如何恢复 Linux 上删除的文件.pdfVIP

如何恢复 Linux 上删除的文件，第 1 部分 原理及普通文件的恢复 要想恢复误删除的文件，必须清楚数据在磁盘上究竟是如何存储的，以及如何定位并恢复数 据。本文从数据恢复的角度，着重介绍了 ext2 文件系统中使用的一些基本概念和重要数据 结构，并通过几个实例介绍了如何手工恢复已经删除的文件。最后针对 ext2 现有实现存在 的大文件无法正常恢复的问题，通过修改内核中的实现，给出了一种解决方案。 对于很多 Linux 的用户来说，可能有一个问题一直都非常头疼：对于那些不小心删除的数 据来说，怎样才能恢复出来呢？大家知道，在 Windows 系统上，回收站中保存了最近使用 资源管理器时删除的文件。即便是对于那些在命令行中删除的文件来说，也有很多工具（例 如recover4all ，FinalData Recovery ）可以把这些已经删除的文件恢复出来。在Linux 下这一 切是否可能呢？ 实际上，为了方便用户的使用，现在 Linux 上流行的桌面管理工具（例如gnome 和KDE ） 中都已经集成了回收站的功能。其基本思想是在桌面管理工具中捕获对文件的删除操作，将 要删除的文件移动到用户根目录下的 .Trash 文件夹中，但却并不真正删除该文件。当然， 像在 Windows 上一样，如果用户在删除文件的同时，按下了 Shift 键并确认删除该文件， 那么这个文件就不会被移动到 .Trash 文件夹中，也就无从恢复了。此时，习惯了使用 Windows 上各种恢复工具的人就会顿足捶胸，抱怨 Linux 上工具的缺乏了。但是请稍等一 下，难道按照这种方式删除的文件就真的无从恢复了么？或者换一个角度来看，使用 rm 命 令删除的文件是否还有办法能够恢复出来呢？ 背景知识 在开始真正进行实践之前，让我们首先来了解一下在 Linux 系统中，文件是如何进行存储 和定位的，这对于理解如何恢复文件来说非常重要。我们知道，数据最终以数据块的形式保 存在磁盘上，而操作系统是通过文件系统来管理这些数据的。ext2/ext3 是 Linux 上应用最 为广泛的文件系统，本文将以 ext2 文件系统为例展开介绍。 我们知道，在操作系统中，文件系统是采用一种层次化的形式表示的，通常可以表示成一棵 倒置的树。所有的文件和子目录都是通过查找其父目录项来定位的，目录项中通过匹配文件 名可以找到对应的索引节点号（inode ），通过查找索引节点表（inode table ）就可以找到文 件在磁盘上的位置，整个过程如图1 所示。 图 1. 文件数据定位过程 对于 ext2 类型的文件系统来说，目录项是使用一个名为 ext2_dir_entry_2 的结构来表示 的，该结构定义如下所示： 清单 1. ext2_dir_entry_2 结构定义 struct ext2_dir_entry_2 { __le32 inode; /* 索引节点号 */ __le16 rec_len; /* 目录项的长度 */ __u8 name_len; /* 文件名长度 */ __u8 file_type; /* 文件类型 */ char name[EXT2_NAME_LEN]; /* 文件名 */ }; 在 Unix/Linux 系统中，目录只是一种特殊的文件。目录和文件是通过 file_type 域来区分 的，该值为 1 则表示是普通文件，该值为 2 则表示是目录。 对于每个 ext2 分区来说，其在物理磁盘上的布局如图 2 所示： 图 2. ext2 分区的布