Linux文件误删除恢复操作

admin

作为一个多用户、多任务的操作系统，Linux下的文件一旦被删除，是难以恢复的。尽管删除命令只是在文件节点中作删除标记，并不真正清除文件内容，但是其他用户和一些有写盘动作的进程会很快覆盖这些数据。不过，对于家庭单机使用的Linux，或者误删文件后及时补救，还是可以恢复的

# B$ A( t( E) F' |

一、用运SecureCRT远程对操作系统上，查看一下当前系统版本号，及文件系统格式
: o4 `0 a3 x/ `* Z0 L


& ?' q) h" d& N, Y

2 g+ S2 |$ S+ `4 w' S二、为方便本次实验，我们新创建一文件。

* k+ _9 `: I; F  [4 O- @


! \: V  R, \1 ?* _3 T
三、执行删除操作
# G4 B+ J$ @0 ~8 k4 o

. I/ y9 G0 c, j; Z: e
- s& s) b2 L3 \' \, g+ r! `rm -rf  web_1.txt

5 v- p/ i; p% C3 i

四、运用，系统自还工具debugfs来修复
' Q1 ]: b. k( U! G8 ]; H: |0 l4 d4 J



1 v: A2 ]" e# S

) P& U! q: B& h( c6 A
五、打开，刚刚被删除文件所在的分区

0 U2 ?" \) ?' @& ^+ i*****************************************************************************************
) G9 w4 y5 _' m7 d: D7 f# k$ i
查看目录在分区



- r$ k9 J$ z6 ?  U

******************************************************************************************


0 J0 q3 ~; m! o  l' y
- Q* a; P6 p% h/ S/ w& n1 _8 t


+ r5 I9 s7 C/ ?, _0 h: K+ C! |

9 c+ F  H+ D& f5 a# D( |六、用ls 加-d参数显示刚刚删除文件所在的目录
% u* X: T7 J6 f

8 q3 L' Q6 a) Y3 c% F( W
0 L% S; _8 K5 b; A& [

, e; }1 W- P3 _3 w

七、显示有<>尖括号的就是我们要找的文件Inode 号 执行logdump –I  <19662057>


( W* B  k+ O2 p$ m0 t
% v2 T$ j- `3 H
3 a4 a% N4 c' a0 Z0 C* w. N0 `5 z6 U
8 }2 u4 b5 I, N% X7 ?" {

9 O' d9 W* @6 y2 ?9 e( S) {

) h' ]/ O1 U: T* X八，执行完命令后，显示了一屏信息，我们需要的是下面这一行，并且要记住，后面的值

. Z6 m4 a# K$ E& i

  ~2 j# O+ m& e9 D+ _; a% N- X3 j
* G8 x2 O3 U9 _  H6 B



: p4 m. T5 m9 g0 r9 Z: `
9 M- \' A. F( u/ [7 S

九、退出dedugfs
( J# e: d( f9 w9 n4 h
qiut

+ z' }& H4 M9 W

十，执行如下命令
: e. {: D- }: U( p# k+ e


bs与下图offset值一致，skip与block值一致
$ a* W8 W( j; L) b


: O6 f8 `( y0 [4 R
: z: ?7 K' l/ b/ P0 A# @5 F

/ O* h, j- c% m# m8 P十一，以上结果表示恢复成功我们看下/opt/wb_1目录下到底有没有
0 a! Y5 n9 B$ `1 o8 ~) K1 q


  F% m' u! f, e
" n/ _4 A9 v5 m, a3 b0 r7 x# r
/ x  @: o" l! H( n  C( O0 C# e

1 v3 K  @8 k8 e3 L3 J恢复成功！
& a+ a* H9 ~* V) Z+ y
恢复文件操作
环境：
在/mnt下有一些文件，其中一个文件train.less正在被查看，然后另一个终端将其删除

9 L1 J2 r/ R0 t6 C% c7 @8 `& f【1】lsof查看
& h& {0 [+ i+ a# K. V! Y6 o6 S
查看正在使用删除文件的进程号
3 T# Q4 M, Y: K( [! s2 P( z
) F: h; T% C+ @) {  m+ rlsof /mnt
9 B) h0 f4 o3 w+ g- T  q9 R4 B% i1

$ {* L! U$ x* b& K0 F2 O

) G) p7 [  r. O' H  b9 `; p4 W
【2】恢复
  u3 s1 _+ q: n! z- E
切换到/proc下，删除文件对应的进程的pid下的文件描述符中的目录中；将对应的内容重定向或cp到其他文件中
重点关注：PID 与 FD
# X3 F+ `0 l0 `4 y, a
   cd /proc/31284/fd/
   cat 4 > /mnt/ferris_train.less
1
0 q& ?% c( x& H; [  S2
# Y$ ^2 P7 u  t! s9 e( P



7 x& M/ c3 B# {7 ]* e
1 x9 c: M+ Z; X& [4 Q3 D
4 I5 n9 O! \3 Pextundelete
原理：
使用存储在分区日志中的信息，尝试恢复已从ext3或ext4的分区中删除的文件

优点：
( S0 Q% x. P) w7 k/ Q相比于ext3grep只能恢复ext3文件系统的文件，其适用范围更广，恢复速度更快

extundelete官方地址(官方文档)：
http://extundelete.sourceforge.net

extundelete下载地址：
% I  ^0 T0 C$ m0 f+ q5 D# Y7 ~http://downloads.sourceforge.net ... elete-0.2.4.tar.bz2
4 L$ }6 d, }7 S% t5 V1 P(最新版本的extundelete是0.2.4，于2013年1月发布)
; ~5 x; c3 L3 a3 Q
注意：
+ [# l7 o. w+ w  l  W6 m9 j4 v
$ h8 U; d6 x# J在数据删除之后，要卸载被删除数据所在的磁盘或是分区

如果是系统根分区遭到误删除，就要进入单用户模式,将根分区以只读的方式挂载,尽可能避免数据被覆盖
  H) h9 f/ Y+ h) m
% ?* Q- d+ @7 P数据被覆盖后无法找回
1 R, {/ U" k. j* F6 \6 a, n% D
" R1 z. B0 b+ |  [$ R6 q恢复仍有一定的机率失败，平时应对重要数据作备份，小心使用rm
5 G) L) q+ I- l  I
安装
  U; Q0 O8 N& {$ ]7 V<1>依赖安装
0 b1 m3 B8 d5 _( z
centos安装操作
+ y9 t' N: s9 R& l# g$ Tyum install e2fsprogs-devel   e2fsprogs* gcc*

$ B  U, O. [6 I  e! Q% }ubuntu安装操作
5 J. j! C5 d( y& ?0 X6 O. Vapt-get install build-essential  e2fslibs-dev  e2fslibs-dev
$ m! R, A- n5 l, Q8 P3 u/ ^' A1
/ d1 O! Q% A" d2 w  l+ F# ~2
, ^/ J$ l: n8 |7 k3
4 J5 c2 q3 @  r2 p5 _4
5
0 |  h3 c1 L- y/ M; |/ R- \; E<2>编译安装

wget http://downloads.sourceforge.net ... elete-0.2.4.tar.bz2
tar xf  extundelete-0.2.4.tar.bz2
cd  extundelete-0.2.4
1 Z7 N# t9 S- N( `9 _+ T& O' `$ x./configure
make
  f0 ^0 t- t# t6 }& K  dmake install
1
# _* `6 R+ Y0 c1 T) `2
$ N' r" Z& H0 ~) P3
, T9 J0 G4 `# m8 r9 x% K" E4
+ N3 o1 O0 d" @1 k  o8 k2 P5
6

& w5 `& X' W2 ?9 g& R; C
cd /root/extundelete-0.2.4/src
* A$ Y+ b" }# i: C1
( `! K& V: }! m

* M3 k6 _1 v) h8 bextundelete -v
1
: e! U8 }* F% k

# G, ?5 O/ v5 s7 h/ W- j5 m. A执行make命令会在src目录下生成extundelete可执行文件，可在此直接执行恢复命令。
执行make install会将程序安装在/usr/local/bin/下
) q! U# p. G* |! G4 M( z6 c- y
恢复文件操作
执行extundelete命令的当前目录必须是可写的。

<1>查看要恢复文件的分区的文件系统

) z1 p7 E+ c8 R# Z* udf  -Th
1

* ]- q- R6 U5 Z: r( {) a0 \
<2>对要恢复文件的分区解除挂载

umount /mnt
1
4 w  J  @, U  Q" x% u

<3>查看可以恢复的数据
7 z% `5 d  @5 i8 W! \1 u$ x$ P0 D, L; D
指定误删文件的分区进行查找
# g# f6 b0 J) X& C& l) R最后一列标记为Deleted的文件，即为删除了的文件

! Z9 @9 P0 n( n, t6 r% S- mextundelete /dev/vdb1 --inode 2 （根分区的inode值是2）
; T: M( I0 d. b7 [0 L1
. n; a6 J* `. u6 |$ d& J
) I; W! j7 Z, A1 e, q- T
8 v7 T+ R# f3 L$ X<4>恢复单个目录

* i# P: Q; a" \指定要恢复的目录名
& T/ J2 O) |3 m# D1 I- u如果是空目录，则不会恢复
7 b* H- L% I( v! ~
extundelete /dev/vdb1 --restore-directory  ferris
1

9 \# F- ~% c8 P" ~% s& C

2 ?# Q7 J" \# V# f. I, V
: `. ]) u9 s) j- l" y9 t1 `5 r当执行恢复文件的命令后，会在执行命令的当前的目录下生成RECOVERED_FILES目录，恢复的文件都会放入此目录中。如未生成目录，即为失败。
4 i; \. T6 @! d' x$ _" o
( l2 k& s# O: }* m% P* G7 K<5>恢复单个文件

( K7 b  o/ L5 c6 n7 M& E指定要恢复的文件名
如果几k大小的小文件，有很大几率恢复失败
3 s- N) K/ ]4 A
/ U  K# q. |4 D% jextundelete /dev/vdb1 --restore-file openssh-7.7p1.tar.gz
1
/ t+ |" p; c5 p0 q6 H# ~/ ?. [

) b* Q! l3 m8 ~<6>恢复全部删除的文件

无需指定文件名或目录名，恢复全部删除的数据
, i# l6 O0 y! g0 x) E; A
extundelete /dev/vdb1 --restore-all
; p- r5 L9 T, m( ~1

* \8 H1 D: f! a2 H; d- `/ i————————————————
3 F, E* |1 A8 W
) S% F* h' C0 f) r/ L2 Z! R