linux文件誤刪恢復debugfs和extundelete

1.前言

在使用linux系統操作時，如果使用rm等命令將文件誤刪，不要着急，不要在該目錄下創建新的文件，可使用本文介紹的兩種方法恢復已刪除文件。話不多說，可以使用debugfs和extundelete兩種方法恢復。

假設有一文件test.txt被誤刪，現在分別使用這兩種方法恢復文件。

2.利用debugfs 文件恢復

此方法在centos上可能不適用，建議使用第二種方法。
首先查看刪除文件所在分區，假設在/dev/sda1

df -Th

然後打開debugfs進入該分區，並查看所刪除的文件

debugfs /dev/sda1
ls -d /root/Desktop

記下刪除文件test.txt前面的索引號:<9200411>
查看該索引的詳細信息

logdump -i <9200411>

記錄下block = 36700424，offset = 3328
輸入q退出debugfs。
輸入恢復命令

dd if=/dev/sda5 of=/root/Desktop/test.txt bs=3328 count=1 skip=36700424

其中bs = offset，skip = block，如此文件已恢復。

3.extundelete文件恢復

和debugfs方法一樣，可以先查找刪除文件的分區，索引。
利用以下任一命令即可恢復

extundelete /dev/sda1 --restore-directory dirname #恢復/dev/sda1分區的dirname文件夾
extundelete /dev/sda1 --restore-files  filename #恢復/dev/sda1分區的filename文件，該文件存在
extundelete /dev/sda1 --restore-file  filename #恢復/dev/sda1分區的filename文件，該文件已刪除
extundelete /dev/sda1 --restore-inode  inode1,inode2 #恢復/dev/sda1分區的索引爲inode1和inode2的文件

恢復後的文件在當前目錄下的RECOVERED_FILES文件夾。
比如使用–restore-directory 恢復Desktop文件夾

進入到RECOVERED_FILES文件夾會發現text.txt已經恢復好了。

如果採用–restore-inode，恢復出的文件名爲file.inode