[unix] 유닉스 / 리눅스 삭제 된 파일 삭제 / 복구

댓글에 제공된 사람의 링크가 가장 가능성이 높습니다.

리눅스 debugfs 해킹 : 파일 삭제 취소

약간의 협박으로 보이지만 그 글은 실제로 매우 간단합니다. 일반적으로 단계는 다음과 같습니다.

1. 파일 시스템 로그를 보려면 debugfs를 사용하십시오.

   $ debugfs -w /dev/mapper/wks01-root
   

2. debugfs 프롬프트에서

   debugfs: lsdel
   

3. 샘플 출력

   Inode  Owner  Mode    Size    Blocks   Time deleted
   23601299      0 120777      3    1/   1 Tue Mar 13 16:17:30 2012
   7536655      0 120777      3    1/   1 Tue May  1 06:21:22 2012
   2 deleted inodes found.
   

4. debugfs에서 명령을 실행하십시오.

   debugfs: logdump -i <7536655>
   

5. 파일 inode 결정

   ...
   ...
   ....
   output truncated
       Fast_link_dest: bin
       Blocks:  (0+1): 7235938
     FS block 7536642 logged at sequence 38402086, journal block 26711
       (inode block for inode 7536655):
       Inode: 7536655   Type: symlink        Mode:  0777   Flags: 0x0   Generation: 3532221116
       User:     0   Group:     0   Size: 3
       File ACL: 0    Directory ACL: 0
       Links: 0   Blockcount: 0
       Fragment:  Address: 0    Number: 0    Size: 0
       ctime: 0x4f9fc732 -- Tue May  1 06:21:22 2012
       atime: 0x4f9fc730 -- Tue May  1 06:21:20 2012
       mtime: 0x4f9fc72f -- Tue May  1 06:21:19 2012
       dtime: 0x4f9fc732 -- Tue May  1 06:21:22 2012
       Fast_link_dest: bin
       Blocks:  (0+1): 7235938
   No magic number at block 28053: end of journal.
   

6. 위의 inode 정보로 다음 명령을 실행하십시오.

   # dd if=/dev/mapper/wks01-root of=recovered.file.001 bs=4096 count=1 skip=7235938
   # file recovered.file.001
   file: ASCII text, with very long lines
   

파일이에 복구되었습니다 recovered.file.001.

다른 옵션

위의 방법이 아닌 경우 photorec과거에 파일을 복구 하는 등의 도구를 사용 했지만 이미지 파일에만 적합합니다. 나는이 기사에서 내 블로그 에이 방법에 대해 광범위하게 썼다 :

어떻게 페도라 / CentOS는 / RHEL에 디지털 카메라의 SDD 카드에서 손상된 JPEG 및 MOV 파일을 복구하는 방법 .

답변

#!/bin/bash

if [[ ! $1 ]]; then
    echo -e "Usage:\n\n\t$0 'file name'"
    exit 1
fi

f=$(ls 2>/dev/null -l /proc/*/fd/* | fgrep "$1 (deleted" | awk '{print $9}')

if [[ $f ]]; then
    echo "fd $f found..."
    cp -v "$f" "$1"
else
    echo >&2 "No fd found..."
    exit 2
fi

grep -a -C 500 'known pattern' /dev/sda | tee /tmp/recover

grep -a -C 200 -F 'Unique string in text file' /dev/sdXN

ext3grep image.img --restore-all

ext3grep /dev/sda3 --restore-all --after date -d '2015-01-01 00:00:00' '+%s' --before `date -d ‘2015-01-02 00:00:00’ ‘+%s’