在linux下使用debugfs恢复rm删除的文件

最新推荐文章于 2025-02-12 13:14:23 发布

weixin_34352005

最新推荐文章于 2025-02-12 13:14:23 发布

阅读量362

点赞数

CC 4.0 BY-SA版权

文章标签：操作系统 shell

原文链接：http://blog.51cto.com/13740508/2122407

本文介绍如何在Linux环境下使用debugfs工具恢复被rm命令删除的文件，特别是ext3文件系统上的操作流程。文章详细说明了通过debugfs进入调度模式、查看删除日志、定位删除文件的block ID并最终利用dd命令进行文件恢复的过程。

在linux下使用debugfs恢复rm删除的文件
以下方法在ext3的文件系统上测试通过，以下是通过root来实现的
主要借助debugfs

fdisk /dev/vda
mkdir /mnt/test
mount /dev/vda3 /mnt/test
1 运行debugfs，进入调度模式
[root@host51 test]# debugfs -w /dev/vda3
/////////////////////////[root@host51 test]#sudo debugfs -w /dev/vda3

2 执行open /dev/vda3
3 执行ls -d会列出此目录最近的操作，其中可以看到<num>的日志删除记录
在linux下使用debugfs恢复rm删除的文件

4 执行logdump -i <num> 显示此日志内容
debugfs: logdump -i <13>

    5 在输出中寻找删除文件对应的block，记录下来blockid
在linux下使用debugfs恢复rm删除的文件
    6退出debugfs，运行[root@host51 test]#dd if=/dev/vda3 of=/tmp/saved bs=1027 count=138476 skip=47
    此时就把删除的文件恢复了，不过这个方法有个问题，如果删除的是大文件，则占用多个block，操作起来比较麻烦。
   debugfs在调试模式下，命令行比较难用，不过其支持-R选项，可以在SHELL里执行，就是用多个-R把要执行的命令连接起来，若命令中需要指定参数则需要加""，否则SHELL解析会有问题。