首頁 > 資訊 > 問答 > debugfs，linux文件夾誤刪怎么恢復(fù)

debugfs，linux文件夾誤刪怎么恢復(fù)

來源：整理時間：2023-09-01 15:14:03 編輯：智能門戶手機版

本文目錄一覽

1，linux文件夾誤刪怎么恢復(fù)
2，怎么恢復(fù)被linux刪除的文件
3，linux怎樣把刪除的文件恢復(fù)
4，linux 查看文件被什么程序刪除了

1，linux文件夾誤刪怎么恢復(fù)

linux下可以通過debugfs來恢復(fù)rm誤刪除的文件，原理主要是刪除的文件并沒有實際上從硬盤上摸去，只是inode索引刪除了相關(guān)的信息，因此只要找到剛刪除文件的block上，就可以恢復(fù)已經(jīng)刪除的文件?！　∫韵路椒ㄔ趀xt3的文件系統(tǒng)上測試通過，ext2和ext4的沒有測試過。假設(shè)刪除的文件在dir下面，位于/dev/sda5上?！　≈饕柚鷇ebugfs　　1 運行debugfs，進入調(diào)度模式　　2 執(zhí)行open /dev/sda5　　3 執(zhí)行l(wèi)s -d dir 會列出此目錄最近的操作，其中可以看到<num>的日志刪除記錄　　4 執(zhí)行l(wèi)ogdump -i <num> 顯示此日志內(nèi)容　　5 在輸出中尋找刪除文件對應(yīng)的block，記錄下來blockid　　6退出debugfs，運行dd if=/dev/sda5 of=/tmp/saved bs=1024 count=1 skip=blockid　　此時就把刪除的文件恢復(fù)了，不過這個方法有個問題，如果刪除的是大文件，則占用多個block，操作起來比較麻煩?！　ebugfs在調(diào)試模式下，命令行比較難用，不過其支持-R選項，可以在SHELL里執(zhí)行，就是用多個-R把要執(zhí)行的命令連接起來，若命令中需要指定參數(shù)則需要加""，否則SHELL解析會有問題。　　比較好用的工具有testdisk，之前用過他來恢復(fù)和備份系統(tǒng)的分區(qū)表，沒有恢復(fù)過文件。

linux文件夾誤刪怎么恢復(fù)

2，怎么恢復(fù)被linux刪除的文件

首先停止對那個分區(qū)的一切寫入操作，包括系統(tǒng)自動寫入，再談其他。電腦城有專門的數(shù)據(jù)恢復(fù)服務(wù)，不過NTFS上被刪除的文件是相當(dāng)難恢復(fù)的，能否恢復(fù)很大程度上看運氣。

linux ext2文件系統(tǒng)下恢復(fù)誤刪的文件一、文件誤刪如上圖可得到（1）/dev/sdb2掛載到/recover目錄，且/dev/sdb2使用的是ext3 filesystem（2）/dev/sdb1掛載到/software目錄，且/dev/sdb1使用的是ext2 filesystem如上圖可得到：/software目錄中有一個文件grub.conf如上圖可得到：/software目錄中的文件grub.conf被刪除二、找回文件由于目錄/software中的grub.conf文件已被刪除，那么應(yīng)該怎么找回該文件呢？由于/dev/sdb1分區(qū)使用的是ext2 filesystem，所以我們可以使用工具：debugfs，來找回文件注意：debugfs是linux系統(tǒng)自帶的一個文件恢復(fù)工具，它可以恢復(fù)ext2文件系統(tǒng)的文件，但不能恢復(fù)ext3文件系統(tǒng)的文件第一步：將要找回的文件所在的分區(qū)重新掛載成只讀（因為這樣比較安全，可以防止因新的文件寫入該分區(qū)而導(dǎo)致無法找回grub.conf文件）[root@client ~]# mount -n -o remount,ro /dev/sdb1注意：如果不能重新掛載，那么一定有用戶正在使用該分區(qū)中的文件，我們可以使用指令：fuser -m -v /dev/sdb1來查看當(dāng)前哪個用戶正在使用該分區(qū)中的文件，然后使用fuser -k -m -v /dev/sdb1來殺死用戶使用該分區(qū)的任何進程第二步：使用debugfs工具恢復(fù)文件注意兩點（1）lsdel列出已被刪除的文件的節(jié)點信息；stat顯示某個節(jié)點所對應(yīng)的文件信息；dump表示恢復(fù)作用（2）如果被刪除的文件很多，那么通過lsdel可看出文件的時間，然后自己判斷進行恢復(fù)

貌似恢復(fù)不了了

怎么恢復(fù)被linux刪除的文件

3，linux怎樣把刪除的文件恢復(fù)

原理主要是刪除的文件并沒有實際上從硬盤上抹去，只是inode索引刪除了相關(guān)的信息，因此只要找到剛刪除文件的block上，就可以恢復(fù)已經(jīng)刪除的文件。以下方法在ext3的文件系統(tǒng)上測試通過，ext2的沒有測試過。假設(shè)刪除的文件在dir下面，位于/dev/sda5上。主要借助debugfs 1 運行debugfs，進入調(diào)度模式 2 執(zhí)行open /dev/sda53 執(zhí)行l(wèi)s -d dir 會列出此目錄最近的操作，其中可以看到的日志刪除記錄 4 執(zhí)行l(wèi)ogdump -i 顯示此日志內(nèi)容 5 在輸出中尋找刪除文件對應(yīng)的block，記錄下來blockid 6退出debugfs，運行dd if=/dev/sda5 of=/tmp/saved bs=1024 count=1 skip=blockid

linux的文件被rm刪除是可以通過linux自帶的文件恢復(fù)工具debugfs來進行恢復(fù),但是只能恢復(fù)ext2文件系統(tǒng)的文件，不能恢復(fù)ext3文件系統(tǒng)的文件。1，首先查看需要恢復(fù)的文件所在的文件系統(tǒng)命令行模式下輸入指令mount1234[xuwangcheng14@root]# mount/dev/xvda1 on / type ext2 (rw,errors=remount-ro)proc on /proc type proc (rw,noexec,nosuid,nodev)sysfs on /sys type sysfs (rw,noexec,nosuid,nodev)由上知，/dev/xvda1掛載在/下，即根目錄，且文件系統(tǒng)是ext22，將要找回的文件所在的分區(qū)重新掛載成只讀（因為這樣比較安全，可以防止因新的文件寫入該分區(qū)而導(dǎo)致無法找回文件）1[xuwangcheng14@root]# mount -n -o remount,ro /dev/xvda1如果不能重新掛載，那么一定有用戶正在使用該分區(qū)中的文件，我們可以使用指令：fuser -m -v /dev/xvda1來查看當(dāng)前哪個用戶正在使用該分區(qū)中的文件，然后使用fuser -k -m -v /dev/xvda1來殺死用戶使用該分區(qū)的任何進程。3，使用debugfs工具恢復(fù)文件

linux怎樣把刪除的文件恢復(fù)

4，linux 查看文件被什么程序刪除了

如果只是想要查看最近用戶使用刪除命令刪除的文件，其實可以使用history命令，該命令可以顯示最近一段時間內(nèi)執(zhí)行過的操作命令，然后利用grep篩選出來:history|grep rm如果是程序或者進程后臺進行刪除的文件，或者系統(tǒng)內(nèi)部刪除的文件，也就無法通過上面的方法查找到最近刪除的文件了，但是如果刪除的文件是在linux系統(tǒng)的ext2文件系統(tǒng)下的話，也可以使用debugfs命令來查看刪除的文件：1，首先查看需要恢復(fù)的文件所在的文件系統(tǒng)命令行模式下輸入指令mount[xuwangcheng14@root]# mount/dev/xvda1 on / type ext2 (rw,errors=remount-ro)proc on /proc type proc (rw,noexec,nosuid,nodev)sysfs on /sys type sysfs (rw,noexec,nosuid,nodev)由上知，/dev/xvda1掛載在/下，即根目錄，且文件系統(tǒng)是ext22，將被刪除的文件所在的分區(qū)重新掛載成只讀[xuwangcheng14@root]# mount -n -o remount,ro /dev/xvda13，使用debugfs工具查找刪除的文件和恢復(fù)文件[xuwangcheng14@root]# debugfs /dev/xvda1debugfs 1.42 (29-Nov-2011)debugfs: lsdel進入debugfs模式后輸入lsdel后可以看到被刪除的文件信息stat顯示某個節(jié)點所對應(yīng)的文件信息，恢復(fù)文件使用dump 文件路徑。

如果只是想要查看最近用戶使用刪除命令刪除的文件，其實可以使用history命令，該命令可以顯示最近一段時間內(nèi)執(zhí)行過的操作命令，然后利用grep篩選出來:history|grep rm如果是程序或者進程后臺進行刪除的文件，或者系統(tǒng)內(nèi)部刪除的文件，也就無法通過上面的方法查找到最近刪除的文件了，但是如果刪除的文件是在linux系統(tǒng)的ext2文件系統(tǒng)下的話，也可以使用debugfs命令來查看刪除的文件：1，首先查看需要恢復(fù)的文件所在的文件系統(tǒng)命令行模式下輸入指令mount [xuwangcheng14@root]# mount/dev/xvda1 on / type ext2 (rw,errors=remount-ro)proc on /proc type proc (rw,noexec,nosuid,nodev)sysfs on /sys type sysfs (rw,noexec,nosuid,nodev) 由上知，/dev/xvda1掛載在/下，即根目錄，且文件系統(tǒng)是ext22，將被刪除的文件所在的分區(qū)重新掛載成只讀[xuwangcheng14@root]# mount -n -o remount,ro /dev/xvda13，使用debugfs工具查找刪除的文件和恢復(fù)文件[xuwangcheng14@root]# debugfs /dev/xvda1debugfs 1.42 (29-nov-2011)debugfs: lsdel 進入debugfs模式后輸入lsdel后可以看到被刪除的文件信息stat顯示某個節(jié)點所對應(yīng)的文件信息，恢復(fù)文件使用dump 文件路徑。