淺談Linux文件係統反刪除方法（一）
作為一個多用戶、多任務的操作係統，Linux下的文件一旦被刪除，是難以恢復的。盡管刪除命令只是在檔節點中作刪除標記，並不真正清除文件內容，但是其它用戶和一些有寫盤動作的進程會很快覆蓋這些資料。不過，對於家庭單機使用的Linux，或者誤刪檔後及時補救，還是可以恢復的。 中國1、Ext2文件係統結構的簡單介紹
在Linux所用的Ext2文件係統中，文件是以塊為單位存儲的，默認情況下每個塊的大小是1K，不同的塊以塊號區分。每個檔還有一個節點，節點中包含有檔所有者，讀寫權限，文件類型等信息。對於一個小於12個塊的檔，在節點中直接存儲檔數據塊的塊號。如果檔大於12個塊，那么節點在12個塊號之後存儲一個間接塊的塊號，在這個間接塊號所對應的塊中，存儲有256個檔數據塊的塊號（Ext2fs中每個塊號佔用4字節，這樣一個塊中所能存儲的塊號就是 1024/4=256）。如果有更大的檔，那么還會在節點中出現二級間接塊和三級間接塊。
2、恢復被誤刪檔的方法 [color=#f5fafe][/color]
大多數Linux發行版都提供一個debugfs工具，可以用來對Ext2文件係統進行編輯操作。不過在使用這個工具之前，還有一些工作要做。
首先以只讀方式重新挂載被誤刪的檔所在分區。使用如下命令：（假設文件在/usr分區）
mount?Cr?Cn?Coremount/usr
-r表示只讀方式挂載；-n表示不寫入/etc/mtab，如果是恢復/etc上的檔，就加上這個參數。如果係統說xxxpartionbusy，可以用fuser命令查看一下是哪些進程使用這個分區上的?n：
fuser?Cv?Cm/usr
如果沒有什么重要的進程，用以下命令停掉它們：
fuser-k?Cv?Cm/usr
然後就可以重新挂載這些文件係統了。
如果是把所有的檔統一安裝在一個大的/分區當中，可以在boot提示符下用linuxsingle進入單用戶模式，盡量減少係統進程向硬盤寫入資料的機會，要不幹脆把硬盤挂在別的機器上。另外，恢復出來的資料不要寫到/上面，避免破壞那些有用的資料。如果機器上有dos/windows，可以寫到這些分區上面：
mount?Cr?Cn/dev/hda1/mnt/had [color=#f5fafe][/color]
然後就可以執行debugfs：（假設Linux在/dev/hda5）
#debugfs/dev/hda5
就會出現debugfs提示符debugfs：
使用lsdel命令可以列出很多被刪除的文件的信息：
[table=95%][tr][td][color=#ff0000]以下為引用的內容：[/color]
debugfs：lsdel
debugfs:2692deletedinodesfound.
InodeOwnerModeSizeBlocksTimedeleted
164821010060081921/1SunMay1319:22:462001
36137010064441/1TueApr2410:11:152001
196829010064414950038/38MonMay2713:52:042001
debugfs:
[/td][/tr][/table]
頁:
[1]