在 Centos6/RHEL6 上恢复 ext4 文件系统下误删除的文件

雨点打透心脏的1/2处 2023-01-15 02:15 78阅读 0赞

[root@xuegod63 ~]# rm -Rf / #执行不成功的，
    rm: 在"/" 进行递归操作十分危险

rm: 使用 --no-preserve-root 选项跳过安全模式  
\[root@xuegod63 ~\]\# rm -rf /\* \#这个可以执行成功。 呵呵。。。  
ext4 文件系统上删除文件，可以恢复: extundelete ，ext3 恢复使用：ext3grep  
windows 恢复误删除的文件： final data v2.0 汉化版 和 easyrecovery

扩展：  
Linux 文件系统由三部分组成：文件名，inode，block  
windows 也由这三部分组成。  
a.txt -->inode --> block  
文件名 存放文件元数据信息 真正存放数据  
查看文件文件名：

# cp /etc/passwd a.txt
    # ls a.txt
    a.txt

查看 inode 号：  
常识： 每个文件，有一个 inode 号。

# ls -i a.txt
    440266 a.txt

查看 inode 中的文件属性; 通过 stat 命令查看 inode 中包含的内容

# stat a.txt #查看 inode 信息：
    # ls -l a.txt
    -rw-r--r-- 1 root root 1720 Oct 25 10:21 a.txt

block 块：真正存储数据的地方  
逻辑删除：  
为什举删除比复制快？  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwOTA3OTc3_size_16_color_FFFFFF_t_70]  
误删除文件后，第一件事要做什么？？？ 你不小心删除把存了几十年的大片删除了。  
避免误删除的文件内容被覆盖。 如何避免？  
卸载需要恢复文件的分区或以只读的方式挂载

# 实战：在 ext4 文件系统上恢复被误删除的文件 #

下载 extundelete  
http://sourceforge.net/ 开源软件发布中心

准备测试分区：

/]# fdisk /dev/sda #创建一个 sda4 分区
    WARNING: DOS-compatible mode is deprecated. It's strongly recommended to
    switch off the mode (command 'c') and change display units to
    sectors (command 'u').
    Command (m for help): p #查看现有分区表
    Disk /dev/sda: 21.5 GB, 21474836480 bytes
    255 heads, 63 sectors/track, 2610 cylinders
    Units = cylinders of 16065 * 512 = 8225280 bytes
    Sector size (logical/physical): 512 bytes / 512 bytes
    I/O size (minimum/optimal): 512 bytes / 512 bytes
    Disk identifier: 0x000b8b35
    Device Boot Start End Blocks Id System
    /dev/sda1 * 1 26 204800 83 Linux
    Partition 1 does not end on cylinder boundary.
    /dev/sda2 26 1301 10240000 83 Linux
    /dev/sda3 1301 1428 1024000 82 Linux swap / Solaris
    Command (m for help): n #创建一个新分区
    Command action
    e extended
    p primary partition (1-4)
    p #创建一个主分区
    Selected partition 4
    First cylinder (1428-2610, default 1428):
    Using default value 1428
    Last cylinder, +cylinders or +size{K,M,G} (1428-2610, default 2610): +1G #指定分区大小
    Command (m for help): w #保存
    The partition table has been altered!
    Calling ioctl() to re-read partition table.
    WARNING: Re-reading the partition table failed with error 16: Device or resource busy.
    The kernel still uses the old table. The new table will be used at
    the next reboot or after you run partprobe(8) or kpartx(8)
    Syncing disks.
    #reboot
    或
    # partx -a /dev/sda #获得新分区表

扩展：  
如果在根下删除文件了，想恢复，怎举办？  
方法 1： 立即断电，然后把磁盘以只读方式，挂载到另一个电脑中迚行恢复

方法 2：把 extundelete 在虚拟机上（虚拟机系统要和服务器版本一样），提前安装好后再复制到 U 盘中，把 U 盘插入  
服务器，恢复时，恢复的文件要保存到 U 盘中，（丌要让恢复的数据写到/下，那样会覆盖之前删除的文件）

使用新的分区表：

/]# mkdir /tmp/sda4 #创建挂载点
    # mkfs.ext4 /dev/sda4 #格式化
    # mount /dev/sda4 /tmp/sda4/ #挂载

**复制一些测试文件，然后把这些文件再删除，然后演示恢复：**

# cp /etc/passwd /tmp/sda4/
    # cp /etc/hosts /tmp/sda4/
    # echo aaa > a.txt
    # mkdir -p /tmp/sda4/a/b/c
    # cp a.txt /tmp/sda4/a/
    # cp a.txt /tmp/sda4/a/b/
    # touch /tmp/sda4/a/b/kong.txt

安装 tree 命令：

# rpm -ivh /mnt/Packages/tree-1.5.3-2.el6.x86_64.rpm
    # tree /tmp/sda4/
    /tmp/sda4/
    ├── a
    │ ├── a.txt
    │ └── b
    │ ├── a.txt
    │ ├── c #空目彔
    │ └── kong.txt #空文件
    ├── hosts
    ├── lost+found
    └── passwd

删除文件：

# cd /tmp/sda4/
     sda4]# ls
    a hosts lost+found passwd
    [sda4]# rm -rf a hosts passwd

误删除文件后，第一件事要做什举？？？  
如何避免误删除的文件内容被覆盖？？？  
卸载需要恢复文件的分区：戒以只读的方式挂载

#cd /root
    # umount /tmp/sda4

# 安装 extundelet #

上传 extundelete 到 linux 中：  
从 windows 上传 extundelete 文件到 linux，安装 xmanager v5 戒者ＣＲＴ

# rpm -ivh /mnt/Packages/lrzsz-0.12.20-27.1.el6.x86_64.rpm

安装后，就有了ｒｚ命令和ｓｚ命令  
ｒｚ ： 上传 windows 中的文件到 linux  
sz ：下载，将 linux 中的文件传到 windows  
**解压并安装 extundelet**

extundelete-0.2.4]# tar jxvf extundelete-0.2.4.tar.bz2
    # cd extundelete-0.2.4
    # yum install e2fsprogs-devel
    extundelete-0.2.4]# ./configure #检查系统安装环境
    extundelete-0.2.4]# make -j 4 #编译，把源代码编译成可执行的二进制文件。
    -j 4 使用 4 进程同时编译，提升编译速度 或 使用 4 核 CPU 同时编译。
    extundelete-0.2.4]# make install #安装

install 和 cp 有什么区别？  
install 复制时可以指定权限 cp 不可以  
例：

# install -m 777 /bin/find /opt/a.sh
    # ll /opt/

#  开始恢复：
    方法 1：通过 inode 结点恢复
    方法二：通过文件名恢复
    方法三：恢复某个目彔，如目彔 a 下的所有文件：
    方法四：恢复所有的文件

# umount /tmp/sda4/
    # mkdir test #创建一个目彔使用亍存放恢复的数据
    # cd test/

方法 1：  
通过 inode 结点查看被删除的文件名字：

test]# extundelete /dev/sda4 --inode 2
    . 2
    lost+found 11
    passwd 12 Deleted
    hosts 13 Deleted
    a 7313 Deleted

扩展：ext4 文件系统的分区根目彔的 inode 值为 2，xfs 分区根目彔的 inode 值为 64

test]# ls -id /boot/ #xfs 文件系统
    64 /boot/
     test]# mount /dev/sda4 /tmp/sda4/
    test]# ls -id /tmp/sda4/
    2 /tmp/sda4/
    test]# umount /tmp/sda4/

方法 1：通过 inode 结点恢复

test]# extundelete /dev/sda4 --restore-inode 12
    NOTICE: Extended attributes are not restored.
    Loading filesystem metadata ... 9 groups loaded.
    Loading journal descriptors ... 63 descriptors loaded.
    est]# ls
    RECOVERED_FILES
    test]# diff /etc/passwd RECOVERED_FILES/file.12 # 没有任何输出，说明一样

方法二，通过文件名恢复

test]# extundelete /dev/sda4 --restore-file passwd
    test]# diff /etc/passwd RECOVERED_FILES/passwd # 没有任何输出，说明一样

方法三：恢复某个目彔，如目彔 a 下的所有文件：

test]# extundelete /dev/sda4 --restore-directory a
    test]# tree RECOVERED_FILES/a/
    RECOVERED_FILES/a/
    ├── a.txt
    └── b
    └── a.txt

下面是原来的目彔结构：

# tree /root/sda4-back/a/
    /root/sda4-back/a/
    ├── a.txt
    └── b
    ├── a.txt
    ├── c
    └── kong.txt

方法四：恢复所有的文件

test]# extundelete /dev/sda4 --restore-all

删除前后的数据：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwOTA3OTc3_size_16_color_FFFFFF_t_70 1]  
extundelete 在恢复文件的时候能不能自动创建空文件和目彔？  
答：不能。

参考链接 ：

在 Centos6/RHEL6 上恢复 ext4 文件系统下误删除的文件

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwOTA3OTc3_size_16_color_FFFFFF_t_70]: /images/20221022/6e4f49d5c3654120ac1b6f742d94ab1e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwOTA3OTc3_size_16_color_FFFFFF_t_70 1]: /images/20221022/30838c73266f4487a73e563b7d2ae0c2.png