先介紹一些文件的基本概念, 文件實際上是一個指向inode的鏈接, inode鏈接包含了文件的所有屬性, 比如權限和所有者, 數(shù)據(jù)塊地址(文件存儲在磁盤的這些數(shù)據(jù)塊中). 當你刪除(rm)一個文件, 實際刪除了指向inode的鏈接, 并沒有刪除inode的內容. 進程可能還在使用. 只有當inode的所有鏈接完全移去, 然后這些數(shù)據(jù)塊將可以寫入新的數(shù)據(jù).

proc文件系統(tǒng)可以協(xié)助我們恢復數(shù)據(jù). 每一個系統(tǒng)上的進程在/proc都有一個目錄和自己的名字: 里面包含了一個fd(文件描述符)子目錄(進程需要打開文件的所有鏈接). 如果從文件系統(tǒng)中刪除一個文件, 此處還有一個inode的引用:

/proc/進程號/fd/文件描述符

接下來, 你需要知道打開文件的進程號(pid)和文件描述符(fd). 這些都可以通過lsof工具方便獲得, lsof的意思是”list open files, 列出(進程)打開的文件”. 然后你將可以從/proc拷貝出需要恢復的數(shù)據(jù).

下面介紹在Fedora Core 5系統(tǒng)上使用lsof恢復誤刪的文件:

環(huán)境

主機: 使用微睦獨立主機, 一臺基于vmware的虛擬獨立主機.

系統(tǒng): Fedora Core 5

內核: 2.6.16-1.2122_FC5

lsof版本:

[zhaoke@fedora5 ~]$ /usr/sbin/lsof -v

lsof version information:

revision: 4.77

預備工作:

如果你的系統(tǒng)沒有安裝lsof, 可以從作者網(wǎng)站或pbone獲得.

作者網(wǎng)站: ftp://lsof.itap.purdue.edu/pub/tools/unix/lsof/

Pbone: http://rpm.pbone.net/

恢復過程:

首先, 我們需要創(chuàng)建一個文本文件, 刪除然后恢復:

[zhaoke@fedora5 ~]$ man lsof | col -b > myfile

然后看一下文件內容:

[zhaoke@fedora5 ~]$ less myfile