linux下rm -r误删NTFS文件恢复方法

一时疏忽，手一抖，把整个挂载的F盘删了一半！顿时傻眼！！

被删的F盘是Windows下NTFS分区，在Ubuntu12.04中挂载了F盘，使用rm命令时粗心大意，误删了一半的数据。

血的教训告诉我们，使用rm -r命令一定要带上-i，否则让你后悔莫及！

还好在Linux下有一种方法可以恢复被删除的NTFS分区文件。

本文地址：http://www.cnblogs.com/yhLinux/p/4106099.html

在文件被误删后，不要再往分区写数据！切记。

首先，看看我们被删的F盘：

$ df -Th
文件系统       类型      容量  已用  可用 已用% 挂载点
/dev/sda9      ext4       35G   18G   15G   % /
udev           devtmpfs  .9G  .0K  .9G    % /dev
tmpfs          tmpfs     384M  936K  383M    % /run
none           tmpfs     5.0M       5.0M    % /run/lock
none           tmpfs     .9G  272K  .9G    % /run/shm
/dev/sda10     ext4       38G  .8G   30G   % /home
/dev/sda7      fuseblk   121G   52G   69G   % /media/Recreation

其次，取消挂载：

umount /media/Recreation

安装ntfsprogs包：

sudo apt-get install ntfsprogs

扫描F盘中可恢复的文件信息（这里，我指定要恢复两个比较重要的文件先，这两个文件比较大，10G左右）：

$ sudo ntfsundelete /dev/sda7 -S 8g-30g

Inode    Flags  %age  Date           Size  Filename
---------------------------------------------------------------
ntfs_mst_post_read_fixup_warn: magic: 0x00000000  size:    usa_ofs:   usa_count: : 无效的参数
ntfs_attr_find: Corrupt inode (-): 输入/输出错误
ntfs_attr_find: Corrupt inode (-): 输入/输出错误
ntfs_attr_find: Corrupt inode (-): 输入/输出错误
ntfs_attr_find: Corrupt inode (-): 输入/输出错误
ntfs_attr_find: Corrupt inode (-): 输入/输出错误
ntfs_attr_find: Corrupt inode (-): 输入/输出错误
ntfs_mst_post_read_fixup_warn: magic: 0x00000000  size:    usa_ofs:   usa_count: : 无效的参数

.......(中间还有很多错误提示)

ntfs_mst_post_read_fixup_warn: magic: 0x00000000  size:    usa_ofs:   usa_count: : 无效的参数
ntfs_attr_find: Corrupt inode (-): 输入/输出错误
ntfs_attr_find: Corrupt inode (-): 输入/输出错误
ntfs_attr_find: Corrupt inode (-): 输入/输出错误
ntfs_attr_find: Corrupt inode (-): 输入/输出错误
ntfs_attr_find: Corrupt inode (-): 输入/输出错误
ntfs_attr_find: Corrupt inode (-): 输入/输出错误
       FN..   %  --   FeMilm76
    FN..   %  --   <none>

Files with potentially recoverable content: 

可以看出，待恢复的有两个文件，100%表示可以完整恢复！一下看到了希望！

请注意，第二个文件的名字是 <none>，这里稍后要给出一个名字。

现在，我们挂载其他NTFS分区（保证有足够的空间用于恢复被删文件），查看一下：

$ df -Th
文件系统       类型      容量  已用  可用 已用% 挂载点
/dev/sda9      ext4       35G   18G   15G   % /
udev           devtmpfs  .9G  .0K  .9G    % /dev
tmpfs          tmpfs     384M  924K  383M    % /run
none           tmpfs     5.0M       5.0M    % /run/lock
none           tmpfs     .9G  204K  .9G    % /run/shm
/dev/sda10     ext4       38G  .8G   30G   % /home
/dev/sda5      fuseblk    81G   49G   32G   % /media/000131C0000E41A3
/dev/sda1      fuseblk    50G   30G   21G   % /media/66A09271A0924787

在sda1中新建一个文件夹21g，用于存放文件FeMilm76

在sda5中新建一个文件夹32g，用于存放文件<none>

$ mkdir /media/66A09271A0924787/21g/

$ ls /media/66A09271A0924787/21g/ -la
总用量
drwx------  ovonel ovonel      Nov  : .
drwx------  ovonel ovonel  Nov  : ..

一切准备就绪，开始：

$ sudo ntfsundelete /dev/sda7 -u -i  -o FeMilm76 -d /media/66A09271A0924787/21g/
Inode    Flags  %age  Date            Size  Filename
---------------------------------------------------------------
       FN..     %  --   FeMilm76

Undeleted 'FeMilm76' successfully.

提示恢复成功！

看看第二个文件<none>:

$ sudo ntfsundelete /dev/sda7 -u -i  -o <none> -d /media/000131C0000E41A3/32g/
bash: none: 没有那个文件或目录

给出一个文件的名字，把none替换掉即可：

$ sudo ntfsundelete /dev/sda7 -u -i  -o PaiZi -d /media/000131C0000E41A3/32g/
Inode    Flags  %age  Date            Size  Filename
---------------------------------------------------------------
    FN..     %  --   <none>

Undeleted '(null)' successfully.

成功！

整个恢复时间不长，速度挺快的，祝你好运。

（完）

参考资料：

https://help.ubuntu.com/community/DataRecovery

https://help.ubuntu.com/community/DataRecovery/NtfsUndelete

http://forum.ubuntu.org.cn/viewtopic.php?f=122&t=158497(该法不完整，没有指定-o选项)