利用extundelete工具恢復磁碟誤刪除的資料

原理：

簡單介紹下關於inode的知識。在Linux下可以通過“ls -id”命令來檢視某個檔案或者目錄的inode值，例如檢視根目錄的inode值，可以輸入：

[[email protected] Server-100 shell]# ls -id /
2 /

在利用extundelete恢復檔案時並不依賴特定檔案格式，首先extundelete會通過檔案系統的inode資訊（根目錄的inode一般為2）
來獲得當前檔案系統下所有檔案的資訊，包括存在的和已經刪除的檔案，這些資訊包括檔名和inode。
然後利用inode資訊結合日誌去查詢該inode所在的block位置，包括直接塊、間接塊等資訊。
最後利用dd命令將這些資訊備份出來，從而恢復資料檔案。

安裝：

官網下載地址：https://sourceforge.net/projects/extundelete/files/latest/download?source=top3_dlp_t5 
[[email protected] Server-100 src]# yum -y install e2fsprogs-libs e2fsprogs e2fsprogs-devel
[[email protected] Server-100 src]# rpm -q e2fsprogs-libs e2fsprogs e2fsprogs-devel
[[email protected] Server-100 src]# tar jxvf extundelete-0.2.4.tar.bz2
[
 
[email protected] Server-100 src]# cd extundelete-0.2.4
[[email protected] Server-100 src]#extundelete-0.2.4]# ./configure && make && make install 

安裝完成之後生成一個可執行檔案

使用：

[[email protected] Server-100 src]# extundelete --help

其中，引數（options）有：

--version, -[vV]，顯示軟體版本號。

--help，顯示軟體幫助資訊。

--superblock，顯示超級塊資訊。

--journal，顯示日誌資訊。

--after dtime，時間引數，表示在某段時間之後被刪的檔案或目錄。

--before dtime，時間引數，表示在某段時間之前被刪的檔案或目錄。

動作（action）有：

--inode ino，顯示節點“ino”的資訊。

--block blk，顯示資料塊“blk”的資訊。

--restore-inode ino[,ino,...]，恢復命令引數，表示恢復節點“ino”的檔案，恢復的檔案會自動放在當前目錄下的RESTORED_FILES資料夾中，使用節點編號作為副檔名。

--restore-file 'path'，恢復命令引數，表示將恢復指定路徑的檔案，並把恢復的檔案放在當前目錄下的RECOVERED_FILES目錄中。

--restore-files 'path'，恢復命令引數，表示將恢復在路徑中已列出的所有檔案。

--restore-all，恢復命令引數，表示將嘗試恢復所有目錄和檔案。

-j journal，表示從已經命名的檔案中讀取擴充套件日誌。

-b blocknumber，表示使用之前備份的超級塊來開啟檔案系統，一般用於檢視現有超級塊是不是當前所要的檔案。

-B blocksize，通過指定資料塊大小來開啟檔案系統，一般用於檢視已經知道大小的檔案。
 

在資料刪除之後，首先要解除安裝被刪除資料所在的磁碟或是分割槽，如果是系統根分割槽遭到誤刪除，
就需要進入單使用者模式下，將根分割槽以只讀的方式掛載。
原因：因為檔案刪除之後，僅僅是將檔案的inode節點中的扇區指標清零，實際上檔案還存在磁碟上面
如果磁碟以讀寫方式掛載，這些刪除的資料塊可能會被系統從新分配出去，這些資料塊被覆蓋之後，這些
資料就真的丟失了，所以以只讀的方式掛載，儘可能避免資料被覆蓋。

實驗：

下面的實驗我是將磁碟格式化為ext4檔案系統，當然在ext3檔案系統下面也是同樣的方法進行恢復
首先掛載一個新的分割槽
[[email protected] Server-100 src]# mkfs.ext4 /dev/sdb1
[[email protected] Server-100 src]# pwd
/usr/local/src/
[[email protected] Server-100 src]# mkdir test
[[email protected] Server-100 src]# mount /dev/sdb1 test/
[[email protected] Server-100 src]# cp /etc/passwd test/
[[email protected] Server-100 src]# cp -r shell/ test/
[[email protected] Server-100 src]# mkdir test/yhl
[[email protected] Server-100 src]# echo "Welcome to test" > test/yhl/1.txt
[[email protected] Server-100 src]# cd test/
[[email protected] Server-100 test]# md5sum passwd 
b182c9886c816aa0b4fc77ca6585d42e  passwd
[[email protected] Server-100 test]# md5sum yhl/1.txt 
eb39646285ff90dd31f24bd9f0a34257  yhl/1.txt
[[email protected] Server-100 test]# ls shell/ yhl/
shell/:
6.sh     check_system.sh  hanyi.sh  if2.sh  if4.sh  new.sh.bak  p_s1.sh    root.sh  yanse.sh  yuhulin.sh    yunsuan.sh
case.sh  chengji.sh       if1.sh    if3.sh  new.sh  ppp         python.sh  test     youxi.sh  yunsuan-1.sh

yhl/:
1.txt
[[email protected] Server-100 test]# rm -rf *

恢復：
1，解除安裝刪除檔案的分割槽
[[email protected] Server-100 test]# umount /usr/local/src/test/
umount: /usr/local/src/test: device is busy.
        (In some cases useful info about processes that use
         the device is found by lsof(8) or fuser(1))
提示裝置忙，用下面方法解除安裝就可以解除安裝
[[email protected] Server-100 test]# fuser -m -v -i -k /usr/local/src/test/
[[email protected] Server-100 ~]# umount /usr/local/src/test/

檢視能恢復的資料
[[email protected] Server-100 ~]# extundelete /dev/sdb1 --inode 2  (因為根分割槽的inode值是2)
File name                                       | Inode number | Deleted status
.                                                 2
..                                                2
shell                                             130305         Deleted
passwd                                            12             Deleted
yhl                                               1042433        Deleted

首先測試恢復單個檔案
[[email protected] Server-100 ~]# extundelete /dev/sdb1 --restore-file passwd   //restore-file表示恢復檔案
NOTICE: Extended attributes are not restored.
Loading filesystem metadata ... 153 groups loaded.
Loading journal descriptors ... 79 descriptors loaded.
Successfully restored file passwd
[[email protected] Server-100 ~]# cd RECOVERED_FILES/                           //恢復成功之後預設會建立這個檔案，恢復的檔案在這個目錄下面
[[email protected] Server-100 RECOVERED_FILES]# ls
passwd
[[email protected] Server-100 RECOVERED_FILES]# md5sum passwd                   //進行MD5校驗，和刪除之前對比是一樣的，說明恢復成功
b182c9886c816aa0b4fc77ca6585d42e  passwd

測試恢復目錄
[[email protected] Server-100 RECOVERED_FILES]# extundelete /dev/sdb1 --restore-directory /shell
NOTICE: Extended attributes are not restored.
Loading filesystem metadata ... 153 groups loaded.
Loading journal descriptors ... 79 descriptors loaded.
Searching for recoverable inodes in directory /shell ... 
26 recoverable inodes found.
Looking through the directory structure for deleted files ... 
5 recoverable inodes still lost.
[[email protected] Server-100 RECOVERED_FILES]# ls
passwd  RECOVERED_FILES
[[email protected] Server-100 RECOVERED_FILES]# cd RECOVERED_FILES/
[[email protected] Server-100 RECOVERED_FILES]# ls
shell                
可以看見這個目錄，但是有一個問題是恢復回來的檔案許可權和之前的發生了變化，需要你重新修改許可權(我測試的時候是這樣的)

恢復所有資料
[[email protected] Server-100 shell]# extundelete /dev/sdb1 --restore-all
NOTICE: Extended attributes are not restored.
Loading filesystem metadata ... 153 groups loaded.
Loading journal descriptors ... 79 descriptors loaded.
Searching for recoverable inodes in directory / ... 
26 recoverable inodes found.
Looking through the directory structure for deleted files ... 
1 recoverable inodes still lost.
[[email protected] Server-100 shell]# cd RECOVERED_FILES/
[[email protected] Server-100 RECOVERED_FILES]# ls
passwd  shell  yhl
[[email protected] Server-100 yhl]# ls
1.txt
[[email protected] Server-100 yhl]# cat 1.txt 
Welcome to test
[[email protected] Server-100 yhl]# md5sum 1.txt 
eb39646285ff90dd31f24bd9f0a34257  1.txt
[[email protected] Server-100 shell]# du -sh RECOVERED_FILES/*
4.0K    RECOVERED_FILES/passwd
96K RECOVERED_FILES/shell
8.0K    RECOVERED_FILES/yhl
可以看出，資料恢復成功