Linux下常用的数据恢复工具

Posted 2020-09-27

一。数据删除

命令：rm -rf,将任何数据直接从硬盘删除，且没有任何提示

建议做法：

• 把命令参数放到后面：rm -rfi
• 将删除的东西通过mv命令移动到系统下的/temp目录下，然后写个脚 本定期执行清除操作
• 备份

二。extundelete的安装与使用

Linux下常见的基于开源的数据恢复工具有：debugfs/R-Linux/ext3grep/extundelete

1.恢复原理：三步

• extundelete恢复文件并不依赖特定的文件格式，首先extundelete会通过文件系统的incode信息（可通过 ls -id / 查看；根目录的incode一般为2）来获得当前文件系统下所有文件的信息（包括文件名和incode,包括已删除的文件）。
• 然后利用incode信息结合日志去查询该incode所在块位置，包括直接块/间接块等信息。
• 最后利用dd命令将这些信息备份出来，从而恢复数据文件

2.安装（介绍编译安装）

• 安装前需安装e2fsprogs和e2fsprogs-libs两个依赖包
• 下载extundelete(.tar.bz2)结尾的文件,假设为0.2.4版本
• 解压：tar jxvf extundelete-0.2.4.tar.bz2
• cd extundelete-0.2.4
• ./configure
• make
• make install

3.用法

命令格式：extundelete [optons] [action] device-file

[option]参数：

• --version,-[vV],显示软件版本号
• --help,显示软件帮助信息
• --superblock,显示超级块信息
• --journal,显示日志信息
• --after dtime,时间参数，表示在某段时间之后被删除的文件或目录
• --before dtime,时间参数，表示在某段时间之前被删除的文件或目录

[action]动作参数：

• --incode into,显示节点“ino”的信息
• --block blk,显示数据块“blk”的信息
• --restore-incode ino[,ino,...],还原命令参数，表示还原节点“ino”的文件，还原的文件会自动放在当前目录下的RESTORED_FILES文件夹中，使用节点编号作为扩展名。
• --restore-file‘path‘,还原命令参数，表示将还原指定路径的文件，并把还原的文件放在当前目录下的RECOVERED_FILES文件中。
• --restore-all，还原命令参数，表示将尝试还原所有目录和文件
• -j journal,表示从已经命名的文件中读取扩展日志。
• -b blocknumber,表示使用之前备份的超级块来打开文件系统，一般用于查看现有超级块是不是当前所要的文件
• -B blocksize,表示使用数据块大小来打开文件系统，一般用于查看已经知道大小的文件。

4.注意

数据被误删之后，首先要做的是卸载被删除数据所在的磁盘或磁盘分区。如果根分区遭到删除，需要将系统进入单用户，并且将根分区以只读模式挂载。

原因：文件删除后，仅仅是将文件的incode中的扇区指针清零，实际文件还在。如果磁盘以读写械挂载，这些已删除文件的数据块就可能被操作系统重新分配出去，在这些数据块被新的数据覆盖后，这些数据就真丢失了。所以以只读模式挂载可以尽量降低数据块中数据被覆盖的风险。