40、Linux文件误删除恢复操作

rm -rf / #此方法删除不了/目录；

rm -rf /* #此方法可以删除/目录下的所有内容，禁止使用；

40.1、前言：

作为一个多用户、多任务的操作系统，Linux下的文件一旦被删除，是难以恢复的。尽管删除命令只是在文件节点中作删除标记，

并不真正清除文件内容，但是其他用户和一些有写盘动作的进程会很快覆盖这些数据。不过，对于家庭单机使用的Linux，或者误删

文件后及时补救，还是可以恢复的。

40.2、文件误删除情况一：

当前系统有多用户，其中一个用户对文件进行修改，另一个用户对文件进行删除操作，此时该文件

的进程id还是存在的通过以下命令进行恢复；

1、窗口一：

[root@nfs01 ~]# cd /tmp

[root@nfs01 tmp]# echo 'test' >test.txt

[root@nfs01 tmp]# cat test.txt

test

[root@nfs01 tmp]# cat >>test.txt

1

2

3

2、窗口二：

[root@nfs01 ~]# rm -vf /tmp/test.txt

已删除"/tmp/test.txt"

[root@nfs01 ~]# ls /tmp

[root@nfs01 ~]#

[root@nfs01 ~]# lsof | grep -i "delete"

cat 4715 root 1w REG 8,2 7 131075 /tmp/test.txt (deleted)

正在使用的命令 pid进程号 root用户 打开的文件句柄 /tmp/test.txt文件是delete状态

[root@nfs01 ~]# ls /proc/4715/fd

0 1 2

[root@nfs01 ~]# cp -v /proc/4715/fd/1 /tmp/test.txt

"/proc/4715/fd/1" -> "/tmp/test.txt"

[root@nfs01 ~]# ls /tmp

test.txt

[root@nfs01 ~]# cat /tmp/test.txt

test

1

2

3

3、对于一个正在使用的vim编辑的文件的用户，文件被其他用户删除后，编辑的用户保存文件后，文件依旧存在；

40.3、文件误删除情况二：

1、当前系统只有一个用户在登录，对文件进行了误删除操作（如果有多个用户进入单用户模式）；

2、当前的测试环境：

（1）使用fdfisk /dev/sdb命令创建一个/dev/sdb1主分区并挂载到 /test/目录下；

[root@nfs01 ~]# df -hT

Filesystem Type Size Used Avail Use% Mounted on

/dev/sda2 ext4 57G 5.4G 49G 10% /

tmpfs tmpfs 297M 0 297M 0% /dev/shm

/dev/sda1 ext4 190M 36M 145M 20% /boot

/dev/sdb1 ext4 2.0G 3.0M 1.9G 1% /test

（2）生成测试文件和目录：

[root@nfs01 ~]# cd /test/

[root@nfs01 test]# echo 'lc_2018/9/14' >lc_test.txt

[root@nfs01 test]# mkdir test

[root@nfs01 test]# echo 'mkdir test' >test/dir.txt

[root@nfs01 test]# tree

.

├── lc_test.txt

├── lost+found

└── test

└── dir.txt

2 directories, 2 files

（3）删除/test/目录中的内容：

[root@nfs01 test]# rm -rvf test/ lc_test.txt

已删除"test/dir.txt"

已删除目录："test"

已删除"lc_test.txt"

[root@nfs01 test]# ls

lost+found

3、注意事项及解决思路：

（1）停止对当前分区进行任何操作，防止inode值被覆盖；

（2）通过dd命令对当前分区进行备份，防止通过第三方软件恢复失败，造成数据丢失；

[root@nfs01 test]# dd if=/dev/sdb1 of=/tmp/sdb1_test.bak

记录了4194303+0 的读入

记录了4194303+0 的写出

2147483136字节(2.1 GB)已复制，71.7973 秒，29.9 MB/秒

（3）对当前的分区进行卸载；

[root@nfs01 ~]# umount /dev/sdb1

[root@nfs01 ~]# df -h

Filesystem Size Used Avail Use% Mounted on

/dev/sda2 57G 7.4G 47G 14% /

tmpfs 297M 0 297M 0% /dev/shm

/dev/sda1 190M 36M 145M 20% /boot

（4）下载并安装第三方开源工具；

下载地址：http://zy-res.oss-cn-hangzhou.aliyuncs.com/server/extundelete-0.2.4.tar.bz2

[root@nfs01 tools]# rz -y

rz waiting to receive.

Starting zmodem transfer. Press Ctrl+C to cancel.

Transferring extundelete-0.2.4.tar.bz2...

100% 105 KB 105 KB/sec 00:00:01 0 Errors

[root@nfs01 tools]# tar -xjf extundelete-0.2.4.tar.bz2

[root@nfs01 tools]# cd extundelete-0.2.4

[root@nfs01 extundelete-0.2.4]# ./configure --prefix=/application/extundelete0.2.4

Configuring extundelete 0.2.4

configure: error: Can't find ext2fs library

[root@nfs01 extundelete-0.2.4]# yum install e2fsprogs-devel e2fsprogs -y

[root@nfs01 extundelete-0.2.4]# rpm -qa e2fsprogs-devel e2fsprogs

e2fsprogs-1.41.12-24.el6.x86_64

e2fsprogs-devel-1.41.12-24.el6.x86_64

[root@nfs01 extundelete-0.2.4]# ./configure --prefix=/application/extundelete0.2.4 #参数配置；

Configuring extundelete 0.2.4

Writing generated files to disk

[root@nfs01 extundelete-0.2.4]# make #编译；

make -s all-recursive

Making all in src

extundelete.cc:571: 警告：未使用的参数‘flags’ #忽略此错误

[root@nfs01 extundelete-0.2.4]# echo $?

0

[root@nfs01 extundelete-0.2.4]# make install #安装；

Making install in src

/usr/bin/install -c extundelete '/application/extundelete0.2.4/bin'

（5）数据恢复

[root@nfs01 extundelete-0.2.4]# cd /application/extundelete0.2.4/bin/

1）查询/dev/sdb1分区可恢复的数据信息，标记为deleted状态的是已经删除的文件或目录；

[root@nfs01 bin]# ./extundelete /dev/sdb1 --inode 2

........................................................................

File name | Inode number | Deleted status

. 2

.. 2

lost+found 11

lc_test.txt 12 Deleted

test 8193 Deleted

文件名 inode值 文件的状态

2）恢复单个文件：

[root@nfs01 bin]# ./extundelete /dev/sdb1 --restore-file lc_test.txt

NOTICE: Extended attributes are not restored.

Loading filesystem metadata ... 16 groups loaded.

Loading journal descriptors ... 47 descriptors loaded.

Successfully restored file lc_test.txt

#恢复的文件在当前目录下的“RECOVERED_FILES”目录中；

[root@nfs01 bin]# ls RECOVERED_FILES/

lc_test.txt

3）恢复单个目录：

[root@nfs01 bin]# ./extundelete /dev/sdb1 --restore-directory test

NOTICE: Extended attributes are not restored.

Loading filesystem metadata ... 16 groups loaded.

Loading journal descriptors ... 47 descriptors loaded.

Searching for recoverable inodes in directory test ...

3 recoverable inodes found.

Looking through the directory structure for deleted files ...

2 recoverable inodes still lost.

[root@nfs01 bin]# ls RECOVERED_FILES/

lc_test.txt test

[root@nfs01 bin]# ls RECOVERED_FILES/test/

dir.txt

4）恢复所有的文件和目录：

[root@nfs01 bin]# ./extundelete /dev/sdb1 --restore-all

NOTICE: Extended attributes are not restored.

Loading filesystem metadata ... 16 groups loaded.

Loading journal descriptors ... 47 descriptors loaded.

Searching for recoverable inodes in directory / ...

3 recoverable inodes found.

Looking through the directory structure for deleted files ...

0 recoverable inodes still lost.

如果重复恢复的话，不会覆盖之前恢复目录中的文件，会生成filename_v1....的形式进行

（6）挂载磁盘并拷贝数据：

[root@nfs01 bin]# mount /dev/sdb1 /test

[root@nfs01 bin]# mount

/dev/sdb1 on /test type ext4 (rw)

[root@nfs01 bin]# cp -av RECOVERED_FILES/* /test/

"RECOVERED_FILES/lc_test.txt" -> "/test/lc_test.txt"

"RECOVERED_FILES/test" -> "/test/test"

"RECOVERED_FILES/test/dir.txt" -> "/test/test/dir.txt"

[root@nfs01 bin]# ls /test

lc_test.txt lost+found test

40.4、内容补充：

1、lost+found：

几乎每个被格式化过的Linux分区都会有，意外后(非正常关机等)找回的文件一般在这里面。这个目录

是储存发生意外后丢失的文件的，只有root用户才能打开。如果删除了该文件夹，生成的命令是mklost+found；

2、fsck分区修复：

修复分区之前需要卸载分区；

（1）如果Linux分区有损坏情况，启动有问题，不能正常进入文本或图形界面。那么一般会出现提示，需要输入Root密码登录后采用

fsck -t ext4 /usr/local可以修复；

（3）fsck -t ext4 /dev/sdb 修复系统分区无法挂载的情况；

报错：mount: wrong fs type, bad option, bad superblock on /dev/mapper/oraclevg-oraclelv,

missing codepage or helper program, or other error

In some cases useful info is found in syslog - try

dmesg | tail or so

（3）fsck命令详解：

-t : 给定档案系统的型式，若在 /etc/fstab 中已有定义或 kernel 本身已支援的则不需加上此参数

-s : 依序一个一个地执行 fsck 的指令来检查

-A : 对/etc/fstab 中所有列出来的 partition 做检查

-C : 显示完整的检查进度

-d : 列印 e2fsck 的 debug 结果

-p : 同时有 -A 条件时，同时有多个 fsck 的检查一起执行

-R : 同时有 -A 条件时，省略 / 不检查

-V : 详细显示模式