这篇博客介绍了如何利用debugfs工具在Linux环境下恢复被rm命令误删除的文件。删除的文件并未立即从硬盘上抹去，而是其inode信息被删除。通过debugfs进入调试模式，查找删除文件的inode和block，然后使用dd命令可以恢复文件。这种方法适用于ext3文件系统，但可能在ext2和ext4上未经过测试。同时提到了testdisk作为另一种可能的恢复工具。
满意答案
pzh5750
2016.09.24
采纳率：44% 等级：9
已帮助：516人
linux下可以通过debugfs来恢复rm误删除的文件，原理主要是删除的文件并没有实际上从硬盘上摸去，只是inode索引删除了相关的信息，因此只要找到刚删除文件的block上，就可以恢复已经删除的文件。
以下方法在ext3的文件系统上测试通过，ext2和ext4的没有测试过。假设删除的文件在dir下面，位于/dev/sda5上。
主要借助debugfs
1 运行debugfs，进入调度模式
2 执行open /dev/sda5
3 执行ls -d dir 会列出此目录最近的操作，其中可以看到的日志删除记录
4 执行logdump -i 显示此日志内容
5 在输出中寻找删除文件对应的block，记录下来blockid
6退出debugfs，运行dd if=/dev/sda5 of=/tmp/saved bs=1024 count=1 skip=blockid
此时就把删除的文件恢复了，不过这个方法有个问题，如果删除的是大文件，则占用多个block，操作起来比较麻烦。
debugfs在调试模式下，命令行比较难用，不过其支持-R选项，可以在SHELL里执行，就是用多个-R把要执行的命令连接起来，若命令中需要指定参数则需要加""，否则SHELL解析会有问题。
比较好用的工具有testdisk，之前用过他来恢复和备份系统的分区表，没有恢复过文件。
00分享举报
扫一扫
2874
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
