昨天一不小心，執行了rm xx  -rf，把一個專案刪除了。然後就是各種悔恨，各種自責，這個專案可是一週的工作量啊。最後肯定得解決，於是google搜尋發現了恢復神器extundelete,最後順利恢復了所有被我無意中的刪除的檔案。感謝上天，感謝extundelete。下面將個人的經歷總結下。

如何使用extundelete

1)  下載工具extundelete

       Ubuntu下下載這個工具太簡單了

1. sudo apt-get install extundelete  

2)  使用

     使用這個也很簡單。使用extundelete–help命令，可以告訴我們很多。

1. [email protected]
    Itleaks::~$ extundelete --help  
2. Usage: extundelete [options] [--] device-file  
3. Options:  
4.   ……………….  
5.   --after dtime          Only process entries deleted on or after 'dtime'.  
6.   --before dtime         Only process entries deleted before 'dtime'.  
7. Actions:  
8.   …………  
9.   --restore-file 'path'  Will restore file 
   'path'. 'path'is relative to root  
10.                          of the partition and does not start with a '/' (it  
11.                          must be one of the paths returned by --dump-names).  
12.                          The restored file is created in the current  
13.                          directory as 'RECOVERED_FILES/path'
    .  
14.   --restore-files 'path' Will restore files which are listed in the file 'path'.  
15.                          Each filename should be in the same format as an option  
16.                          to --restore-file, and there should be one per line.  
17.   --output-dir 'path'    Restore files in the output dir 'path'.  
18.                          By default the restored files are created under current directory 'RECOVERED_FILES'.  
19.   --restore-all          Attempts to restore everything.  
20.   ………..  

      我們知道當我們不小心刪除了有用的檔案，我們一般是比較容易知道刪除的時間的，因此，使用時間這個option可以很快並且精確的恢復出我們想要的檔案。那這個dtime怎麼生成。請參考如下命令：

1. [email protected] Itleaks:~$ date -d "2014-06-01 23:02:00" +%s  
2. 1401634920

     %s的意思是seconds since 1970-01-01 00:00:00 UTC，就是輸入時間與1970-01-0100:00:00的時間差

     然後就可以使用這個來恢復了

1. sudo extundelete /dev/sda8 --after 1401634920--restore-all  

     現在我們來做個試驗：具體操作如下

1. [email protected] Itleaks:/tmp$ echo "recovery test"> itleaks.test  
2. [email protected] Itleaks:/tmp$ rm itleaks.test   
3. [email protected] Itleaks:/tmp$ date -d "2014-06-01 22:28:00" +%s  
4. 1401632880
5. [email protected] Itleaks:/tmp$ sudo extundelete /dev/sda8 --after 1401632880 --restore-all  
6. Only show and process deleted entries if they are deleted on or after 1401632880and before 9223372036854775807.
7. WARNING: Extended attributes are not restored.  
8. WARNING: EXT3_FEATURE_INCOMPAT_RECOVER is set.  
9. The partition should be unmounted to undelete any files without further data loss.  
10. If the partition isnot currently mounted, this message indicates   
11. it was improperly unmounted, and you should run fsck before continuing.  
12. If you decide to continue, extundelete may overwrite some of the deleted  
13. files and make recovering those files impossible.  You should unmount the  
14. file system and check it with fsck before using extundelete.  
15. Would you like to continue? (y/n)   
16. y  
17. Loading filesystem metadata ... 378 groups loaded.  
18. Loading journal descriptors ...   
19. 27106 descriptors loaded.  
20. Searching for recoverable inodes in directory / ...   
21. 85 recoverable inodes found.  
22. Looking through the directory structure for deleted files ...   
23. ………………..  
24. Unable to restore inode 2360218 (etc/brltty/brl-fs-bumpers.kti): No undeleted copies found in the journal.  
25. Unable to restore inode 2359564 (etc/mtab~): No undeleted copies found in the journal.  
26. Restored inode 2883641 to file RECOVERED_FILES/tmp/itleaks.test  
27. [email protected] Itleaks:/tmp$ tree RECOVERED_FILES/  
28. RECOVERED_FILES/  
29. └── tmp  
30.     └── itleaks.test  
31. 1 directory, 1 file  

extundelete原理

         這個是由於linuxext3檔案系統的組織結構決定的，如下圖：

         在Linux系統中，超級塊描述了分割槽的資訊，一個分割槽被分為兩個部分，索引節點表和資料塊區，這個在格式化的時候就定下來了。檔案(目錄也是檔案的一種，只不過它的內容是描述目錄下的檔案的)由索引節點描述，索引節點描述了檔案的修改時間，檔案的名稱，檔案的資料塊地址等等。並且，linux對於檔案刪除操作是個懶動作，刪除檔案時系統只是將檔案對應的索引節點及其擁有的資料塊置為free(將nlink=0)，而並沒有做其他清空的，只有當這個索引節點或者資料塊被真正用到的時候才會修改裡面的資料。這就為我們檔案修復提供了可趁之機。由於系統中的索引節點是固定大小的，因此可以很輕鬆的遍歷掃描系統中所有的索引節點，找出free的索引節點並檢查其資料塊是否已經被用，如果沒有則可修復並修復。同時，由於索引節點裡的時間等資訊也是保留的，因此就可以根據時間來恢復特定的被刪除的檔案。

檔案誤刪除後的注意事項

     從上面的分析可知，誤刪檔案後，儘量不要做大的資料操作，以避免被刪除的檔案的資料塊被重新使用，導致資料完全丟失。

/********************************

* 本文來自部落格  “愛踢門”

******************************************/