Linux EXT檔案系統恢復誤刪檔案的方法

阿新 • • 發佈：2018-11-12

我們在管理資料庫和系統的時候，經常需要做rm 刪除檔案的操作。由於Linux是沒有回收站的，rm刪除了檔案或者目錄以後，資料是無法從Windows所謂的回收站中找到並恢復的。這樣的話，資料被誤刪除了以後，想要恢復我們一般需要從備份中，或者找資料恢復公司來恢復資料。但是，在某些比較特殊的情況下，使用了以下方法，我們還是可以找回部分資料的。
這裡我們主要介紹兩種資料恢復的方法。第一種是針對檔案在檔案系統中已經被刪除了，但是，開啟這個檔案的程序還存在。第二種針對檔案在檔案系統中已經被刪除了，目前也沒有任何程序開啟著這個檔案，但是檔案在刪除以後沒有其他對檔案系統的變更操作。
1.           從/proc檔案系統恢復資料
在Linux系統中，檔案被刪除了，只要開啟檔案的程序沒有被關閉，那麼恭喜你，這個檔案重新恢復出來的可能性非常大。因為Linux作業系統在刪除檔案時，會判斷開啟這個檔案的所有程序是否都已經關閉，如果還有一個程序沒有關閉，那麼這個檔案的空間將不會釋放。只有所有開啟這個檔案的程序都關閉以後，這個檔案的空間才會釋放。這也是為什麼在Linux下有時候我們刪除檔案，檔案的空間無法釋放掉的原因。
這種情況下，我們可以嘗試從/proc檔案系統中將檔案恢復出來。
/proc 檔案系統是一種核心和核心模組用來向程序 (process) 傳送資訊的機制 (所以叫做 /proc)。通過這個偽檔案系統讓你可以和核心內部資料結構進行互動。你可以獲取對應程序的有用資訊，在執行中 (on the fly) 通過改變核心引數修改部分設定。它與其他檔案系統不同，/proc 是存在於記憶體之中而不是硬碟上。
接下來我們模擬一下資料誤刪除的過程，來看看在程序沒有關閉的情況下，怎麼從/proc中恢復資料。
首先，我們有一個echo_red.sh的檔案，我們在會話session 1檢視一下這個檔案的內容。
此時，在另外一個會話session 2中有一個程序在修改這個檔案：
然後這個檔案在會話session 1中被我們“誤刪除”掉了：
    Session 1  Session 2 
  [ 
[email protected] /home/woqu]
 #ll
 總用量 4
 -rw-r--r-- 1 root 93 10月 16 17:49 echo_red.sh
 [[email protected] /home/woqu]
 #cat echo_red.sh
 echo_red()
 {
     # echo a message with red color
     echo -e "\e[1;[email protected]\e[m"
     return 0
 }
    
     [ 
[email protected] /home/woqu]
 #cat >echo_red.sh
 echo_red()
 {
     # echo a message with red color
     echo -e "\e[1;[email protected]\e[m"
     return 0
 }
 
  [[email protected] /home/woqu]
 #rm -f echo_red.sh
 [[email protected] /home/woqu]
 #ll
 總用量 0
    
此時，我們發現檔案被“誤刪除”了，需要恢復資料，那麼我們需要怎麼做列？
l   磁碟備份
發現誤刪除以後，我們需要立刻停止對該分割槽的寫操作。
在恢復之前，如果可能的話，建議通過dd命令將磁碟整個備份起來，以避免操作的時候損壞了磁碟上相關資料。
l   確定程序號和檔案控制代碼號
首先，我們需要確定開啟這個檔案的程序號，以及程序開啟這個檔案的檔案號。最直接的辦法就是lsof |grep -i delete：
[ 
[email protected] /home/woqu]
#lsof |grep -i delete
cat       11791  root    1w      REG              253,0       94    1048589 /home/woqu/echo_red.sh (deleted)
這裡一共有9列，各列列名如下：
COMMAND     PID  USER   FD      TYPE             DEVICE SIZE/OFF       NODE NAME
也就是說，開啟這個檔案的程序是11791，而/home/woqu/echo_red.sh對應該程序的檔案控制代碼是1w。也就是說檔案控制代碼號是1。
l   恢復誤刪除檔案
然後，我們就可以直接將這個檔案的內容拷貝出來：
 [[email protected] /root]
#cp /proc/11791/fd/1 echo_red.sh
[[email protected] /root]
#cat echo_red.sh
echo_red()
{
    # echo a message with red color
    echo -e "\e[1;[email protected]\e[m"
    return 0
}
如上所示，資料檔案恢復出來了，內容也是一模一樣的。
2.           Extundelete工具恢復
對於使用ext3,ext4檔案系統的Linux系統有一個比較好的工具可以用於資料恢復，那就是extundelete。當然其他的檔案系統當然也有類似的恢復工具。
由於大部分Linux發行版都是以ext3，ext4作為預設檔案系統的，我們這裡以extundelete為例演示資料刪除以後恢復的相關步驟。
老規矩，首先我們需要製造一個“誤刪除”的現場。
現在我們的/home/mysql下有多個目錄，其中一個目錄為script：
[[email protected] /home/mysql]
#ll
total 28
drwxr-xr-x 2 mysql 4096 Jul 21 14:42 bin
drwxr-xr-x 2 mysql 4096 Oct 12 17:52 conf
drwxr-xr-x 3 mysql 4096 Sep 26 14:57 data
drwxr-xr-x 4 mysql 4096 Oct 16 15:24 program
drwxr-xr-x 2 root  4096 Oct 16 18:16 script
drwxr-xr-x 4 mysql 4096 Oct 16 15:25 source
drwxr-xr-x 7 mysql 4096 May 31 11:27 thirdparty
這個script目錄下有一些檔案，如下：
[[email protected] /home/mysql]
#tree script/
script/
├── get_mysql_fdflag.sh
├── mysqlreport.sh
└── test_o_direct.c
由於某種原因，/home/mysql/script被誤刪除了。
[[email protected] /home/mysql]
#rm -fr script/
l   磁碟備份
發現誤刪除以後，我們需要立刻停止對該分割槽的寫操作，避免inode被重用。
接下來就需要用extundelete工具對它進行恢復。在恢復之前如果可能的話，建議通過dd命令將磁碟整個備份起來，以避免操作的時候損壞了磁碟上相關資料。萬一extundelete或者類似的工具無法恢復資料，這些資料交給專業的硬碟恢復公司也更容易找回資料一些。
l   umount分割槽
做完了備份，我們首先做的第一步，需要將誤刪除資料的磁碟分割槽首先umount掉，這也是避免該分割槽的資料被損壞的一個步驟。在我們的模擬環境，我們需要：
[[email protected] /root]
#umount /home/
l   安裝extundelete
如果你機器上並沒有安裝extundelete的話，首先，你需要把這個工具安裝好。目前最新的extundelete版本是0.2.4，安裝方法如下：
yum -y install e2fsprogs*
wget  網頁連結
tar xjf extundelete-0.2.4.tar.bz2
cd extundelete-0.2.4/
./configure
make
make install
l   查詢誤刪除檔案
通過extundelete可以檢視哪些檔案被刪除了。在我們的模擬場景下，可以這樣使用extundelete --inode 2 /dev/VolGroup/home檢視/home分割槽下各個檔案和目錄的詳細資訊。這裡/dev/VolGroup/home指的是/home對應的分割槽。對於ext系列的檔案系統，編號為2的inode中包含了該分割槽下的各個檔案和目錄資訊。輸出資訊如下：
[[email protected] /root]
#extundelete --inode 2 /dev/VolGroup/home
NOTICE: Extended attributes are not restored.
Loading filesystem metadata ... 400 groups loaded.
Group: 0
Contents of inode 2:
0000 | ed 41 00 00 00 10 00 00 87 99 5e 52 87 99 5e 52 | .A........^R..^R
0010 | 87 99 5e 52 00 00 00 00 00 00 05 00 08 00 00 00 | ..^R............
0020 | 00 00 00 00 05 00 00 00 21 24 00 00 00 00 00 00 | ........!$......
0030 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
0040 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
0050 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
0060 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
0070 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
0080 | 1c 00 00 00 74 63 29 04 74 63 29 04 b8 23 27 8a | ....tc).tc)..#'.
0090 | e0 3e 2d 52 00 00 00 00 00 00 00 00 00 00 02 ea | .>-R............
00a0 | 07 06 3c 00 00 00 00 00 21 00 00 00 00 00 00 00 | ..R............
00a0 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
00b0 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
00c0 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
00d0 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
00e0 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
00f0 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................
Inode is Allocated
File mode: 16832
Low 16 bits of Owner Uid: 601
Size in bytes: 4096
Access time: 1381931633
Creation time: 1381931432
Modification time: 1381931432
Deletion Time: 0
Low 16 bits of Group Id: 601
Links count: 12
Blocks count: 8
File flags: 524288
File version (for NFS): 3619593980
File ACL: 0
Directory ACL: 0
Fragment address: 0
Direct blocks: 127754, 4, 0, 0, 1, 1056800, 0, 0, 0, 0, 0, 0
Indirect block: 0
Double indirect block: 0
Triple indirect block: 0
File name                                       | Inode number | Deleted status
.                                                 262145
..                                                2
.mozilla                                          262146
.bash_profile                                     262152
.gnome2                                           262150
.emacs                                            262195
.bash_logout                                      262194
.bashrc                                           262149
bin                                               262154
conf                                              262155
data                                              262156
script                                            404044     Deleted
thirdparty                                        262158
program                                           264107
.viminfo                                          262765
.bash_history                                     262193
.bzr.log                                          262153
.mysql_history                                    273588
source                                            402793
.ssh                                              414601
這裡我們誤刪除的script目錄在這裡被標記為Deleted狀態了。
l   恢復誤刪除資料
extundelete可以通過--restore-inode將指定inode對應的檔案恢復出來，也可以使用--restore-all將所有狀態為已經Deleted的檔案和目錄恢復回來。restore-inode主要用於恢復單個檔案；restore-all用於恢復所有的檔案目錄。另外，還有--restore-file，--restore-files，--restore-directory來恢復指定目錄或者檔案。
另外，如果你知道刪除的時間，那麼可以指定--after或者--before來指定誤刪除的時間。
恢復資料的時候，extundelete將在當前目錄下新建RECOVERED_FILES資料夾，並把恢復出來的資料檔案或者目錄存放在該目錄中。
比如，我們使用--restore-inode恢復資料，恢復264111號inode檔案如下：
[[email protected] /root/RECOVERED_FILES]
#extundelete --restore-inode 264111 /dev/VolGroup/home
NOTICE: Extended attributes are not restored.
Loading filesystem metadata ... 400 groups loaded.
Loading journal descriptors ... 31810 descriptors loaded.
[[email protected] /root/RECOVERED_FILES]
#ll file. 264111
-rw-r--r-- 1 root 43816 10月 16 15:42 file.264111
如上，它恢復出來的檔案會被重新命名為file.$Inode_no(這裡是file.264111)放在RECOVERED_FILES目錄中。需要完全恢復資料的話，只需要將檔案拷貝回原目錄，並重命名。
使用restore-all恢復的話，目錄名和檔名都會恢復回來，你可以在當前目錄的RECOVERED_FILES目錄下找到對應的檔案和目錄如下：
[[email protected] /root/RECOVERED_FILES]
#ll mysql/
total 16
drwxr-xr-x 4 root 4096 Oct 16 15:42 script
你只需要將script拷貝到原目錄就好了。
3.           終極解決方案
當然，以上的兩個方法都是萬不得已才使用的。最好的DBA和SA永遠不是四處奔忙的救火隊員。最好的辦法是先做好預防工作，在發生之前儘量保證不出問題，而rm誤刪除檔案的預防就是對重要資料進行備份以及rm -i。
做了別名以後，刪除資料的時候，rm命令就會提示你，檔案是否確定要刪除：
[[email protected] /root/RECOVERED_FILES/mysql/script]
#rm sock
rm：是否刪除普通檔案 "sock"？
其他避免誤刪除等故障的方法可以參考《遠離故障的十大原則》。當然，最重要的還是日常對這種不可逆操作的謹慎和小心，並及時做好備份。

Linux EXT檔案系統恢復誤刪檔案的方法

我們在管理資料庫和系統的時候，經常需要做rm 刪除檔案的操作。由於Linux是沒有回收站的，rm刪除了檔案或者目錄以後，資料是無法從Windows所謂的回收站中找到並恢復的。這樣的話，資料被誤刪除了以後，想要恢復我們一般需要從備份中，或者找資料恢復公司來恢復資料。但是，在某些比較特殊的情況下，使用了

linux系統rm誤刪檔案恢復 ext4

[[email protected] extundelete-0.2.4]# extundelete --inode 2 /dev/mapper/VolGroup-lv_home <div class="crayon-pre" style="box-sizing: border-bo

Linux用extundelete恢復誤刪檔案

誤刪後應急處理立刻umount誤刪檔案所在磁碟，或立刻強行關機千萬不要在未umount磁碟情況下正常關機，因為關機時會寫入一些檔案，導致部分檔案被覆蓋 Extundelete安裝 sudo apt-get install extun

使用testdisk恢復誤刪檔案【rm -rf 命令】

進入，下載適合自己系統的版本 http://www.cgsecurity.org/testdisk-6.13.linux26.tar.bz2 下載解壓 tar jxf testdisk-6.14-WIP.linux26.tar.bz2 進入解

Linux系統下誤刪/etc/passwd檔案的解決辦法

在Linux 中 /etc/passwd檔案中每個使用者都有一個對應的記錄行，它記錄了這個使用者的一些基本屬性。系統管理員經常會接觸到這個檔案的修改以完成對使用者的管理工作。比如說：　　　　root:x:0:0:root:/root

Linux恢復誤刪刪除檔案，釋放刪除空間

參考網址https://www.cnblogs.com/z-sm/p/6108689.html 鍵入命令：lsof |grep deleted 找到刪除的檔案。恢復程序號為1464的檔案需要先建立路徑/home/hadoop/zktmp/version-2 cat /

Linux（以Ubuntu16.04為例）和Windows誤刪檔案恢復

在linux下有一個用著很爽的命令rm -f，意為強制刪除，同樣這也是個非常危險的命令（可以理解為禁咒2333）。所以我是儘量避免使用這條指令的。而今天我在編譯一個C++檔案時不小心將目標檔案和原始檔位置顛倒，結果也造成了與rm同樣的結果。於是花了很久的時間

一次心驚肉跳的伺服器誤刪檔案的恢復過程【轉載、收藏】一次心驚肉跳的伺服器誤刪檔案的恢復過程

一次心驚肉跳的伺服器誤刪檔案的恢復過程經歷了兩天不懈努力，終於恢復了一次誤操作刪除的生產伺服器資料。對本次事故過程和解決辦法記錄在此，警醒自己，也提示別人莫犯此錯。也希望遇到問題的朋友能找到一絲靈感解決問題。事故背景安排一個妹子在一臺生產伺服器上安裝Oracle,妹子

恢復誤刪的程序在使用的檔案【轉】

轉自：https://www.cnblogs.com/276815076/p/5473185.html 原理：在Linux系統的/proc 分割槽下儲存著程序的目錄和名字，包含fd(檔案描述符)和其下的子目錄（程序開啟檔案的連結），那麼如果刪除了一個檔案，還存在一個 inode的引用：/proc/程序號/f

在Linux對rm進行優化，避免誤刪檔案

#!/bin/sh # newrm, a replacement for the existing rm command, provides a # rudimentary unremove capability by creating and utilizing a

xcode5誤刪檔案的恢復辦法

最近嘗試在xcode下使用git. 建立工程時勾選Git是會在自動把所有檔案提交。然後我不小心刪除了某幾個檔案，但並沒有commit。我想恢復這幾個檔案，該怎麼做呢？ xcode5雖然集成了強大的git功能，但這個功能好像沒有提供（後來研究了下，其實選單裡的Source

【迅龍資料恢復高手】誤刪除的檔案，誤格式化的分割槽，提示未被格式化，丟失分割槽可以使用迅龍硬碟資料恢復軟體(誤刪檔案恢復工具)進行恢復。迅龍硬碟資料恢復軟體(誤刪檔案恢復工具)支援所有原因丟失的檔案、掃描速度快、恢復效果好

誤刪除的檔案，誤格式化的分割槽，提示未被格式化，丟失分割槽可以使用迅龍硬碟資料恢復軟體(誤刪檔案恢復工具)進行恢復。迅龍硬碟資料恢復軟體(誤刪檔案恢復工具)支援所有原因丟失的檔案、掃描速度快、恢復效果好... (adsbygoogle = window.

恢復GIT誤刪檔案

1、有時Git誤操作執行 git clean -f 或者在IDE 中誤刪程式碼，可通過IDE進行恢復2、以Eclipse為例：選中誤刪檔案所在目錄，右鍵執行“restore from local history”。

Android studio如何恢復誤刪的檔案或者資料夾

當你一不小心或者腦抽刪掉（delete）了一個檔案或者更腦抽的delete你的module之後你咋辦這時候你應該淡定的百度一下哈哈哈開個玩笑你在專案的最上層 project目錄點選右鍵選項裡面有一個Local History 選擇 show

linux恢復誤刪除檔案-ext3grep

linux恢復誤刪除檔案，有時候執行rm -rf * 是一件很危險的事；如果萬一不小心刪除了檔案，該如何恢復？注意：該工具支援ext3檔案系統，不支援ext4檔案系統 1. 安裝rpm包

誤刪檔案恢復

今天在做專案的時候，先git stash下，然後切分支，想在新的分支上apply之前分支的程式碼，結果執行git status命令後發現列印內容很亂，手賤執行了git clean -f命令，結果把stash中的檔案也刪除了。找了很久的資料，發現有如下方法可以減少損失：1，wi

如何有效恢復誤刪的HDFS檔案

HDFS是大資料領域比較知名的分散式儲存系統，作為大資料相關從業人員，每天處理HDFS上的檔案資料是常規操作。這就容易帶來一個問題，實際操作中對重要資料檔案的誤刪，那麼如何恢復這些檔案，就顯得尤為重要。本文針對誤刪HDFS檔案的問題，通過利用HDFS的內部機制，提供了以下幾種方法： 1. 回收站機制恢復 H

怎麽把Linux系統上面誤刪的數據找回來？

Linux突發事件，應用上傳的數據被程序自動刪掉了，可悲的是還沒有數據備份，數據是放在系統的 /data/webapps/xxxx/upload 目錄下面，可把我們急壞了，之前又沒有做過數據恢復的測試，然後我找到了一款數據恢復的軟件，成功把刪除的大部分數據找回來了。恢復全部數據可以使用命令 extundel

Linux中用extundelete恢復誤刪文件

linux extundelete 恢復誤刪文件一、實驗前需知1、extundelete是一個用來恢復ext3，ext4分區文件的工具，他會利用分區中的日誌信息嘗試恢復被刪除的文件，但是，並非每個被刪除的文件都能確保被恢復，所以，重要的文件大家還是要做好備份。下面進行一個小實驗模擬文件誤刪，使用

Linux 檔案系統的建立與掛載方法

轉自：https://blog.csdn.net/gz153016/article/details/51655994 Linux的檔案系統的建立與掛載方法 1 Linux 檔案系統的建立 Linux的作業系統在安裝伺服器時，安裝程式已經建立了自己的檔案系統，但是在使

Linux EXT檔案系統恢復誤刪檔案的方法

相關推薦