть данных «текущего состояния» все еще была доступна для дисковых слайсеров / шестнадцатеричных редакторов / программ восстановления в теперь «свободном пространстве» на диске , так как при копировании не обнулялся файл образа диска.

Итак, рекомендация: лучше всего установить какую-нибудь программу, способную восстанавливать файлы и / или сканировать сырой диск, и искать в свободном месте известные строки. Вы не получите обратно весь образ виртуальной машины, но вы можете спасти данные с помощью традиционных средств восстановления файлов.