Linux中误删文件的恢复操作

[复制链接]

gaosmile 发布时间：2021-1-20 12:08

技术帖
文章封面:	-
文章简介:	-

前言
% { W" ~+ V+ d+ ^. a. ~5 _

无论在哪个系统中，删除文件都是必须谨慎的操作。

因为如果不小心删除了重要文件，就会导致个人或公司出现重大的损失。

类似于windows系统误删了文件，可以使用一些软件进行恢复操作。Linux也是有几款软件可以做到误删恢复的。

注意事项：虽然有软件可以对误删的数据进行恢复，但是完全恢复数据的概率并不是百分百的。

因此，使用rm命令删除文件的时候，一定要小心；重要的数据一定要有备份；并且恢复删除的数据前，删除文件的目录内不能往进存放新东西，否则覆盖掉的信息无法找回。

下面介绍的就是对Linux中误删文件的恢复操作。

1、lsof

原理：
这个命令实际上并不能直接用来恢复文件，不过它可以列出被各种进程打开的文件信息。

配合其他命令，从/proc目录下的信息中恢复“文件已删除，但进程仍保持打开该文件的状态”的文件。

/proc目录是挂载的是在内存中所映射的一块区域，当我们对这些文件进行读取和写入时，实际上是在从内存中获取相关信息。

因此，当我们对文件进行读取或写入时(即有进程正使用文件时)，哪怕硬盘中的该文件已删除，还可以从内存中的信息恢复文件。

注意：
7 {/ q5 n- X) P% U/ V% S6 x必须以 root 用户的权限运行，因为lsof 需要访问核心内存和各种文件。

只能恢复“文件已删除，但进程仍保持打开该文件的状态”的文件。

如果误删了目录，目录中的其他文件未被进程打开，没有进行使用的文件将无法使用此方法恢复。

lsof输出信息的意义：

2 P7 { s$ P+ }
COMMAND 进程的PID(进程标识符)
+ ^* l2 A$ u! `7 ]4 V6 D9 f
USER 进程所有者1 H( c. P2 S$ {1 R \* s2 J
FD 用来识别该文件(文件描述符). r) l9 X" c% h4 J, q3 C$ o9 R2 {
DEVICE 指定磁盘的名称8 n% E8 M: q* I/ k/ U: x3 Q
SIZE 文件的大小5 _. u5 b9 I) x8 e# N
NODE 索引节点(文件在磁盘上的标识)% U) v% @' T& W% g+ T- ^
NAME 打开文件的确切名称

复制代码

最常用参数:

% Z6 e% D. _, i. R7 V; e+ h0 D
-c 显示某进程现在打开的文件8 u2 U, V$ l2 T
-p 显示哪些文件被某pid进程打开
- j g! U4 ]) t; E. O- L
-g 显示归属某gid的进程情况
) v8 d0 L2 W1 _8 Y+ h
-d 显示目录下被进程开启的文件: ~4 S9 _% F7 H
-d 显示使用fd为4的进程: {* _, g% Y5 c% n
-i:80 显示打开80端口的进

复制代码

恢复文件操作

环境：
在/mnt下有一些文件，其中一个文件train.less正在被查看，然后另一个终端将其删除

【1】lsof查看

查看正在使用删除文件的进程号

lsof /mnt

【2】恢复

切换到/proc下，删除文件对应的进程的pid下的文件描述符中的目录中；将对应的内容重定向或cp到其他文件中
重点关注：PID 与 FD

# V/ H$ V5 z9 s4 g
cd /proc/31284/fd/$ P7 M. x3 C$ P
cat 4 > /mnt/ferris_train.less

复制代码

2、extundelete

原理：
4 O8 i3 [" l( X1 \, ~使用存储在分区日志中的信息，尝试恢复已从ext3或ext4的分区中删除的文件

优点：
相比于ext3grep只能恢复ext3文件系统的文件，其适用范围更广，恢复速度更快

extundelete官方地址(官方文档)：
+ e/ h1 q5 w7 a+ U/ Ihttp://extundelete.sourceforge.net

extundelete下载地址：$ a/ }+ ~* Y$ o$ F# s
http://downloads.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar.bz2
(最新版本的extundelete是0.2.4，于2013年1月发布)

注意：

在数据删除之后，要卸载被删除数据所在的磁盘或是分区
如果是系统根分区遭到误删除，就要进入单用户模式,将根分区以只读的方式挂载,尽可能避免数据被覆盖
数据被覆盖后无法找回
恢复仍有一定的机率失败，平时应对重要数据作备份，小心使用rm
0 B1 ?" X. H; R% u6 u, A& [

安装

1、依赖安装

% U. q" t8 K" j% `3 r) Y
centos安装操作
) S: X# ?, u# E7 q# g1 i" |) @+ q
yum install e2fsprogs-devel e2fsprogs* gcc*
1 ?3 `# \+ l7 `' e4 v
) V, I! F0 Y! d) m3 V- H
ubuntu安装操作7 k/ Q7 ]# r* {1 {
apt-get install build-essential e2fslibs-dev e2fslibs-dev

复制代码

2、编译安装

- K' ]. ^- d8 i4 q, R% F+ Z
wget http://downloads.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar.bz24 j ~/ o1 B+ ~8 j2 o0 ~2 y* }
tar xf extundelete-0.2.4.tar.bz26 g/ K0 @* K1 W4 ^5 ~+ I! v6 o+ o0 u1 g( j
cd extundelete-0.2.4 ` y: f; m7 \" B
./configure
. _9 V# S! F) O' s4 O: E" R2 @0 A
make2 G$ _8 T0 f' @3 P, h# Y2 \( {" d
make install