linux 数据恢复工具extundelete

extundelete恢复删除的文件
在linux系统的操作过程中，极有可能会出现误删除某个文件的事情，下面简单的介绍下，在ext文件系统中，恢复删除的文件。
首先需要确保操作系统的文件系统为ext3或者是ext4，然后下面开始介绍安装使用。
1、解决掉相关的依赖：
yum -y install e2fsprogs e2fsprogs-devel e2fsprogs-libs
如果安装失败的话，可以先安装epel源，然后在进行安装。
2、yum -y install extundelete（epel源中可以直接yum安装，另外可以编译安装）
3、安装好之后操作演示。
将格式化好的硬盘，挂载到某个目录下面去。
mkdir /data
mount /dev/sdb1 /data
cd /data
mkdir data_bak
cp /etc/inittab data_bak
cp /etc/passwd  ./
删除文件
rm -rf data_bak
rm -rf passwd
这时候，先要把相对应的磁盘分区卸载掉，如果是根分区的话，那么进入单用户，挂载为只读模式。
[root@localhost ~]# umount /data/
查看被删除的文件的inode信息，inode信息2的是根 /
[root@localhost ~]# extundelete  /dev/sdb1 --inode 2  
NOTICE: Extended attributes are not restored.
Loading filesystem metadata ... 40 groups loaded.
Group: 0
Contents of inode 2:
0000 | ed 41 00 00 00 10 00 00 8b fa 9e 57 89 fa 9e 57 | .A.........W...W
0010 | 89 fa 9e 57 00 00 00 00 00 00 03 00 08 00 00 00 | ...W............
0020 | 00 00 00 00 0f 00 00 00 61 21 00 00 00 00 00 00 | ........a!......
0030 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
0040 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
0050 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
0060 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
0070 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
0080 | 1c 00 00 00 f0 16 a9 d0 f0 16 a9 d0 2c b2 41 10 | ............,.A.
0090 | 8e e3 9e 57 00 00 00 00 00 00 00 00 00 00 00 00 | ...W............
00a0 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
00b0 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
00c0 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
00d0 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
00e0 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
00f0 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................


Inode is Allocated
File mode: 16877
Low 16 bits of Owner Uid: 0
Size in bytes: 4096
Access time: 1470036619
Creation time: 1470036617
Modification time: 1470036617
Deletion Time: 0
Low 16 bits of Group Id: 0
Links count: 3
Blocks count: 8
File flags: 0
File version (for NFS): 0
File ACL: 0
Directory ACL: 0
Fragment address: 0
Direct blocks: 8545, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0
Indirect block: 0
Double indirect block: 0
Triple indirect block: 0


File name                                       | Inode number | Deleted status
.                                                 2
..                                                2
lost+found                                        11
passwd                                            13             Deleted 
paramiko-1.10.2.tar.gz                            12
passwd                                            13             Deleted
查找到了要恢复的文件之后，进行恢复操作
extundelete  /dev/sdb1 --restore-all  
恢复全部的数据，只要是查找到的，并且是处在了delete状态的，全部恢复。
extundelete  /dev/sdb1 --restore-file   passwd  
恢复单个文件
extundelete  /dev/sdb1 --restore-directory  data_bak
恢复目录文件  
通过extundelete恢复某个时间段的数据
有 时候删除了大量的数据量，其中很多数据都是没用的，我们仅需要恢复其中的一部                        分数据，此时，如果采用恢复全部数据的办法，不但耗时，而且浪费资源，在这种 情况下，就需要采用另外的一种恢复机制有选择地恢复，extundelete提供了“—after”“和”--before“参数，可以通过指定某个时间 段，进而只恢复这个时间段内的数据。




在这个操作过程中，需要注意是“--after”参数后面跟的时间是个总秒数。起算时间为“1970-01-01 00:00:00 UTC”，通过“date +%s”命令即可将当前时间转换为总秒数，因为恢复的是一个小时之内的数据，所以“1379146740”这个值就是通过“1379150340”减去 “60*60=3600”获得的。
extundelete --after *****  --restore-all /dev/sdb1恢复什么之间之后的数据，此处时间一般都是查看现在的时间减去时间。就是恢复多长时间之前到现在为止的数据了。