如何恢復刪除的文件

發(fā)布時間：2023-11-17 10:57:17 瀏覽量：327

作為一個多用戶、多任務(wù)的操作系統(tǒng)，Linux下的文件一旦被刪除，是難以恢復的。盡管刪除命令只是在文件節(jié)點中作刪除標記，并不真正清除文件內(nèi)容，但是其他用戶和一些有寫盤動作的進程會很快覆蓋這些數(shù)據(jù)。所以，只能找專業(yè)的恢復公司來恢復了

如果磁盤上的數(shù)據(jù)沒有被覆蓋，如：個人學習用機，則可通過debugfs命令找到原文件所在磁盤塊，采用dd命令讀取相應(yīng)的磁盤數(shù)據(jù)達到恢復文件的目的：

• 先確認所刪除文件所在物理磁盤：df -v 輸出結(jié)果中”Mounted on“列出的文件系統(tǒng)中找到自己的文件系統(tǒng)，查看”Filesystem “列對應(yīng)的磁盤卷，假設(shè)為/dev/sda1

• 運行debugfs

• open /dev/sda1

• ls -d 被刪除文件名全路徑

• #顯示有<>尖括號的就是我們要找的文件Inode號， 執(zhí)行

• logdump –I

• #在輸出中找到 Blocks: (0+1): YYYY

• quit

• 運行dd命令：

• dd if=/dev/sda1 of=/tmp/del.txt.rev bs=4096 count=1 skip=YYYY