一、Inode 和 block 概述
在Linux系统中，文件名和文件数据是分开存储的
文件数据包含 元信息（即不包含文件名的文件属性） 和 实际数据
文件元信息存储在 inode（索引节点）里，文件实际数据存储在 block（块）里；文件名存储在目录块里
inode （索引节点）
中文译名为“索引节点”，也叫i节点
用于存储文件元信息
block （块）
连续的八个扇区组成的一个 block （4K）
是文件存取的最小单位
注：一个文件必须占用一个inode,但至少占用一个block
1、inode 的内容
Inode 包含文件的元信息
文件的字节数
文件拥有者的 User ID （不包含文件名）
文件的 Group ID
文件的读、写、执行权限
文件的时间戳
用stat命令可以查看某个文件的 inode 信息
格式为: stat 文件名
[root@localhost ~]# cd /opt/
[root@localhost opt]# ls
rh
[root@localhost opt]# stat rh #查看/opt/目录下rh文件的元信息
文件："rh"
大小：6 块：0 IO 块：4096 目录
设备：fd00h/64768d Inode：35246718 硬链接：2
权限：(0755/drwxr-xr-x) Uid：( 0/ root) Gid：( 0/ root)
环境：system_u:object_r:usr_t:s0
最近访问：2018-10-31 03:17:56.000000000 +0800
最近更改：2018-10-31 03:17:56.000000000 +0800
最近改动：2024-04-07 06:46:12.163932733 +0800
创建时间：-
[root@localhost opt]# cd /tmp/
[root@localhost tmp]# ls
anaconda.log
[root@localhost tmp]# stat anaconda.log #查看/tmp/目录下文件元的信息
文件："anaconda.log"
大小：1149 块：8 IO 块：4096 普通文件
设备：fd00h/64768d Inode：33577996 硬链接：1
权限：(0644/-rw-r--r--) Uid：( 0/ root) Gid：( 0/ root)
环境：system_u:object_r:tmp_t:s0
最近访问：2024-04-07 06:51:40.923956773 +0800
最近更改：2024-04-07 06:53:37.023947704 +0800
最近改动：2024-04-07 06:53:37.023947704 +0800
创建时间：-
[root@localhost tmp]# 2、Linux系统文件三个主要的时间属性
ctime (change time)
最后一次改变文件或目录（属性）的时间
atime (sccess time)
最后一次访问文件或目录的时间
mtime (modify time)
最后一次修改文件或目录（内容）的时间；当修改文件的内容数据的时候，就会更新这个时间，而更改权限或者属性，mtime不会改变，这就是和ctime的区别。
3、查看文件元信息和inode号
start+文件名
ls -i
#原本文件里面显示的三个时间的信息
最近访问：2024-04-07 06:51:40.923956773 +0800
最近更改：2024-04-07 06:53:37.023947704 +0800
最近改动：2024-04-07 06:53:37.023947704 +0800
[root@localhost tmp]# cat anaconda.log #查看文件内容
[root@localhost tmp]# stat anaconda.log #再次查看文件的信息，发现最近访问时间改变
文件："anaconda.log"
大小：1149 块：8 IO 块：4096 普通文件
设备：fd00h/64768d Inode：33577996 硬链接：1
权限：(0644/-rw-r--r--) Uid：( 0/ root) Gid：( 0/ root)
环境：system_u:object_r:tmp_t:s0
最近访问：2024-04-23 10:05:54.887838257 +0800
最近更改：2024-04-07 06:53:37.023947704 +0800
最近改动：2024-04-07 06:53:37.023947704 +0800
创建时间：-
[root@localhost tmp]# vim anaconda.log #修改文件内容
[root@localhost tmp]# stat anaconda.log
#再次查看文件的信息，发现最近更改和最近改动都发生改变
文件："anaconda.log"
大小：1149 块：8 IO 块：4096 普通文件
设备：fd00h/64768d Inode：33577996 硬链接：1
权限：(0644/-rw-r--r--) Uid：( 0/ root) Gid：( 0/ root)
环境：system_u:object_r:tmp_t:s0
最近访问：2024-04-23 10:05:54.887838257 +0800 atime 最近的文件访问时间
最近更改：2024-04-23 10:06:16.728999744 +0800 mtime 最近的文件内容修改时间
最近改动：2024-04-23 10:06:16.729999752 +0800 ctime 最近的文件属性修改时间
创建时间：-
[root@localhost tmp]# 4、inode的大小
inode也会消耗硬盘空间，所以格式化的时候，操作系统自动将硬盘分成两个区域。一个是数据区，存放文件数据；另一个是 inode 区，存放 inode 所包含的信息。每个 inode 的大小，一般是 128 字节或 256 字节。
通常情况下不需要关注单个 inode 的大小，而是需要重点关注 inode 总数。inode 的总数在格式化时就给定了，执行 “df -i” 命令即可查看每个硬盘分区对应的的 inode 总数和已经使用的inode 数量
查看每个分区的inode数量 df -i
[root@localhost ~]# df -i #查看每个分区的inode数量
文件系统 Inode 已用(I) 可用(I) 已用(I)% 挂载点
devtmpfs 478376 382 477994 1% /dev
tmpfs 482657 1 482656 1% /dev/shm
tmpfs 482657 1416 481241 1% /run
tmpfs 482657 16 482641 1% /sys/fs/cgroup
/dev/mapper/centos-root 18411520 160796 18250724 1% /
/dev/sda1 524288 341 523947 1% /boot
tmpfs 482657 9 482648 1% /run/user/42
tmpfs 482657 1 482656 1% /run/user/05、访问文件的简单流程
用户访问一个文件的简单流程：
用户访问文件时
通过文件名找到对应的inode号
通过Inode号获取inode信息，
根据inode信息判断用户是否有权限访问文件
有则指向对于的数据block并读取数据，无则拒绝访问
注：Linux系统不使用 文件名 识别文件，而使用 inode号 来识别文件，文件名只是 inode号 便于识别的别称，文件名和inode号是一一对应的。
6、inode的特殊作用
由于inode号码与文件名分离，导致一些Unix/Linux系统具有以下的现象
当文件名包含特殊字符，可能无法正常删除文件，直接删除inode，也可以删除文件
移动或重命名文件时，只改变文件名，不影响inode号码
打开一个文件后，系统通过inode号码来识别该文件，不再考虑文件名
注：直接查看、修改文件内容或者改变文件名都不会影响 inode号，使用 vi 编辑器修改文件保存退出后会影响 inode号
7、通过indoe号删除rm常规方法删除不掉的文件
find ./ -inum 67320322 -delete
find ./ -inum 67320322 -exec rm -rf {} \;
find ./ -inum 67320322| xargs rm -rf
[root@bogon opt]# ls -i
67385114 123.txt 35342495 rh
[root@bogon opt]# find ./ -inum 67385114 -exec rm -rf {} \;
[root@bogon opt]# ls -i
35342495 rh
[root@bogon opt]# 二、硬链接与软链接
三、恢复误删除的文件
1.恢复EXT类型的文件
编译安装extundelete软件包
依赖包
e2fsprogs-libs-1.41.12-18.el6.x86 64.rpm
e2fsprogs-devel-1.41.12-18.el6.x86 64.mm
配置、编译及安装
extundelete-0.2.4.tan.bz2
模拟删除并执行恢复操作
示例
extundelete 是一个开源的 Linux 数据恢复工具，支持 ext3、ext4文件系统。（ext4只能在centos6版本恢复），本示例模拟ext3文件系统损坏，借助extundelete，修复文件数据
环境列举
wget http://nchc.dl.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar.bz2
所需依赖包： yum -y install e2fsprogs-devel e2fsprogs-libs
该软件涉及到c++，所以安装一个c++编译工具： yum install -y gcc gcc-c++ make
准备一台centos 的虚拟机，新添加一块硬盘，开辟出一块主分区，建立ext3文件系统。
fdisk /dev/sdb
mkfs.ext3 /dev/sdb1
mkdir /test
mount /dev/sdb1 /test
lsblk
df -Th
[root@bogon ~]# fdisk /dev/sdb
欢迎使用 fdisk (util-linux 2.23.2)。
更改将停留在内存中，直到您决定将更改写入磁盘。
使用写入命令前请三思。
Device does not contain a recognized partition table
使用磁盘标识符 0x6bec8745 创建新的 DOS 磁盘标签。
命令(输入 m 获取帮助)：n
Partition type:
p primary (0 primary, 0 extended, 4 free)
e extended
Select (default p):
Using default response p
分区号 (1-4，默认 1)：
起始 扇区 (2048-41943039，默认为 2048)：
将使用默认值 2048
Last 扇区, +扇区 or +size{K,M,G} (2048-41943039，默认为 41943039)：+5G
分区 1 已设置为 Linux 类型，大小设为 5 GiB
命令(输入 m 获取帮助)：p
磁盘 /dev/sdb：21.5 GB, 21474836480 字节，41943040 个扇区
Units = 扇区 of 1 * 512 = 512 bytes
扇区大小(逻辑/物理)：512 字节 / 512 字节
I/O 大小(最小/最佳)：512 字节 / 512 字节
磁盘标签类型：dos
磁盘标识符：0x6bec8745
设备 Boot Start End Blocks Id System
/dev/sdb1 2048 10487807 5242880 83 Linux
命令(输入 m 获取帮助)：w
The partition table has been altered!
Calling ioctl() to re-read partition table.
正在同步磁盘。
[root@bogon ~]# mkfs /dev/sdb1
mke2fs 1.42.9 (28-Dec-2013)
文件系统标签=
OS type: Linux
块大小=4096 (log=2)
分块大小=4096 (log=2)
Stride=0 blocks, Stripe width=0 blocks
327680 inodes, 1310720 blocks
65536 blocks (5.00%) reserved for the super user
第一个数据块=0
Maximum filesystem blocks=1342177280
40 block groups
32768 blocks per group, 32768 fragments per group
8192 inodes per group
Superblock backups stored on blocks:
32768, 98304, 163840, 229376, 294912, 819200, 884736
Allocating group tables: 完成
正在写入inode表: 完成
Writing superblocks and filesystem accounting information: 完成
[root@bogon ~]# mkdir /test
[root@bogon ~]# mount /dev/sdb1 /test/
[root@bogon ~]# lsblk
NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINT
sda 8:0 0 40G 0 disk
├─sda1 8:1 0 1G 0 part /boot
└─sda2 8:2 0 39G 0 part
├─centos-root 253:0 0 35.1G 0 lvm /
└─centos-swap 253:1 0 3.9G 0 lvm [SWAP]
sdb 8:16 0 20G 0 disk
└─sdb1 8:17 0 5G 0 part /test
sdc 8:32 0 20G 0 disk
sr0 11:0 1 4.4G 0 rom
[root@bogon ~]# df -Th
文件系统 类型 容量 已用 可用 已用% 挂载点
devtmpfs devtmpfs 1.9G 0 1.9G 0% /dev
tmpfs tmpfs 1.9G 0 1.9G 0% /dev/shm
tmpfs tmpfs 1.9G 13M 1.9G 1% /run
tmpfs tmpfs 1.9G 0 1.9G 0% /sys/fs/cgroup
/dev/mapper/centos-root xfs 36G 4.7G 31G 14% /
/dev/sda1 xfs 1014M 187M 828M 19% /boot
tmpfs tmpfs 378M 12K 378M 1% /run/user/42
tmpfs tmpfs 378M 0 378M 0% /run/user/0
/dev/sdb1 ext2 5.0G 10M 4.7G 1% /test
安装extundelete 以及涉及到的依赖包
yum -y install e2fsprogs-devel e2fsprogs-libs
下载ex工具
cd /test
wget http://nchc.dl.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar.bz2
解压压缩包，并且安装依赖包
tar jxvf extundelete-0.2.4.tar.bz2
cd extundelete-0.2.4/
yum install -y gcc gcc-c++ make
配置安装位置，进行编译安装，并且在/usr/bin下创建一个软链接
./configure --prefix=/usr/local/extundelete && make && make install
ln -s /usr/local/extundelete/bin/* /usr/bin/
删除ext3文件系统中的文件
echo 123 > a.txt
echo 123 > b.txt #创建两个文件 ab，并且写入数据extundelete /dev/sdb1 --inode 2 #查看文件系统/dev/sdb1下存在哪些文件，i 节点是从 2 开始的，2 代表该文件系统最开始的目录。
将两个ext3文件删除
rm -rf a.txt b.txt
恢复删除ext3文件系统中的文件
umount /test
extundelete /dev/sdb1 --restore-all #使用ex工具进行恢复
ls
ls RECOVERED_FILES/
四、恢复XFS类型的文件
1、xfsdump 使用限制
只能备份已挂载的文件系统
必须使用root的权限才能执行
只能备份XFS文件系统
备份后的数据只能让xfsrestore解析
不能备份两个具有相同UUID的文件系统
[root@192 test]# blkid #查看相关文件系统的UID号
/dev/sda1: UUID="4e61eae8-78c3-4999-9778-637a8c3c4f0c" TYPE="xfs"
/dev/sda2: UUID="dhRL0B-Mc2P-pAko-Z0Kk-pZNE-EHL9-OZ6hoe" TYPE="LVM2_member"
/dev/sdb1: UUID="c416cb69-6feb-454f-b0ae-d19aaf40f24c" SEC_TYPE="ext2" TYPE="ext3"
/dev/sdc1: UUID="5b1728cb-d792-42d5-a6a5-aa5649b1e051" TYPE="ext4"
/dev/sr0: UUID="2022-07-26-15-09-17-00" LABEL="CentOS 7 x86_64" TYPE="iso9660" PTTYPE="dos"
/dev/mapper/centos-root: UUID="03a44f17-4dd1-425b-a9e4-832f930a4e90" TYPE="xfs"
/dev/mapper/centos-swap: UUID="25b1fdac-878c-4096-aa6e-c73d00730226" TYPE="swap" 2、备份操作模拟实验
使用fdisk创建分区/dev/sdc2，格式化xfs文件系统
[root@192 test]# fdisk /dev/sdc
欢迎使用 fdisk (util-linux 2.23.2)。
更改将停留在内存中，直到您决定将更改写入磁盘。
使用写入命令前请三思。
命令(输入 m 获取帮助)：n
Partition type:
p primary (1 primary, 0 extended, 3 free)
e extended
Select (default p):
Using default response p
分区号 (2-4，默认 2)：
起始 扇区 (22528-41943039，默认为 22528)：
将使用默认值 22528
Last 扇区, +扇区 or +size{K,M,G} (22528-41943039，默认为 41943039)：
将使用默认值 41943039
分区 2 已设置为 Linux 类型，大小设为 20 GiB
命令(输入 m 获取帮助)：w
The partition table has been altered!
Calling ioctl() to re-read partition table.
WARNING: Re-reading the partition table failed with error 16: 设备或资源忙.
The kernel still uses the old table. The new table will be used at
the next reboot or after you run partprobe(8) or kpartx(8)
正在同步磁盘。
[root@192 test]# fdisk -l
磁盘 /dev/sdc：21.5 GB, 21474836480 字节，41943040 个扇区
Units = 扇区 of 1 * 512 = 512 bytes
扇区大小(逻辑/物理)：512 字节 / 512 字节
I/O 大小(最小/最佳)：512 字节 / 512 字节
磁盘标签类型：dos
磁盘标识符：0x5330399b
设备 Boot Start End Blocks Id System
/dev/sdc1 2048 22527 10240 83 Linux
/dev/sdc2 22528 41943039 20960256 83 Linux
[root@192 test]# mkfs -t xfs /dev/sdc2
meta-data=/dev/sdc2 isize=512 agcount=4, agsize=1310016 blks
= sectsz=512 attr=2, projid32bit=1
= crc=1 finobt=0, sparse=0
data = bsize=4096 blocks=5240064, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0 ftype=1
log =internal log bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=1
realtime =none extsz=4096 blocks=0, rtextents=0
[root@192 test]# cd
[root@192 ~]# mount /dev/sdc2 /test/
[root@192 ~]# df -hT
文件系统 类型 容量 已用 可用 已用% 挂载点
devtmpfs devtmpfs 1.9G 0 1.9G 0% /dev
tmpfs tmpfs 1.9G 0 1.9G 0% /dev/shm
tmpfs tmpfs 1.9G 13M 1.9G 1% /run
tmpfs tmpfs 1.9G 0 1.9G 0% /sys/fs/cgroup
/dev/mapper/centos-root xfs 36G 4.4G 32G 13% /
/dev/sda1 xfs 509M 181M 329M 36% /boot
tmpfs tmpfs 378M 12K 378M 1% /run/user/42
tmpfs tmpfs 378M 0 378M 0% /run/user/0
/dev/sr0 iso9660 4.5G 4.5G 0 100% /mnt
/dev/sdc2 xfs 20G 33M 20G 1% /test安装 xfsdump xfsrestore 软件，并对文件进行复制
[root@192 ~]# ls
anaconda-ks.cfg initial-setup-ks.cfg 公共 视频 文档 音乐
extundelete-0.2.4.tar.bz2 RECOVERED_FILES 模板 图片 下载 桌面
[root@192 ~]# cp -a * /test/
[root@192 ~]# cd /test/
[root@192 test]# ls
anaconda-ks.cfg initial-setup-ks.cfg 公共 视频 文档 音乐
extundelete-0.2.4.tar.bz2 RECOVERED_FILES 模板 图片 下载 桌面
[root@192 test]# yum install -y xfsdump xfsrestore
已加载插件：fastestmirror, langpacks
Loading mirror speeds from cached hostfile
软件包 xfsdump-3.1.7-1.el7.x86_64 已安装并且是最新版本
没有可用软件包 xfsrestore。
无须任何处理
[root@192 test]# xfsdump -f /opt/dump_sdc2 /dev/sdc2 -L /test -M sdc2
xfsdump: using file dump (drive_simple) strategy
xfsdump: version 3.1.7 (dump format 3.0) - type ^C for status and control
xfsdump: level 0 dump of 192.168.80.90:/test
xfsdump: dump date: Tue Apr 23 21:13:54 2024
xfsdump: session id: 6a8cb52a-0331-4eaa-92da-39c6bba188dd
xfsdump: session label: "/test"
xfsdump: ino map phase 1: constructing initial dump list
xfsdump: ino map phase 2: skipping (no pruning necessary)
xfsdump: ino map phase 3: skipping (only one dump stream)
xfsdump: ino map construction complete
xfsdump: estimated dump size: 152256 bytes
xfsdump: /var/lib/xfsdump/inventory created
xfsdump: creating dump session media file 0 (media 0, file 0)
xfsdump: dumping ino map
xfsdump: dumping directories
xfsdump: dumping non-directory files
xfsdump: ending media file
xfsdump: media file size 147488 bytes
xfsdump: dump size (non-dir files) : 117320 bytes
xfsdump: dump complete: 0 seconds elapsed
xfsdump: Dump Summary:
xfsdump: stream 0 /opt/dump_sdc2 OK (success)
xfsdump: Dump Status: SUCCESS
[root@192 test]# cd /opt/
[root@192 opt]# ls
abc.txt dump_sdc2 extundelete-0.2.4 extundelete-0.2.4.tar.bz2模拟硬盘被强制格式化，并重新创建文件系统，造成数据丢失
[root@192 opt]# umount /test
[root@192 opt]# df -hT
文件系统 类型 容量 已用 可用 已用% 挂载点
devtmpfs devtmpfs 1.9G 0 1.9G 0% /dev
tmpfs tmpfs 1.9G 0 1.9G 0% /dev/shm
tmpfs tmpfs 1.9G 13M 1.9G 1% /run
tmpfs tmpfs 1.9G 0 1.9G 0% /sys/fs/cgroup
/dev/mapper/centos-root xfs 36G 4.4G 32G 13% /
/dev/sda1 xfs 509M 181M 329M 36% /boot
tmpfs tmpfs 378M 12K 378M 1% /run/user/42
tmpfs tmpfs 378M 0 378M 0% /run/user/0
/dev/sr0 iso9660 4.5G 4.5G 0 100% /mnt
[root@192 opt]# mkfs.xfs -f /dev/sdc2
meta-data=/dev/sdc2 isize=512 agcount=4, agsize=1310016 blks
= sectsz=512 attr=2, projid32bit=1
= crc=1 finobt=0, sparse=0
data = bsize=4096 blocks=5240064, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0 ftype=1
log =internal log bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=1
realtime =none extsz=4096 blocks=0, rtextents=0
[root@192 opt]# mount /dev/sdc2 /test
[root@192 opt]# cd /test/
[root@192 test]# ls使用 sfxrestore 恢复
[root@192 test]# xfsrestore -f /opt/dump_sdc2 /test
xfsrestore: using file dump (drive_simple) strategy
.........................中间省略......................................
xfsrestore: Restore Status: SUCCESS
[root@192 test]# ls
anaconda-ks.cfg initial-setup-ks.cfg 公共 视频 文档 音乐
extundelete-0.2.4.tar.bz2 RECOVERED_FILES 模板 图片 下载 桌面
[root@192 test]# 五、日志分析
用户日志分析
保存了用户登录、退出系统等相关信息
/var/log/lastlog::最近的用户登录事件
/var/log/wtmp:用户登录、注销及系统开、关机事件
/var/run/utmp:当前登录的每个用户的详细信息
/var/log/secure:与用户验证相关的安全性事件
分析工具
users 查看当前用户名称
who 查看当前登录的用户、终端、登录时间、IP地址。
W 查看当前登录的用户、终端、IP地址、登录时间、占用CPU的情况、进程等。
last 命令用于查询成功登录到系统的用户记录
lastb 命令用于查询登录失败的用户记录
程序日志分析
由相应的应用程序独立进行管理
Web服务:/var/log/httpd/
access log //记录客户访问事件
error log //记录错误事件
代理服务:/var/log/squid/*access.log、cache.log
分析工具
文本查看、grep过滤检索、Webmin管理套件中查看awk、sed等文本过滤、格式化编辑工具
Webalizer、Awstats等专用日志分析工具
Linux系统日志管理
journalctl 日志管理工具
日志管理工具journalctl是centos7上专有的日志管理工具，该工具是从messages这个文件里读取信息。 Systemd统一管理所有Unit的启动日志。带来的好处就是，可以只用journalctl一个命令，查看所有日志（内核日志和应用日志）。 日志的配置文件是/etc/systemd/journald.conf
#查看所有日志（默认情况下，只保存本次启动的日志）
journalctl
journalctl -r #-r表示倒序，从尾部看（推荐）#查看内核日志（不显示应用日志）
journalctl -k#查看系统本次启动的日志
journalctl -b [-0]#查看上一次启动的日志（需更改设置,如上次系统崩溃，需要查看日志时，就要看上一次的启动日志）
journalctl -b -1#显示尾部指定行数的日志
查看的是/var/log/messages的日志，但是格式上有所调整，如主机名格式不一样而已
journalctl -n 20 [-f]#查看某个服务的日志
journalctl -u nginx.service [-f]#查看指定进程的日志
journalctl _PID=1#查看指定用户的日志
journalctl _UID=0 --since todayjournalctl -xe
# -x 是目录(catalog)的意思，在报错的信息下会，附加解决问题的网址
#-e pager-end 从末尾开始看
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
