linux 删除文件myfile1,Linux 回复删除文件

Linux下的rm命令太可怕了，一不小心 rm -rf / 那就悲剧了，请慎用rm -rf。

如果一不小心删除重要文件，后续不对该路径文件操作，可以通过相关命令找回被删文件。

原理主要是删除的文件并没有实际上从硬盘上抹去，只是inode索引删除了相关的信息(单链表节点删除实现)，因此只要找到刚删除文件的block上，就可以恢复已经删除的文件。

一. 查看分区

df -T

Filesystem Type 1K-blocks Used Available Use% Mounted on

/dev/sda1 ext4 41284928 38206612 981164 98% /

tmpfs tmpfs 1961248 10240 1951008 1% /dev/shm

/dev/sda5 ext4 119724260 6428840 107213784 6% /data

/dev/sda2 ext4 41284928 799900 38387876 3% /usr/local

二. ext3

sudo debugfs

open /dev/sda1 #打开分区

ls -d /home/test/src#显示该目标删除文件inode

819307 (12) . 819306 (4084) ..

<790528> (4072) bosstest.cpp

<792294> (4052) btest.cpp

<792214> (4032) qwd_kettas.pb.cc

logdump -i <790528>#查看该文件日志内容

...

[blocks] 12345 #12345为存放bosstest.cpp数据块地址

sudo dd if=/dev/sda1 of=/tmp/my1.cpp count=1 skip=12345 #读取12345处数据至my1.cpp中

三. ext4

debugfs只能恢复ext3系统文件，extundelete支持ext3/ext4文件系统的恢复。

sudo yum install -y e2fsprogs#安装依赖库

sudo extundelete --inode 819203 /dev/sda1#查找指定目录下删除文件

File name | Inode number | Deleted status

. 819307

.. 819306

bosstest.cpp 790528 Deleted

btest.cpp 792294 Deleted

qwd_kettas.pb.cc 792214 Deleted

sudo extundelete --restore-inode 790528 /dev/sda1#恢复指定inode文件，恢复文件在./RECOVERED_FILES

sudo extundelete /dev/sda1 --restore-all#恢复/dev/sda1分区下所有文件

大多数情况下，会出现以下提示：Unable to restore inode 792214 (file.792214): Space has been reallocated.  由于文件系统被覆盖，已经无法恢复文件。

参考链接：

http://extundelete.sourceforge.net/