如何恢復(fù) linux 上刪除的文件

1、如何恢復(fù)如何恢復(fù)Linux上刪除的文件上刪除的文件自動(dòng)恢復(fù)工具e2undel和特殊情況的恢復(fù)馮銳(fengrui@cn.)軟件工程師IBM王磊(cdlwangl@cn.)軟件工程師IBM簡介：簡介：恢復(fù)系統(tǒng)中刪除的文件是一個(gè)非常繁瑣的過程，而e2undel這個(gè)工具可以用來方便地恢復(fù)文件系統(tǒng)中已刪除的文件。本文將首先討論e2undel的工作原理和用法，并對(duì)之進(jìn)行一些改進(jìn)。然后討論了文件系統(tǒng)故障、文件系統(tǒng)重建、磁盤物理損壞等情況下應(yīng)該如何恢

2、復(fù)數(shù)據(jù)。在本系列文章的前兩部分中，我們介紹了ext2文件系統(tǒng)中各種文件在磁盤上的存儲(chǔ)結(jié)構(gòu)，以及如何利用debugfs工具的輔助，手工恢復(fù)這些文件的詳細(xì)過程。通過這兩部分的學(xué)習(xí)，我們可以看出恢復(fù)系統(tǒng)中刪除的文件是一個(gè)非常繁瑣的過程，需要非常仔細(xì)地考慮各種情況，并且要保持足夠的細(xì)心，才可能把數(shù)據(jù)準(zhǔn)確無誤地恢復(fù)出來。稍有差錯(cuò)，就會(huì)造成數(shù)據(jù)丟失的情況。聰明的讀者肯定會(huì)想，如果有一些好工具來自動(dòng)或輔助完成數(shù)據(jù)的恢復(fù)過程，那簡直就太好了。幸運(yùn)的是，

3、已經(jīng)有人開發(fā)了這樣一些工具，來簡化用戶的數(shù)據(jù)恢復(fù)工作，e2undel就是其中功能最為強(qiáng)大的一個(gè)。自動(dòng)恢復(fù)工具e2undel回想一下，在ext2文件系統(tǒng)中刪除一個(gè)文件時(shí)，該文件本身的數(shù)據(jù)并沒有被真正刪除，實(shí)際執(zhí)行的操作如下：?在塊位圖中將該文件所占用的數(shù)據(jù)塊標(biāo)識(shí)為可用狀態(tài)。?在索引節(jié)點(diǎn)位圖中將該文件所占用的索引節(jié)點(diǎn)標(biāo)識(shí)為可用狀態(tài)。?將該文件索引節(jié)點(diǎn)中的硬鏈接數(shù)目設(shè)置為0。?將該文件索引節(jié)點(diǎn)中的刪除時(shí)間設(shè)置為當(dāng)前時(shí)間。?將父目錄項(xiàng)中該文件對(duì)

4、應(yīng)項(xiàng)中的索引節(jié)點(diǎn)號(hào)設(shè)置為0，并擴(kuò)展前一項(xiàng)，使其包含該項(xiàng)所占用的空間。而索引節(jié)點(diǎn)中的一些關(guān)鍵信息（或稱為元數(shù)據(jù)，包括文件屬主、訪問權(quán)限、文件大小、該文件所占用的數(shù)據(jù)塊等）都并沒有發(fā)生任何變化。因此只要知道了索引節(jié)點(diǎn)號(hào)，就完全可以用本系列文章介紹的技術(shù)將文件完整地從磁盤上恢復(fù)出來了，這正是e2undel之類的工具賴以生存的基礎(chǔ)。然而，由于所刪除的文件在目錄項(xiàng)中對(duì)應(yīng)的項(xiàng)中的索引節(jié)點(diǎn)號(hào)被清空了，因此我們就無法從索引節(jié)點(diǎn)中獲得文件名的信息了。不過

5、，由于文件大小、屬主和刪除時(shí)間信息依然能反映文件的原始信息，因此我們可以通過這些信息來幫助判斷所刪除的文件是哪個(gè)。e2undel是由OliverDiedrich開發(fā)的一個(gè)用來恢復(fù)ext2文件系統(tǒng)中已刪除文件的工具，它會(huì)遍歷所檢測的文件系統(tǒng)的索引節(jié)點(diǎn)表，從中找出所有被標(biāo)記為刪除的索引節(jié)點(diǎn)，并按照屬主和刪除時(shí)間列出這些文件。另外，e2undel還提供了文件大小信息，并試圖按照file命令的方式來確定文件類型。如果您使用rm–rf之類的命令一

6、次刪除了很多文件，這種信息就可以用來非常方便地幫助確定希望恢復(fù)的是哪些文件。在選擇要恢復(fù)的文件之后，e2undel會(huì)從磁盤上讀取該文件占用的數(shù)據(jù)塊（這些數(shù)據(jù)塊的信息全部保存在索引節(jié)點(diǎn)中），并將其寫入到一個(gè)新文件中。下面我們來看一下e2undel這個(gè)工具的詳細(xì)用法。首先請從e2undel的主頁（:e2undel.）上下載最新的源碼包（截止到撰寫本文為止，最新的版本是0.82），并將其保存到本地文件系統(tǒng)中。不過這個(gè)源碼包在最新的FedaCe

7、8上編譯時(shí)可能會(huì)有些問題，這是由于ext2文件系統(tǒng)內(nèi)部實(shí)現(xiàn)中一些數(shù)復(fù)到原來的文件系統(tǒng)中，因?yàn)樗⒉粫?huì)修改磁盤上ext2使用的內(nèi)部數(shù)據(jù)結(jié)構(gòu)（例如索引節(jié)點(diǎn)、塊位圖和索引節(jié)點(diǎn)位圖）。相反，它僅僅是將所刪除文件的數(shù)據(jù)恢復(fù)出來并將這些數(shù)據(jù)保存到一個(gè)新文件中。因此，s參數(shù)指定是保存恢復(fù)出來的文件的目錄，最好是在另外一個(gè)文件系統(tǒng)上，否則可能會(huì)覆蓋磁盤上的原有數(shù)據(jù)。如果指定了t參數(shù)，e2undel會(huì)試圖讀取文件的前1KB數(shù)據(jù)，并試圖從中確定該文件的類型

8、，其原理與系統(tǒng)中的file命令非常類似，這些信息可以幫助判斷正在恢復(fù)的是什么文件。下面讓我們來看一個(gè)使用e2undel恢復(fù)文件系統(tǒng)的實(shí)例。清單清單4.使用使用e2undel恢復(fù)文件的實(shí)例恢復(fù)文件的實(shí)例#.e2undelatddevsda2stmprecover.e2undel0.82Tryingtorecoverfilesondevsda2savingthemontmprecoverdevsda2openedfreadonlyacces

9、sdevsda2wasnotcleanlyunmounted.Doyouwantwocontinue(yn)y489600inodes(489583free)977956blocksof4096bytes(941677free)lastmountedonFriDec2816:21:502007readinglogfile:openinglogfile:Nosuchfiledirectynoentriesfdevsda2inlogfile

10、searchingfdinodesondevsda2:|==================================================|489600inodesscanned26dfilesfoundusername|112h|248h|37d|430d|51y|6olderroot|0|0|0|2|0|0phost|24|0|0|0|0|0usernamefromtablepressentertoexit:roo