Linux系统下误删文件,使用debugfs恢复

LINUX IT敢客 4个月前 (05-02) 7292次浏览 已收录 0个评论 扫描二维码

        误删除,这种操作还是经常发生的。Linux 系统下也有这种恢复误删除文件的方法,下面介绍一种:
        

        原理主要是删除的文件并没有实际上从硬盘上摸去,只是 inode 索引删除了相关的信息,因此只要找到刚删除文件的 block 上,就可以恢复已经删除的文件。

        以下方法在 ext3 的文件系统上测试通过,ext2 的没有测试过。假设删除的文件在 dir 下面,位于/dev/sda5 上。

        主要借助 debugfs

        1 运行 debugfs,进入调度模式

        2 执行 open /dev/sda5

        3 执行 ls -d dir 会列出此目录最近的操作,其中可以看到<num>的日志删除记录

        4 执行 logdump -i <num> 显示此日志内容

        5 在输出中寻找删除文件对应的 block,记录下来 blockid

        6 退出 debugfs,运行 dd if=/dev/sda5 of=/tmp/saved  bs=1024 count=1 skip=blockid

        此时就把删除的文件恢复了,不过这个方法有个问题,如果删除的是大文件,则占用多个 block,操作起来比较麻烦。

        debugfs 在调试模式下,命令行比较难用,不过其支持-R 选项,可以在 SHELL 里执行,就是用多个-R 把要执行的命令连接起来,若命令中需要指定参数则需要加"",否则 SHELL 解析会有问题。

        对于误删除这种高风险的操作,最好的建议还是做一个回收站的机制。我们可以将 rm 命令做一个 alias,比如将 rm 变成 mv,
        在~下,我的~是根目录的 root 文件夹,找到.bashrc,打开.bashrc 在其中加入如下内容,然后保存。

mkdir -p ~/.trash  
alias rm=trash    
alias r=trash    
alias rl='ls ~/.trash'  
alias ur=undelfile  
undelfile()  
{  
  mv -i ~/.trash/$@ ./  
}  
trash()  
{  
  mv $@ ~/.trash/  
}


这时再执行 rm 就相当于执行 mv 了。执行 rm -rf 将不再起作用了,要想删东西就执行 rm。删除的东西会在~下的.trash 文件夹中。

在被删除文件的目录下执行 ur 被删除文件名  可以恢复被删除的文件。


IT 敢客 , 版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权
转载请注明原文链接:Linux 系统下误删文件,使用 debugfs 恢复
喜欢 (156)
[313176056@qq.com]
分享 (0)
IT敢客
关于作者:
“我所做的一切都是为了方便我的生活~~~“
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址