ext3grep 模拟恢复删除文件

一,下载ext3grep-0.10.1.tar.gz

点此下载

二,安装

#tar zxvf ext3grep-0.10.1.tar.gz
#cd ext3grep-0.10.1
#./configure
#make
#make install

如果缺乏e2fsprogs-devel和e2fsprogs-devel,yum安装

#yum install e2fsprogs-libs
#yum install e2fsprogs-devel

三.模拟删除
1.制造一个分区

#mkdir /home/test
#cd /home/test
#dd if=/dev/zero of=file count=102400
#mkfs.ext3 file

2.挂载

#mount -o loop /home/test/file /mnt/
#df -lh

/dev/sda1             485M   32M  429M   7% /boot
/home/test/file        49M  4.9M   42M  11% /mnt

查看发现已挂载

3.写入数据到mnt

#mkdir /mnt/del
#echo 1 > /mnt/del/1
#echo 2 > /mnt/del/2
#echo 3 > /mnt/del/3

4.删除数据

#rm -rf /mnt/del

四.开始恢复
1.卸载分区

#cd / *退入根目录,否则在mnt目录下会提示,busy,无法卸载
#umount /home/test/file

2.确认卸载

#df -h

3.查看根的inode

#ls -id /

输出
2 /
发现是2

4.扫描

#ext3grep /home/test/file --ls --inode 2

输出
Indx Next |  Inode   | Deletion time                        Mode        File name
==========+==========+----------------data-from-inode------+-----------+=========
   0    1 d       2                                         drwxr-xr-x  .
   1    2 d       2                                         drwxr-xr-x  ..
   2  end d      11                                         drwx------  lost+found
   3  end d    7329  D 1461612320 Mon Apr 25 15:25:20 2016  drwxr-xr-x  del

5.del目录的inode为7329,D标示为可恢复

6.扫描del下目录

#ext3grep /home/test/file --ls --inode 7329

输出
==========+==========+----------------data-from-inode------+-----------+=========
   0    1 d    7329  D 1461612320 Mon Apr 25 15:25:20 2016  drwxr-xr-x  .
   1    2 d       2                                         drwxr-xr-x  ..
   2    3 r    7330  D 1461612316 Mon Apr 25 15:25:16 2016  rrw-r--r--  1
   3    4 r    7331  D 1461612316 Mon Apr 25 15:25:16 2016  rrw-r--r--  2
   4  end r    7332  D 1461612316 Mon Apr 25 15:25:16 2016  rrw-r--r--  3

7.恢复单个文件1

#ext3grep /home/test/file --restore-file del/1

恢复后的文件在当前的RESTORED_FILES目录下

8.恢复全部文件

ext3grep /home/test/file --restore-all