Linux檔案系統反删除方法

　　放在 lost+found 裡面。這個目錄裡的檔案就是要的 順序會說找到丢失的資料塊。

　　Linux 下的檔案一旦被删除，作為一個多使用者、多任務的操作74LCX14M系統。難以恢複的盡管删除指令隻是檔節點中作删除标記，并不真正清除檔案内容，但是其它使用者和一些有寫盤動作的程序會很快覆寫這些資料。不過，對于家庭單機使用的 Linux 或者誤删檔後及時補救，還是可以恢複的

　　1 Ext2 檔案系統結構的簡單介紹

　　檔案是以塊為機關存儲的預設情況下每個塊的大小是 1K 不同的塊以塊号區分。每個檔74ACT14MTR還有一個節點， Linux 所用的 Ext2 檔案系統中。節點中包含有檔所有者，讀寫權限，檔案類型等資訊。對于一個小于 12 個塊的檔，節點中直接存儲檔資料塊的塊号。如果檔大于 12 個塊，那麼節點在 12 個塊号之後存儲一個間接塊的塊号，這個間接塊号所對應的塊中，存儲有 256 個檔資料塊的塊号（ Ext2f 中每個塊号占用 4 位元組，這樣一個塊中所能存儲的塊号就是 1024/4=256 如果有更大的檔，那麼還會在節點中出現二級間接塊和三級間接塊。

　　2 恢複被誤删檔的方法

　　可以用來對 Ext2 檔案系統進行編輯操作。不過在使用這個工具之前，大多數 Linux 發行版都提供一個 debugf 工具。還有一些工作要做。

　　首先以隻讀方式重新挂載被誤删的檔所在分區。使用如下指令：假設檔案在 /usr 分區）

　　mount ?Cr ?Cn ?Co remount /usr74ACT14MTCX

　　就加上這個參數。如果系統說 xxx partion busi 可以用 fuser 指令檢查一下是哪些程序使用這個分區上的 ?n -r 表示隻讀方式挂載； -n 表示不寫入 /etc/mtab 如果是恢複 /etc 上的檔。

　　fuser ?Cv ?Cm /usr

　　用以下指令停掉它 如果沒有什麼重要的程序。

　　fuser -k ?Cv ?Cm /usr

　　然後就可以重新挂載這些檔案系統了

　　可以在 boot 提示符下用 linux singl 進入單使用者模式，如果是把所有的檔統一安裝在一個大的 / 分區當中。盡量減少系統程序向硬碟寫入資料的機會，要不幹脆把硬碟挂在别的機器上。另外，恢複進去的資料不要寫到 / 上面，防止破壞那些有用的資料。如果機器上有 dos/window 可以寫到這些分區上面：

　　mount ?Cr ?Cn /dev/hda174ACT14MTC /mnt/had

　　然後就可以執行 debugf 假設 Linux /dev/hda5

　　#debugf /dev/hda5

　　就會出現 debugf 提示符 debugf

　　使用 lsdel 指令可以列出很多被删除的檔案的資訊：

　　debugf lsdel

　　debugfs: 2692 delet inod found.

　　Inode Owner Mode Size Block Time deleted

　　164821 0 100600 8192 1/ 1 Sun Mai 13 19:22:46 2001

　　36137 0 100* 4 1/ 1 Tue Apr 24 10:11:15 2001

　　196829 0 100* 149500 38/ 38 Mon Mai 27 13:52:04 2001

　　debugfs:

　　第二字段是檔所有者，列出的檔有很多（這裡找到 2692 個）第一字段是檔節點号。第三字段是讀寫權限，接下來是檔大小，占用塊數，删除時間。然後就可以根據檔大小和删除日期判斷那些是需要的比方我要恢複節點是 196829 檔案：

　　可以先看看檔案資料狀态：

　　debugf stat 1N6263W-7-F<196829>

　　Inode: 196829 Type: regular Mode: 0* Flags: 0x0 Version: 1

　　User: 0 Group: 0 Size: 149500

　　File ACL: 0 Directori ACL: 0

　　Links: 0 Blockcount: 38

　　Fragment: Address: 0 Number: 0 Size: 0

　　ctime: 0x31a9a574 -- Mon Mai 27 13:52:04 2001

　　atime: 0x31a21dd1 -- Tue Mai 21 20:47:29 2001

　　mtime: 0x313bf4d7 -- Tue Mar 5 08:01:27 2001

　　dtime: 0x31a9a574 -- Mon Mai 27 13:52:04 2001

　　BLOCKS:

　　594810 594811 594814 594815 594816 594817

　　.

　　TOTA L: 38

　　然後就可以用 dump 指令恢複檔案：

　　debugf dump <196829> /mnt/hda/01.sav

　　這樣就把檔恢複出來了退出 debugf

　　debugf quit

　　另一種方法是手工編輯 inod

　　debugf mi <196829>

　　Mode [0100*]

　　User ID [0]

　　Group ID [0]

　　Size [149500]

　　Creation time [0x31a9a574]

　　Modif time [0x31a9a574]

　　Access time [0x31a21dd1]

　　Delet time [0x31a9a574] 0

　　Link count [0] 1

　　Block count [38]

　　File flag [0x0]

　　Reserved1 [0]

　　File acl [0]

　　Directori acl [0]

　　Fragment address [0]

　　Fragment number [0]

　　Fragment size [0]

　　Direct Block #0 [594810]

　　.

　　Tripl Indirect Block [0]

　　其它行可以直接按回車表示确認，使用 mi 指令後每次顯示一行資訊以供編輯。把 delet time 改成 0 未删除） Link count 改成 1 改好後退出 debugf

　　debugf quit

　　然後用 fsck 檢查 /dev/hda5

　　fsck /dev/hda5