Linux文件系统反删除方法

　　放在 lost+found 里面。这个目录里的文件就是要的 顺序会说找到丢失的数据块。

　　Linux 下的文件一旦被删除，作为一个多用户、多任务的操作74LCX14M系统。难以恢复的尽管删除命令只是档节点中作删除标记，并不真正清除文件内容，但是其它用户和一些有写盘动作的进程会很快覆盖这些资料。不过，对于家庭单机使用的 Linux 或者误删档后及时补救，还是可以恢复的

　　1 Ext2 文件系统结构的简单介绍

　　文件是以块为单位存储的默认情况下每个块的大小是 1K 不同的块以块号区分。每个档74ACT14MTR还有一个节点， Linux 所用的 Ext2 文件系统中。节点中包含有档所有者，读写权限，文件类型等信息。对于一个小于 12 个块的档，节点中直接存储档数据块的块号。如果档大于 12 个块，那么节点在 12 个块号之后存储一个间接块的块号，这个间接块号所对应的块中，存储有 256 个档数据块的块号（ Ext2f 中每个块号占用 4 字节，这样一个块中所能存储的块号就是 1024/4=256 如果有更大的档，那么还会在节点中出现二级间接块和三级间接块。

　　2 恢复被误删档的方法

　　可以用来对 Ext2 文件系统进行编辑操作。不过在使用这个工具之前，大多数 Linux 发行版都提供一个 debugf 工具。还有一些工作要做。

　　首先以只读方式重新挂载被误删的档所在分区。使用如下命令：假设文件在 /usr 分区）

　　mount ?Cr ?Cn ?Co remount /usr74ACT14MTCX

　　就加上这个参数。如果系统说 xxx partion busi 可以用 fuser 命令检查一下是哪些进程使用这个分区上的 ?n -r 表示只读方式挂载； -n 表示不写入 /etc/mtab 如果是恢复 /etc 上的档。

　　fuser ?Cv ?Cm /usr

　　用以下命令停掉它 如果没有什么重要的进程。

　　fuser -k ?Cv ?Cm /usr

　　然后就可以重新挂载这些文件系统了

　　可以在 boot 提示符下用 linux singl 进入单用户模式，如果是把所有的档统一安装在一个大的 / 分区当中。尽量减少系统进程向硬盘写入资料的机会，要不干脆把硬盘挂在别的机器上。另外，恢复进去的资料不要写到 / 上面，防止破坏那些有用的资料。如果机器上有 dos/window 可以写到这些分区上面：

　　mount ?Cr ?Cn /dev/hda174ACT14MTC /mnt/had

　　然后就可以执行 debugf 假设 Linux /dev/hda5

　　#debugf /dev/hda5

　　就会出现 debugf 提示符 debugf

　　使用 lsdel 命令可以列出很多被删除的文件的信息：

　　debugf lsdel

　　debugfs: 2692 delet inod found.

　　Inode Owner Mode Size Block Time deleted

　　164821 0 100600 8192 1/ 1 Sun Mai 13 19:22:46 2001

　　36137 0 100* 4 1/ 1 Tue Apr 24 10:11:15 2001

　　196829 0 100* 149500 38/ 38 Mon Mai 27 13:52:04 2001

　　debugfs:

　　第二字段是档所有者，列出的档有很多（这里找到 2692 个）第一字段是档节点号。第三字段是读写权限，接下来是档大小，占用块数，删除时间。然后就可以根据档大小和删除日期判断那些是需要的比方我要恢复节点是 196829 文件：

　　可以先看看文件资料状态：

　　debugf stat 1N6263W-7-F<196829>

　　Inode: 196829 Type: regular Mode: 0* Flags: 0x0 Version: 1

　　User: 0 Group: 0 Size: 149500

　　File ACL: 0 Directori ACL: 0

　　Links: 0 Blockcount: 38

　　Fragment: Address: 0 Number: 0 Size: 0

　　ctime: 0x31a9a574 -- Mon Mai 27 13:52:04 2001

　　atime: 0x31a21dd1 -- Tue Mai 21 20:47:29 2001

　　mtime: 0x313bf4d7 -- Tue Mar 5 08:01:27 2001

　　dtime: 0x31a9a574 -- Mon Mai 27 13:52:04 2001

　　BLOCKS:

　　594810 594811 594814 594815 594816 594817

　　.

　　TOTA L: 38

　　然后就可以用 dump 指令恢复文件：

　　debugf dump <196829> /mnt/hda/01.sav

　　这样就把档恢复出来了退出 debugf

　　debugf quit

　　另一种方法是手工编辑 inod

　　debugf mi <196829>

　　Mode [0100*]

　　User ID [0]

　　Group ID [0]

　　Size [149500]

　　Creation time [0x31a9a574]

　　Modif time [0x31a9a574]

　　Access time [0x31a21dd1]

　　Delet time [0x31a9a574] 0

　　Link count [0] 1

　　Block count [38]

　　File flag [0x0]

　　Reserved1 [0]

　　File acl [0]

　　Directori acl [0]

　　Fragment address [0]

　　Fragment number [0]

　　Fragment size [0]

　　Direct Block #0 [594810]

　　.

　　Tripl Indirect Block [0]

　　其它行可以直接按回车表示确认，使用 mi 指令后每次显示一行信息以供编辑。把 delet time 改成 0 未删除） Link count 改成 1 改好后退出 debugf

　　debugf quit

　　然后用 fsck 检查 /dev/hda5

　　fsck /dev/hda5