郑州荣联数据恢复中心
联系人:李工
手机:15036160178
电话:0371-69392861
地址:郑州市 · 东风路文化路 · 百脑汇1101室
ext4、ext3、xfs文件系统数据恢复教程

警告:当误删后,不要再对服务器进行写磁盘。
一、文件删除原理
在ext3/4文件系统中,inode索引节点除了存放文件属性还指向文件的block节点,是书的目录,block存放文件的实际数据,是书的每一页,文件的上级目录的block存放的是文件名及其inode节点编号,删除文件实际上是删除文件名和inode节点编号的关联以及inode节点内的指针信息,那么实际上,文件的block还在,加上ext3/4文件系统是日志文件系统,格式化时会分配一个固定大小的空间的日志文件journal,它记录创建和删除文件的记录,当删除一个文件,操作系统首先把文件inode信息和文件名称写入到journal,然后删除文件并清空inode原始数据指针。
二、有两种情况无法恢复
1)当新的数据写入到被删除文件占用的block后,原来的inode号就指向新的数据,那么这样是无法找回的。
2)当journal日志文件存满之后,会释放前面的空间,循环使用,存放*新的记录,如果删除文件的记录被覆盖,是恢复不了的。
三、恢复文件的原理
根据journal日志文件残留inode的信息,定位到相关目录,恢复残留inode对应的block。但日志文件恢复只适合小数据量的恢复,因为journal的空间有限,存放不了太多记录。对于大文件如oracle等数据库文件恢复采用逆向推算和数据文件本身特点来提取。
此列以/home分区为例。如果是根分区的数据被误删,这个恢复起来很麻烦,大概可以进单用户模式下只读方式挂载根分区,然后恢复。或者把整个硬盘取出来后,挂载到另外一台linux服务器上操作。
一、恢复ext4分区误删数据(亲自测试过,正常)
1、同步服务器时间。
2、安装extundelete工具。
3、模拟误删除数据
4、建议先停止一些频繁读写磁盘的服务。
5、恢复操作。
(1)卸载/home分区
(2)使用extundelete查看分区上存在的文件,如下:--inode 为查找某i节点中的内容,使用2则说明为搜索,如果需要进入目录搜索,只须要指定目录I节点即可
备注:注意看Deleted。
(3)恢复数据
备注:恢复指定的时间点后被删文件
1).指定一个时间点
# date -d "Sep 4 03:09:13 2013" +%s
------------------
1378235353
------------------
2).恢复这个时间点后的文件
# /usr/local/extundelete/bin/extundelete --restore-all --after “1378235353” /dev/mapper/VolGroup-lv_home
--------------------
..........
--------------------
注:如果要恢之前的就用before参数。extundelete命令与after结合使用,在进行恢复时非常有用,可以过滤掉那太旧的文件,减小恢复压力。
6、重新挂载/home分区,并恢复数据,启动服务。
备注:还有这个恢复工具ext4magic也可以。
官方这样描述,如果您已经在ext4的文件系统中删除了文件,选extundelete是一个不错的选择,它能够恢复已删除文件的文件名及内容.
二、恢复ext3分区误删数据(没测试过,网上教程)
上面介绍的是在ext4文件格式下的文件删除后的恢复,那如果是ext3文件格式下的文件删除后想恢复,怎么办呢?
可以使用debugfs工具,这是linux系统自带工具,debugfs恢复Ext3的文件系统中被rm、rm -f 掉的文件。
创建一个文件
删除文件
接着运用系统自带工具debugfs来恢复已删除的文件
首先打开,刚刚被删除文件所在的分区
注意上面显示的有<>尖括号内的数字就是我们要找的文件Inode号,执行logdump –i <8654024>
执行完命令后,显示了一屏信息,需要注意的是下面Blocks这一行后面的值(如上信息,需要记住Blocks这一行后面的数字102348)
输入quit,退出debugfs
debugfs: quit
[root@slave-node ~]#
执行如下命令进行恢复:
*后查看tmp目录下,发现已经恢复了我们之前删除的文件内容
备注:还有这个恢复工具ext3grep。
如果是在ext3的文件系统中删除了文件,extundelete和ext3grep比较仍然有一些优点,extundelete分析日志文件后,能够立即恢复一个文件,ext3grep分析整个硬盘才开始恢复硬盘中的文件,ext3grep方法是是有效的从一个小分区恢复多个文件,所以相比而言,如果需要从一个大的分区中恢复文件,extundelete要快些.
三、恢复xfs分区误删数据
xfs用xfs_irecover工具恢复。
http://www.ufsexplorer.com/rdr_xfs.php
以下摘自官网。
------------------------------------------------------------
Q: Does the filesystem have an undelete capability?
There is no undelete in XFS.
However, if an inode is unlinked but neither it nor its associated data blocks get immediately re-used and overwritten, there is some small chance to recover the file from the disk.
photorec, xfs_irecover or xfsr are some tools which attempt to do this, with varying success.
There are also commercial data recovery services and closed source software like Raise Data Recovery for XFS which claims to recover data, although this has not been tested by the XFS developers.
As always, the best advice is to keep good backups.
下一篇:没有了!
**资讯
- 2019-12-27笔记本电脑坏了,如何快速将硬盘里的数据导出到移动硬···
- 2020-01-04郑州金水区西数硬盘固件数据恢复成功
- 2020-01-02荣联数据恢复中心回收苹果iMac碎屏 爆屏 亮线屏 报废···
- 2019-12-26移动硬盘无法识别,自己不会操作怎么办,哪里可以维修
- 2018-04-12误格式化怎么恢复,荣联数据恢复中心来教你
- 2019-12-26希捷1T移动硬盘嘀嘀嘀响就停了 希捷专修移动硬盘数据恢···
- 2018-04-12【图文教程】希捷硬盘如何修复?希捷硬盘修复工具使用
- 2019-12-27电脑插入USB设备后,不显示盘符怎么解决
- 2019-12-26电脑开机硬盘读取不了处理技巧
- 2019-12-26千万别作死!硬盘数据恢复不是随便找个修电脑的就完事···