注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

帅小伙的博客

希望能在这里交到更多的朋友

 
 
 

日志

 
 
 
 

lsof协助恢复误删除的文件  

2008-06-27 17:43:54|  分类: linux |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |
        先介绍一些文件的基本概念, 文件实际上是一个指向inode的链接, inode链接包含了文件的所有属性, 比如权限和所有者, 数据块地址(文件存储在磁盘的这些数据块中). 当你删除(rm)一个文件, 实际删除了指向inode的链接, 并没有删除inode的内容. 进程可能还在使用. 只有当inode的所有链接完全移去, 然后这些数据块将可以写入新的数据.

  proc文件系统可以协助我们恢复数据. 每一个系统上的进程在/proc都有一个目录和自己的名字: 里面包含了一个fd(文件描述符)子目录(进程需要打开文件的所有链接). 如果从文件系统中删除一个文件, 此处还有一个inode的引用:

  /proc/进程号/fd/文件描述符

  接下来, 你需要知道打开文件的进程号(pid)和文件描述符(fd). 这些都可以通过lsof工具方便获得, lsof的意思是”list open files, 列出(进程)打开的文件”. 然后你将可以从/proc拷贝出需要恢复的数据.

  下面介绍在Fedora Core 5系统上使用lsof恢复误删的文件:

  环境

  主机: 使用微睦独立主机, 一台基于vmware的虚拟独立主机.

  系统: Fedora Core 5

  内核: 2.6.16-1.2122_FC5

  lsof版本:

  [zhaoke@fedora5 ~]$ /usr/sbin/lsof -v

  lsof version information:

  revision: 4.77

  预备工作:

  如果你的系统没有安装lsof, 可以从作者网站或pbone获得.

  恢复过程:

  首先, 我们需要创建一个文本文件, 删除然后恢复:

  [zhaoke@fedora5 ~]$ man lsof   col -b > myfile

  然后看一下文件内容:

  [zhaoke@fedora5 ~]$ less myfile

  你可以看到lsof所有的文本帮助信息.

  现在按Ctrl-Z退出less命令, 然后在shell提示符下查看文件属性信息:

  [zhaoke@fedora5 ~]$ stat myfile

  File: `myfile’

  Size: 116549 Blocks: 240 IO Block: 4096 regular file

  Device: fd00h/64768d Inode: 492686 Links: 1

  Access: (0664/-rw-rw-r–) Uid: ( 505/ zhaoke) Gid: ( 505/ zhaoke)

  Access: 2006-11-20 12:59:38.000000000 +0800

  Modify: 2006-11-20 12:59:34.000000000 +0800

  Change: 2006-11-20 12:59:34.000000000 +0800

  没问题, 继续下面工作:

  [zhaoke@fedora5 ~]$ rm myfile

  [zhaoke@fedora5 ~]$ ls -l myfile

  ls: myfile: No such file or directory

  [zhaoke@fedora5 ~]$ stat myfile

  stat: cannot stat `myfile’: No such file or directory

  myfile文件删除了.

  这时候, 你不要终止仍在使用文件的进程. 因为一旦终止, 文件将很难恢复.

  现在我们开始找回数据, 首先用lsof查看一下:

  [zhaoke@fedora5 ~]$ lsof   grep myfile

  less 9104 zhaoke 4r REG 253,0 116549 492686 /home/zhaoke/myfile (deleted)

  第一个纵行是进程的名称(命令名), 第二纵行是进程号(PID), 第四纵行是文件描述符(r意思是普通文件), 现在你知道9104进程仍有打开文件, 文件描述符是4. 那我们开始从/proc里面拷贝出数据. 你可能会考虑使用cp -a, 但实际上没有作用, 你将拷贝的是一个指向被删除文件的符号链接:

  [zhaoke@fedora5 ~]$ ls -l /proc/9104/fd/4

  lr-x—— 1 zhaoke zhaoke 64 Nov 20 13:00 /proc/9104/fd/4 -> /home/zhaoke/myfile (deleted)

  [zhaoke@fedora5 ~]$ cp -a /proc/9104/fd/4 myfile.wrong

  [zhaoke@fedora5 ~]$ ls -l myfile.wrong

  lrwxrwxrwx 1 zhaoke zhaoke 29 Nov 20 13:02 myfile.wrong -> /home/zhaoke/myfile (deleted)

  [zhaoke@fedora5 ~]$ file myfile.wrong

  myfile.wrong: broken symbolic link to `/home/zhaoke/myfile (deleted)’

  [zhaoke@fedora5 ~]$ file /proc/9104/fd/4

  /proc/9104/fd/4: broken symbolic link to `/home/zhaoke/myfile (deleted)’

  然后, 使用cp拷贝出数据:

  [zhaoke@fedora5 ~]$ cp /proc/9104/fd/4 myfile.saved

  最后, 确认一下文件:

  [zhaoke@fedora5 ~]$ ls -l myfile.saved

  -rw-rw-r– 1 zhaoke zhaoke 116549 Nov 20 13:03 myfile.saved

  [zhaoke@fedora5 ~]$ man lsof   col -b > myfile.new

  [zhaoke@fedora5 ~]$ cmp myfile.saved myfile.new lsof协助恢复误删除的文件 - 帅小伙 - 帅小伙的博客
  评论这张
 
阅读(149)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2018