Linux不小心删数据,linux下恢复误删除数据

linux下恢复误删除数据

一个偶然的机会,需要恢复下大量的误删除文件。由于没有经验,我上网搜了一番,找到一个比较有用的工具:ext3grep。这个工具是专门用来恢复linux下面被删除的文件的,当然,前提是源数据实际内容块没有被删除。

网上也有针对这个工具的使用说明,在此我结合这几天的实际恢复经验,谈谈应该如何恢复误删除的文件,算是转载一下网上的文章吧,呵呵。

我用一个简单的典型的恢复过程来说明:

【场景】

xx:/data # df -h

FilesystemSizeUsed Avail Use% Mounted on

/dev/sda19.9G1.6G7.9G17% /

udev1011M120K1011M1% /dev

/dev/sda320G240M19G2% /usr/local

/dev/sda442G129M40G1% /data

xx:/data # cdtest

xx:/data/test # ls -lrt

total 800

-rw-r--r-- 1 root root 814739 May 20 14:45 rtagent.tar.gz

xx:/data/test # rm rtagent.tar.gz(假设这个是个误操作)

我们现在要做的,就是恢复/data/test/rtagent.tar.gz这个文件。

【停止写入】大家应该都清楚,在ext2/ext3中,删除文件操作只是将该文件的节点做删除标记,并没有实际删除该文件的内容块;但是如果有新内容写入,就很有可能覆盖掉这些内容块,所以,一旦发生误删除的情况,必须马上停止向磁盘写入,方法可以是umoun掉该磁盘。

ext3grep】接下来,我们需要在服务器上安装ext3grep这个工具:ext3grep-0.10.1.tar.gz;安装这个工具之前,必须安装好e2fsprogs-devel:e2fsprogs-devel-1.38-25.30.i586.rpm,可以用通用的安装方法进行安装,这里就不介绍了。

【扫描磁盘】先让ext3grep扫描文件所在磁盘,获取磁盘的inode和对应内容信息(包括标记为删除的inode)(在/usr/local目录下执行,后面会解析为什么):

xx:/usr/local # ext3grep /dev/sda4--ls--inode 2(inode=2表示的是最顶层的inode)

Running ext3grep version0.10.1

Number of groups: 341

Loading group metadata... done

Minimum / maximum journal block: 522 / 33841

Loading journal descriptors... sorting... done

The oldest inode block that is still in the journal, appears to be from 1240191984 = Mon Apr 20 09:46:24 2009

Journal transaction 3642 wraps around, some data blocks might have been lost of this transaction.

Number of descriptors in journal: 29110; min / max sequence numbers: 1423 / 5763

Inode is Allocated

Finding all blocks that might be directories.

D: block containing directory start, d: block containing more directory entries.

Each plus represents a directory start that references the same inode as a directory start that we found previously.

Searching group 1:

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

Searching group 2:

Searching group 3:

Searching group 4:

Searching group 5:

Searching group 6:

。。。。。

。。。。。

。。。。。

.-- File type in dir_entry (r=regular file, d=directory, l=symlink)

|.-- D: Deleted ; R: Reallocated

Indx Next |Inode| Deletion timeModeFile name

==========+==========+----------------data-from-inode------+-----------+=========

01 d2drwxr-xr-x.

12 d2drwxr-xr-x..

23 d11drwx------lost+found

34 d719489drwxrwxrwxcorefile

45 d 1684257drwxr-xr-xtest

5end r49057rrw-r--r--2

6end r49058D 1242805686 Wed May 20 15:48:06 2009rrw-------tmp_agent_9RowP3

最后面的是扫描的结果。

扫描完成之后,会在执行命令当前目录下生成2个文件:sda4.ext3grep.stage1和sda4.ext3grep.stage2。这两个文件应该是包含了该磁盘的所有inode信息,下次再运行ext3grep命令的时候,都会从2个文件里面去寻找结果(所以别删除,否则又得扫描一次。。。时间挺久的,不过如果希望重新扫描,请删除这两个文件)。

【寻找文件】这个时候,我们就要寻找刚才被误删的rtagent.tar.gz文件了。可以通过如下方式,一步步的找到改文件:从上面的结果中我们可以看到被删除文件所在目录test的inode是1684257,所以执行:ext3grep /dev/sda4--ls--inode 1684257

xx:/usr/local # ext3grep /dev/sda4   --ls  --inode 1684257

Running ext3grep version 0.10.1

WARNING: EXT3_FEATURE_INCOMPAT_RECOVER is set. This either means that your partition is still mounted, and/or the file system is in an unclean state.

Number of groups: 341

Minimum / maximum journal block: 522 / 33841

Loading journal descriptors...

sorting... done

The oldest inode block that is still in the journal, appears to be from 1240191984 = Mon Apr 20 09:46:24 2009

Journal transaction 3642 wraps around, some data blocks might have been lost of this transaction.

Number of descriptors in journal: 29109; min / max sequence numbers: 1423 / 5767

Inode is Allocated

Loading sda4.ext3grep.stage2... done

The first block of the directory is 3405824.

Inode 1684257 is directory "test".

Directory block 3405824:

.-- File type in dir_entry (r=regular file, d=directory, l=symlink)

|          .-- D: Deleted ; R: Reallocated

Indx Next |  Inode   | Deletion time                        Mode        File name

==========+==========+----------------data-from-inode------+-----------+=========

0    1 d 1684257                                         drwxr-xr-x  .

1  end d       2                                         drwxr-xr-x  ..

2  end r 1684258  D 1242802212 Wed May 20 14:50:12 2009  rrw-r--r--  rtagent.tar.gz

看到了看到了,被删除的文件找到了,而且标记的确是为D。

【恢复文件】执行如下命令可以恢复这个文件:ext3grep /dev/sda4--restore-filetest/rtagent.tar.gz

该文件现在已经被恢复到了当前目录下的RESTORED_FILES中,所以执行该命令的时候,一定要保证当前分区有足够的空间,这就是之前为什么要在/usr/local下面执行所有的操作的原因:

当然,我们还可以指定inode进行恢复。

至此,该文件恢复完成。

在实际操作中,以下信息可能对操作者有用:

1、扫描磁盘时,磁盘可以不umount,而是以只读的方式mount(mount的时候带上-r参数),这样只读的业务可以继续提供服务。

2、恢复文件的时候,如果指定inode进行恢复,恢复出来的文件将以inode.***作为文件名。

3、目前还没有找到批量恢复一批文件的方法,不过可以用--restore-all参数进行全恢复。

4、如果被删除的文件本身就在根分区,考虑到恢复本身会写跟分区,安全起见,还是建议立即停机,并将硬盘拔插到另外一台服务器上进行恢复。

5、如果文件个数太多,恢复成功的概率比较小,我在恢复5W多个文件的时候,使用--restore-all参数进行全恢复,最终只恢复了600多个。。。

6、更多参数含义请参考ext3grep –help

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值