文件误删除然后恢复

最新推荐文章于 2021-05-16 01:34:49 发布

原创最新推荐文章于 2021-05-16 01:34:49 发布 · 343 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#linux #运维 #centos

运维同时被 2 个专栏收录

11 篇文章

订阅专栏

shell

9 篇文章

订阅专栏

本文介绍如何在文件被进程占用的情况下恢复误删的文件。通过使用lsof命令找到被占用的文件信息，再利用/proc目录下的文件描述符进行恢复。此外还提到了使用extundelete工具恢复ext3或ext4分区上的文件。

文件误删除恢复【前提条件文件被其它进程使用中】

1，误删（恢复数据全程要求最好使用root权限）
采用lsof 这个命令查看被使用的文件，不过它可以列出被各种进程打开的文件信息。配合其他命令，从/proc目录下的信息恢复 ”文件已删除，但进程仍保持打开的文件“
例如：1）新建一个文件 cat >> rmtest.txt <<eof

cat >> rmtest.txt <<eof

  2) 新复制一个会话，并在其中一个会话使用rmtest.txt文件，然后在另外一个会话删除掉rmtest.txt文件，我采用less打开文件rmtest.txt文件，在另外一个会话中，你将看到

在这里插入图片描述

注意被删除的文件的PID。
2，恢复数据
1）切换到/proc/PID/fd/ 中，删除文件对应的进程的PID下的文件描述符中的目录中；

cd /proc/3919/fd/

2）将对应的内容重定向或者cp到其他文件中
在这里插入图片描述
3）执行以上操作可以看到被删除的文件内容了，并将文件恢复到原来目录了。

文件恢复还可以采用工具extundelete，后面再补这个坑。
extundelete原理：
使用存储在分区日志中的信息，尝试恢复已从ext3或者ext4的分区中删除的文件。