每個被刪除的檔案都會在磁碟底層存在一個備份

所以想要完全保密必須銷燬啊

ls -d #  -d或--directory   顯示目錄名稱而非其內容。

ls -i #    -i或--inode   顯示檔案和目錄的inode編號

如何在Ext3的檔案系統中恢復被rm掉的檔案。

[[email protected]Gw za]# debugfs
debugfs 1.39 (29-May-2006)
debugfs: open /dev/sda3  #先使用df命令得到刪除檔案所在的裝置，如下圖：

debugfs: ls -d #  -d或--directory   顯示目錄名稱而非其內容。

假設我們有一個檔名叫 ‘test.txt’

注意：: “-il” 選項表示顯示檔案的i-node號（15），如果你不知道Unix/Linux檔案系統的“I結點”的話，你有必要先補充一下相關的知識。簡單說來，i結點就是操作管理檔案的一個標識號。

我們再看一下其內容：

好，現在我們開始刪除檔案：.

使用 Journal 和 Inode 號恢復

注意，如果你刪除檔案後重啟了系統，那麼，相關的檔案 journal 會丟失，我們也就無法恢復檔案了。所以，恢復檔案的前提是，Journal不能丟失，即，系統不能重啟

因為我們已經知道 test.txt 檔案的 inode 號是 15，所以我們可以使用 debugfs 命令來檢視：

請注意上面資訊中的這一行：

這就是inode 15存放檔案的地址（資料塊）。然後，我們知道了這個地址，我們就可以使用 dd 命令，把這個地址上的資料給取出來。

切換至命令列：

• if 是輸入的裝置
• of 是輸出的裝置.
• bs 指定一個block的大小
• count 說明有多少個block需要dump
• skip 說明從開始的地方跳過 10234 個block，並從取下一個block的資料。此處的值是logdump中Blocks: (0+1):10234的值

下面讓我們看一下被恢復的檔案：

當然，上面的檔案恢復是基於我們知道檔案的inode，可在現實中，我們並不知道這個資訊，如果我們不知道inode，我們還可能恢復嗎？是的，這是可能的，讓我們來看一下如何恢復。

使用 Journal 和 檔名恢復

如果我們不知道檔案的inode我們可能恢復嗎？我可以告訴你，這是不可能的事情。不過我們有辦法知道檔案的inode號。下面讓我們來看看怎麼做到：

注意，我們並不知道其inode號，但我們可以使用 debugfs 命令來檢視（使用其 ls -d 選項）。

你看檔名了吧，它的inode號是 <2121567> ，注意，被刪除了的檔案的inode都是用尖括號包起來的。

即然知道了inode號，那麼我們就很容易恢復了（使用 logdump選項）：

上面有很多資訊，讓我們仔細地檢視，你可以看到下面一行資訊：

並且，其型別是：

再仔細看一下檔案的時間戳下面的Blocks: 什麼也沒有。那麼，讓我們看一下下一個block：

這一條Journal就有block資訊了：

這就是被刪除檔案的地址，讓我們再次執行恢復命令：

再讓我們來檢查一下檔案內容：

小結

好了，下面是我們的一些總結：

0. 執行df  命令獲得刪除檔案所在的裝置

1. 執行debugfs命令。

2. open 裝置名稱；例如 open /dev/sda10

3)使用 debugfs: ls -d 找到被刪除檔案的inode號。inode號是< >中的編號

4)使用 debugfs:logdump -i <inode號>     找到檔案的資料塊地址，賦給步驟5中的skip值。

5)切換至命令列，使用dd 命令把資料取出來存成檔案。

sudo dd if=/dev/sda10 of=/home/B.py bs=4096 skip=129032  count=1