如何恢复已删掉的Linux文件
本篇内容主要讲解“怎么恢复已删掉的Linux文件”，感兴趣的同学不妨来瞧瞧。本文介绍的方式操作简单快捷，实用性强。下边就让小编来带你们学习“怎么恢复已删掉的Linux文件”吧!
作为一个多用户、多任务的操作系统linux系统镜像下载，Linux下的文件一旦被删掉，是无法恢复的。虽然删掉命令只是在文件节点中作删掉标记，并不真正消除文件内容，然而其他用户和一些有写盘动作的进程会很快覆盖这种数据。
1、Ext2文件系统结构的简单介绍
在Linux所用的Ext2文件系统中，文件是以块为单位储存的，默认情况下每位块的大小是1K，不同的块以块号分辨。每位文件还有一个节点，节点中包含有文件所有者，读写权限，文件类型等信息。对于一个大于12个块的文件，在节点中直接储存文件数据块的块号。假如文件小于12个块，这么节点在12个块号以后储存一个间接块的块号linux lost found 恢复，在这个间接块号所对应的块中，储存有256个文件数据块的块号(Ext2fs中每位块号占用4字节，这样一个块中所能储存的块号就是1024/4=256)。假如有更大的文件，这么都会在节点中出现二级间接块和**间接块。
2、恢复被删掉文件的方式
大多数Linux发行版都提供一个debugfs工具linux 下载，可以拿来对Ext2文件系统进行编辑操作。不过在使用这个工具之前，还有一些工作要做。
首先以只读形式重新挂载被删掉的文件所在分区。使用如下命令：(假定文件在/usr分区)
mount–r–n–oremount/usr-r表示只读形式挂载;-n表示不写入/etc/mtab，倘若是恢复/etc上的文件，就加上这个参数。若果系统说xxxpartionbusy，可以用fuser命令查看一下是什么进程使用这个分区上的文件：
fuser–v–m/usr
若果没有哪些重要的进程，用以下命令停掉它们：
fuser-k–v–m/usr
之后就可以重新挂载那些文件系统了。
若果是把所有的文件统一安装在一个大的/分区当中，可以在boot提示符下用linuxsingle步入单用户模式，尽量降低系统进程向硬碟写入数据的机会，要不干脆把硬碟挂在别的机器上。另外，恢复下来的数据不要讲到/里面linux lost found 恢复，防止破坏这些有用的数据。假如机器上有dos/windows，可以讲到这种分区前面：
mount–r–n/dev/hda1/mnt/had
之后就可以执行debugfs：(假定Linux在/dev/hda5)
#debugfs/dev/hda5
都会出现debugfs提示符debugfs：
使用lsdel命令可以列举好多被删掉的文件的信息：
Word-WRAP:break-word”bgColor=#f3f3f3> debugfs：lsdel
debugfs:2692deletedinodesfound.
InodeOwnerModeSizeBlocksTimedeleted
164821010060081921/1SunMay1319:22:462001
36137010064441/1TueApr2410:11:152001
196829010064414950038/38MonMay2713:52:042001
列举的文件有好多(这儿找到2692个)，第一数组是文件节点号，第二数组是文件所有者，第三数组是读写权限，接出来是文件大小，占用块数，删掉时间。
之后就可以按照文件大小和删掉日期判定这些是我们须要的。例如我们要恢复节点是196829的文件：
可以先瞧瞧文件数据状态：
debugfs：stat
Inode:196829Type:regularMode:0644Flags:0x0Version:1
User:0Group:0Size:149500
FileACL:0DirectoryACL:0
Links:0Blockcount:38
Fragment:Address:0Number:0Size:0
ctime:0x31a9a574--MonMay2713:52:042001
atime:0xx313131aa2121dddd1--TueMay2120:47:292001
mtime:0xx313313bfbf44dd7--TueMar508:01:272001
dtime:0x31a9a574--MonMay2713:52:042001
BLOCKS:
594810594811594814594815594816594817
TOTAL:38
之后就可以用dump指令恢复文件：
debugfs：dump/mnt/hda/01.sav
这样就把文件恢复下来了。退出debugfs：
debugfs：quit
另一种方式是手工编辑inode：
debugfs：mi
Mode
UserID
GroupID
Size
Creationtime
0x31a9a574
Modificationtime
0x31a9a574
Accesstime
0x31a21dd1
Deletiontime
0x31a9a574
Linkcount1
Blockcount
Fileflags
Reserved1
Fileacl
Directoryacl
Fragmentaddress
Fragmentnumber
Fragmentsize
DirectBlock#0
TripleIndirectBlock
使用mi指令后每次显示一行信息以供编辑，其它行可以直接按回车表示确认，把deletiontime改成0(未删掉)，Linkcount改成1。改好后退出debugfs：
debugfs：quit
之后用fsck检测/dev/hda5
fsck/dev/hda5
程序会说找到遗失的数据块，置于lost+found上面。这个目录里的文件就是我们要的东东。
