查看删除文件所在的物理磁盘
使用df -v命令查看“Filesystem”列对应的磁盘卷,本机为"/dev/sda1"
$ df -v
Filesystem 1K-blocks Used Available Use% Mounted on
udev 993228 0 993228 0% /dev
tmpfs 203548 1468 202080 1% /run
/dev/sda1 123328484 34296964 82723784 30% /
tmpfs 1017736 0 1017736 0% /dev/shm
tmpfs 5120 4 5116 1% /run/lock
运行debugfs
$ debugfs
使用debuffs查看文件Inode
debugfs: open /dev/sda1
debugfs: ls -d 被删除文件名全路径
找到对应文件Inode号,其中<>中的为文件的Inode
使用debuffs查看文件block
通过“logdump -i <Inode号>”命令查看文件的block,如果找不到文件无法恢复
如:
debugfs: logdump -i <1711064>
Inode 1711064 is at group 208, block 6815998, offset 2944
Journal starts at block 65931, transaction 34068832
No magic number at block 68005: end of journal.
退出debugfs
debugfs: quit
恢复删除文件
$ dd if=/dev/sda1 of=被删除文件绝对路径 bs=4096 count=1 skip=删除文件block地址