ext3grep 模拟恢复删除文件
一,下载ext3grep-0.10.1.tar.gz
二,安装
#tar zxvf ext3grep-0.10.1.tar.gz #cd ext3grep-0.10.1 #./configure #make #make install
如果缺乏e2fsprogs-devel和e2fsprogs-devel,yum安装
#yum install e2fsprogs-libs
#yum install e2fsprogs-devel
三.模拟删除
1.制造一个分区
#mkdir /home/test #cd /home/test #dd if=/dev/zero of=file count=102400 #mkfs.ext3 file
2.挂载
#mount -o loop /home/test/file /mnt/ #df -lh
/dev/sda1 485M 32M 429M 7% /boot
/home/test/file 49M 4.9M 42M 11% /mnt
查看发现已挂载
3.写入数据到mnt
#mkdir /mnt/del #echo 1 > /mnt/del/1 #echo 2 > /mnt/del/2 #echo 3 > /mnt/del/3
4.删除数据
#rm -rf /mnt/del
四.开始恢复
1.卸载分区
#cd / *退入根目录,否则在mnt目录下会提示,busy,无法卸载 #umount /home/test/file
2.确认卸载
#df -h
3.查看根的inode
#ls -id /
输出
2 /
发现是2
4.扫描
#ext3grep /home/test/file --ls --inode 2
输出
Indx Next | Inode | Deletion time Mode File name
==========+==========+----------------data-from-inode------+-----------+=========
0 1 d 2 drwxr-xr-x .
1 2 d 2 drwxr-xr-x ..
2 end d 11 drwx------ lost+found
3 end d 7329 D 1461612320 Mon Apr 25 15:25:20 2016 drwxr-xr-x del
5.del目录的inode为7329,D标示为可恢复
6.扫描del下目录
#ext3grep /home/test/file --ls --inode 7329
输出
==========+==========+----------------data-from-inode------+-----------+=========
0 1 d 7329 D 1461612320 Mon Apr 25 15:25:20 2016 drwxr-xr-x .
1 2 d 2 drwxr-xr-x ..
2 3 r 7330 D 1461612316 Mon Apr 25 15:25:16 2016 rrw-r--r-- 1
3 4 r 7331 D 1461612316 Mon Apr 25 15:25:16 2016 rrw-r--r-- 2
4 end r 7332 D 1461612316 Mon Apr 25 15:25:16 2016 rrw-r--r-- 3
7.恢复单个文件1
#ext3grep /home/test/file --restore-file del/1
恢复后的文件在当前的RESTORED_FILES目录下
8.恢复全部文件
ext3grep /home/test/file --restore-all
