在linux下使用debugfs恢复rm删除的文件

原理主要是删除的文件并没有实际上从硬盘上摸去，只是inode索引删除了相关的信息，因此只要找到刚删除文件的block上，就可以恢复已经删除的文件。

以下方法在ext3的文件系统上测试通过，ext2的没有测试过。假设删除的文件在dir下面，位于/dev/sda5上。

主要借助debugfs

1 运行debugfs，进入调度模式

2 执行open /dev/sda5

3 执行ls -d dir 会列出此目录最近的操作，其中可以看到<num>的日志删除记录

4 执行logdump -i <num> 显示此日志内容

5 在输出中寻找删除文件对应的block，记录下来blockid

6退出debugfs，运行dd if=/dev/sda5 of=/tmp/saved bs=1024 count=1 skip=blockid

此时就把删除的文件恢复了，不过这个方法有个问题，如果删除的是大文件，则占用多个block，操作起来比较麻烦。

debugfs在调试模式下，命令行比较难用，不过其支持-R选项，可以在SHELL里执行，就是用多个-R把要执行的命令连接起来，若命令中需要指定参数则需要加""，否则SHELL解析会有问题。

比较好用的工具有testdisk，之前用过他来恢复和备份系统的分区表，没有恢复过文件。以后出问题也可以试试。

http://www.cgsecurity.org/wiki/TestDisk_Download

在linux下使用debugfs恢复rm删除的文件相关推荐

恢复rm删除的文件(ext3
恢复rm删除的文件(ext3 wget http://ext3grep.googlecode.com/files/ext3grep-0.10.2.tar.gz tar zxf ext3grep-0.1 ...
linux复rm删除文件,LINUX 恢复rm删除的文件
在本文中,我们将讨论foremost,这是一个非常有用的Linux开源取证工具,能够使用称为"data carving"的技术恢复已删除的文件.该程序最初由美国空军特殊调查局开发, ...
linux disk 清除数据,如何在Linux中使用TestDisk恢复已删除的文件
我们都知道寻找文件而不是找到文件的感觉,即使是在垃圾桶里也是如此. 由于TestDisk ,文件和数据丢失带来的创伤应该结束 - 这是一个免费的开源软件,最初设计用于恢复内存分区并使不可引导的磁盘再次 ...
Linux下使用rsync最快速删除海量文件的方法
遇到了要在Linux下删除海量文件的情况,需要删除数十万个文件.这个是之前的程序写的日志,增长很快,而且没什么用.这个时候,我们常用的删除命令rm -fr * 就不好用了,因为要等待的时间太长.所以必 ...
linux rsync删文件速度,Linux下使用rsync最快速删除大量文件的方法
要在Linux下删除海量文件的情况,需要删除三层哈希目录下的几十万个文件.这个时候,删除命令rm -rf * 就不好用了,因为要等待的时间太长.所以必须要采取一些非常手段.我们可以使用rsync来实现 ...
LINUX 下通过lsof恢复被误删除的文件
当Linux计算机受到入侵时,常见的情况是日志文件被删除,以掩盖攻击者的踪迹.管理错误也可能导致意外删除重要的文件,比如在清理旧日志时,意外地删除了数据库的活动事务日志.有时可以通过lsof来恢复这些 ...
Linux下使用rsync最快速删除海量文件的方法分享
点评:昨天遇到了要在Linux下删除海量文件的情况,需要删除数十万个文件.这个是之前的程序写的日志,增长很快,而且没什么用这个时候,我们常用的删除命令rm -fr * 就不好用了,因为要等待的时间太 ...
Linux 系统中成功恢复已删除的文件
点击上方"朱小厮的博客",选择"设为星标" 后台回复"书",获取后台回复"k8s",可领取k8s资料当用户意外地删除 ...
Linux下使用rsync最快速删除大量文件的方法
要在Linux下删除海量文件的情况,需要删除三层哈希目录下的几十万个文件.这个时候,删除命令rm -rf * 就不好用了,因为要等待的时间太长.所以必须要采取一些非常手段.我们可以使用rsync来实现 ...

在linux下使用debugfs恢复rm删除的文件

在linux下使用debugfs恢复rm删除的文件相关推荐

最新文章

热门文章