如何在linux下恢复被误删除的文件
注：本文转自互联网
【场景】
Tencent:/data # df -h
Filesystem Size Used Avail Use% Mounted on
/dev/sda1 9.9G 1.6G 7.9G 17% /
udev 1011M 120K 1011M 1% /dev
/dev/sda3 20G 240M 19G 2% /usr/local
/dev/sda4 42G 129M 40G 1% /data
Tencent:/data # cd test
Tencent:/data/test # ls -lrt
total 800
-rw-r--r-- 1 root root 814739 May 20 14:45 rtagent.tar.gz
Tencent:/data/test # rm rtagent.tar.gz （假设这个是个误操作）
我们现在要做的，就是恢复/data/test/rtagent.tar.gz这个文件。
【停止写入】大家应该都清楚，在ext2/ext3中，删除文件操作只是将该文件的节点做删除标记，并没有实际删除该文件的内容块；但是如果有新内容写入，就很有可能覆盖掉这些内容块，所以，一旦发生误删除的情况，必须马上停止向磁盘写入，方法可以是umoun掉该磁盘。
【安装ext3grep】接下来，我们需要在服务器上安装ext3grep这个工具：ext3grep-0.10.1.tar.gz；安装这个工具之前，必须安装好e2fsprogs-devel：e2fsprogs-devel-1.38-25.30.i586.rpm，可以用通用的安装方法进行安装，这里就不介绍了。
【扫描磁盘】先让ext3grep扫描文件所在磁盘，获取磁盘的inode和对应内容信息（包括标记为删除的inode）（在/usr/local目录下执行，后面会解析为什么）：
Tencent:/usr/local # ext3grep /dev/sda4 --ls --inode 2 （inode=2表示的是最顶层的inode）
Running ext3grep version 0.10.1
Number of groups: 341
Loading group metadata... done
Minimum / maximum journal block: 522 / 33841
Loading journal descriptors... sorting... done
The oldest inode block that is still in the journal, appears to be from 1240191984 = Mon Apr 20 09:46:24 2009
Journal transaction 3642 wraps around, some data blocks might have been lost of this transaction.
Number of descriptors in journal: 29110; min / max sequence numbers: 1423 / 5763
Inode is Allocated
Finding all blocks that might be directories.
D: block containing directory start, d: block containing more directory entries.
Each plus represents a directory start that references the same inode as a directory start that we found previously.
Searching group 1:
++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
Searching group 2:
Searching group 3:
Searching group 4:
Searching group 5:
Searching group 6:
。。。。。
。。。。。
。。。。。
.-- File type in dir_entry (r=regular file, d=directory, l=symlink)
| .-- D: Deleted ; R: Reallocated
Indx Next | Inode | Deletion time Mode File name
==========+==========+----------------data-from-inode------+-----------+=========
0 1 d 2 drwxr-xr-x .
1 2 d 2 drwxr-xr-x ..
2 3 d 11 drwx------ lost+found
3 4 d 719489 drwxrwxrwx corefile
4 5 d 1684257 drwxr-xr-x test
5 end r 49057 rrw-r--r-- 2
6 end r 49058 D 1242805686 Wed May 20 15:48:06 2009 rrw------- tmp_agent_9RowP3
最后面的是扫描的结果。
扫描完成之后，会在执行命令当前目录下生成2个文件：sda4.ext3grep.stage1和sda4.ext3grep.stage2。这两个文件应该是包含了该磁盘的所有inode信息，下次再运行ext3grep命令的时候，都会从2个文件里面去寻找结果（所以别删除，否则又得扫描一次。。。时间挺久的，不过如果希望重新扫描，请删除这两个文件）。
【寻找文件】这个时候，我们就要寻找刚才被误删的rtagent.tar.gz文件了。可以通过如下方式，一步步的找到改文件：从上面的结果中我们可以看到被删除文件所在目录test的inode是1684257，所以执行：ext3grep /dev/sda4 --ls --inode 1684257
Tencent:/usr/local # ext3grep /dev/sda4 --ls --inode 1684257
Running ext3grep version 0.10.1
WARNING: EXT3_FEATURE_INCOMPAT_RECOVER is set. This either means that your partition is still mounted, and/or the file system is in an unclean state.
Number of groups: 341
Minimum / maximum journal block: 522 / 33841
Loading journal descriptors...
sorting... done
The oldest inode block that is still in the journal, appears to be from 1240191984 = Mon Apr 20 09:46:24 2009
Journal transaction 3642 wraps around, some data blocks might have been lost of this transaction.
Number of descriptors in journal: 29109; min / max sequence numbers: 1423 / 5767
Inode is Allocated
Loading sda4.ext3grep.stage2... done
The first block of the directory is 3405824.
Inode 1684257 is directory "test".
Directory block 3405824:
.-- File type in dir_entry (r=regular file, d=directory, l=symlink)
| .-- D: Deleted ; R: Reallocated
Indx Next | Inode | Deletion time Mode File name
==========+==========+----------------data-from-inode------+-----------+=========
0 1 d 1684257 drwxr-xr-x .
1 end d 2 drwxr-xr-x ..
2 end r 1684258 D 1242802212 Wed May 20 14:50:12 2009 rrw-r--r-- rtagent.tar.gz
看到了看到了，被删除的文件找到了，而且标记的确是为D。
【恢复文件】执行如下命令可以恢复这个文件：ext3grep /dev/sda4 --restore-file test/rtagent.tar.gz
该文件现在已经被恢复到了当前目录下的RESTORED_FILES中，所以执行该命令的时候，一定要保证当前分区有足够的空间，这就是之前为什么要在/usr/local下面执行所有的操作的原因：
当然，我们还可以指定inode进行恢复。
至此，该文件恢复完成。
在实际操作中，以下信息可能对操作者有用：
1、 扫描磁盘时，磁盘可以不umount，而是以只读的方式mount(mount的时候带上-r参数)，这样只读的业务可以继续提供服务。
2、 恢复文件的时候，如果指定inode进行恢复，恢复出来的文件将以inode.***作为文件名。
3、 目前还没有找到批量恢复一批文件的方法，不过可以用--restore-all参数进行全恢复。
4、 如果被删除的文件本身就在根分区，考虑到恢复本身会写跟分区，安全起见，还是建议立即停机，并将硬盘拔插到另外一台服务器上进行恢复。
5、 如果文件个数太多，恢复成功的概率比较小，我在恢复5W多个文件的时候，使用--restore-all参数进行全恢复，最终只恢复了600多个。。。
6、 更多参数含义请参考ext3grep –help
【场景】
Tencent:/data # df -h
Filesystem Size Used Avail Use% Mounted on
/dev/sda1 9.9G 1.6G 7.9G 17% /
udev 1011M 120K 1011M 1% /dev
/dev/sda3 20G 240M 19G 2% /usr/local
/dev/sda4 42G 129M 40G 1% /data
Tencent:/data # cd test
Tencent:/data/test # ls -lrt
total 800
-rw-r--r-- 1 root root 814739 May 20 14:45 rtagent.tar.gz
Tencent:/data/test # rm rtagent.tar.gz （假设这个是个误操作）
我们现在要做的，就是恢复/data/test/rtagent.tar.gz这个文件。
【停止写入】大家应该都清楚，在ext2/ext3中，删除文件操作只是将该文件的节点做删除标记，并没有实际删除该文件的内容块；但是如果有新内容写入，就很有可能覆盖掉这些内容块，所以，一旦发生误删除的情况，必须马上停止向磁盘写入，方法可以是umoun掉该磁盘。
【安装ext3grep】接下来，我们需要在服务器上安装ext3grep这个工具：ext3grep-0.10.1.tar.gz；安装这个工具之前，必须安装好e2fsprogs-devel：e2fsprogs-devel-1.38-25.30.i586.rpm，可以用通用的安装方法进行安装，这里就不介绍了。
【扫描磁盘】先让ext3grep扫描文件所在磁盘，获取磁盘的inode和对应内容信息（包括标记为删除的inode）（在/usr/local目录下执行，后面会解析为什么）：
Tencent:/usr/local # ext3grep /dev/sda4 --ls --inode 2 （inode=2表示的是最顶层的inode）
Running ext3grep version 0.10.1
Number of groups: 341
Loading group metadata... done
Minimum / maximum journal block: 522 / 33841
Loading journal descriptors... sorting... done
The oldest inode block that is still in the journal, appears to be from 1240191984 = Mon Apr 20 09:46:24 2009
Journal transaction 3642 wraps around, some data blocks might have been lost of this transaction.
Number of descriptors in journal: 29110; min / max sequence numbers: 1423 / 5763
Inode is Allocated
Finding all blocks that might be directories.
D: block containing directory start, d: block containing more directory entries.
Each plus represents a directory start that references the same inode as a directory start that we found previously.
Searching group 1:
++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
Searching group 2:
Searching group 3:
Searching group 4:
Searching group 5:
Searching group 6:
。。。。。
。。。。。
。。。。。
.-- File type in dir_entry (r=regular file, d=directory, l=symlink)
| .-- D: Deleted ; R: Reallocated
Indx Next | Inode | Deletion time Mode File name
==========+==========+----------------data-from-inode------+-----------+=========
0 1 d 2 drwxr-xr-x .
1 2 d 2 drwxr-xr-x ..
2 3 d 11 drwx------ lost+found
3 4 d 719489 drwxrwxrwx corefile
4 5 d 1684257 drwxr-xr-x test
5 end r 49057 rrw-r--r-- 2
6 end r 49058 D 1242805686 Wed May 20 15:48:06 2009 rrw------- tmp_agent_9RowP3
最后面的是扫描的结果。
扫描完成之后，会在执行命令当前目录下生成2个文件：sda4.ext3grep.stage1和sda4.ext3grep.stage2。这两个文件应该是包含了该磁盘的所有inode信息，下次再运行ext3grep命令的时候，都会从2个文件里面去寻找结果（所以别删除，否则又得扫描一次。。。时间挺久的，不过如果希望重新扫描，请删除这两个文件）。
【寻找文件】这个时候，我们就要寻找刚才被误删的rtagent.tar.gz文件了。可以通过如下方式，一步步的找到改文件：从上面的结果中我们可以看到被删除文件所在目录test的inode是1684257，所以执行：ext3grep /dev/sda4 --ls --inode 1684257
Tencent:/usr/local # ext3grep /dev/sda4 --ls --inode 1684257
Running ext3grep version 0.10.1
WARNING: EXT3_FEATURE_INCOMPAT_RECOVER is set. This either means that your partition is still mounted, and/or the file system is in an unclean state.
Number of groups: 341
Minimum / maximum journal block: 522 / 33841
Loading journal descriptors...
sorting... done
The oldest inode block that is still in the journal, appears to be from 1240191984 = Mon Apr 20 09:46:24 2009
Journal transaction 3642 wraps around, some data blocks might have been lost of this transaction.
Number of descriptors in journal: 29109; min / max sequence numbers: 1423 / 5767
Inode is Allocated
Loading sda4.ext3grep.stage2... done
The first block of the directory is 3405824.
Inode 1684257 is directory "test".
Directory block 3405824:
.-- File type in dir_entry (r=regular file, d=directory, l=symlink)
| .-- D: Deleted ; R: Reallocated
Indx Next | Inode | Deletion time Mode File name
==========+==========+----------------data-from-inode------+-----------+=========
0 1 d 1684257 drwxr-xr-x .
1 end d 2 drwxr-xr-x ..
2 end r 1684258 D 1242802212 Wed May 20 14:50:12 2009 rrw-r--r-- rtagent.tar.gz
看到了看到了，被删除的文件找到了，而且标记的确是为D。
【恢复文件】执行如下命令可以恢复这个文件：ext3grep /dev/sda4 --restore-file test/rtagent.tar.gz
该文件现在已经被恢复到了当前目录下的RESTORED_FILES中，所以执行该命令的时候，一定要保证当前分区有足够的空间，这就是之前为什么要在/usr/local下面执行所有的操作的原因：
当然，我们还可以指定inode进行恢复。
至此，该文件恢复完成。
在实际操作中，以下信息可能对操作者有用：
1、 扫描磁盘时，磁盘可以不umount，而是以只读的方式mount(mount的时候带上-r参数)，这样只读的业务可以继续提供服务。
2、 恢复文件的时候，如果指定inode进行恢复，恢复出来的文件将以inode.***作为文件名。
3、 目前还没有找到批量恢复一批文件的方法，不过可以用--restore-all参数进行全恢复。
4、 如果被删除的文件本身就在根分区，考虑到恢复本身会写跟分区，安全起见，还是建议立即停机，并将硬盘拔插到另外一台服务器上进行恢复。
5、 如果文件个数太多，恢复成功的概率比较小，我在恢复5W多个文件的时候，使用--restore-all参数进行全恢复，最终只恢复了600多个。。。
6、 更多参数含义请参考ext3grep –help
none
