ext3文件系统反删除利器ext3grep应用实战

推荐：10年技术力作：《高性能Linuxserver构建实战Ⅱ》全网发行，附试读章节和全书实例源代码下载！

一、“rm –rf”带来的困惑

国外一份非常著名的Linux系统管理员守则中有这么一条“慎用 rm –rf 命令，除非你知道此命令将带来什么后果”，可见。这个命令对系统管理员的重要性。在实际的工作中。由此命令带来的误删除数据案例屡见不鲜，非常多系统管理员都遇到过或者犯过这种错误。

因为开发者对命令的不熟悉。或者粗心大意、疏于管理。运行了此命令。数据在一瞬间就被清空了。Linux不具备类似回收站的功能，这就意味着数据丢失。尽管Linux自身提供了恢复数据的机制，可是这个功能基本没用，要恢复数据，通过常规手段是无法完毕的，此时，仅仅有找专业的数据恢复公司来恢复数据，这样无疑要付出非常大的成本和费用，造成无法估量的的损失。

可见，作为系统管理员。一定要有数据安全意识，数据保护意识，严格遵守相关维护守则，将这样的失误带来的损失减少到最低。幸运的是，Linux下提供了一款开源软件恢复误删的数据，利用这个ext3文件系统数据恢复工具ext3grep能够恢复误删除的数据。

二、 ext3grep的安装与使用

ext3grep是一个开源的ext3文件系统反删除工具，在ext3grep出现之前。数据被删除后。通过常规手段恢复基本是不可能的，尽管debugfs命令能够对ext2文件系统做一些恢复，可是对ext3文件系统就无能为力了。ext3是一个日志型文件系统，ext3grep正是通过分析ext3文件系统的日志信息来恢复被删除的文件和数据的。

操作系统环境：CentOS release 6.4。

ext3grep版本号：ext3grep-0.10.1。

ext3grep官方站点：http://code.google.com/p/ext3grep/，能够从这里下载最新的ext3grep版本号。这里下载的是ext3grep-0.10.1.tar.gz。

所需的系统相关包：

系统必需要安装e2fsprogs-libs，不然后面ext3grep的安装会出现故障。

以下进入编译安装阶段，步骤例如以下：

这样，ext3grep就安装完毕了，默认的ext3grep命令放在/usr/local/bin文件夹下。ext3grep的使用很easy，这里不做介绍，能够通过“ext3grep  --help”获取具体的使用帮助。

三、通过ext3grep恢复误删除的文件与文件夹

1、数据恢复准则

当发现某个分区的数据被误删除后，要做的第一件事是立马卸载被误删除文件所在的分区，或者又一次以仅仅读方式挂载此分区。

这么做的原因事实上非常easy：删除一个文件，就是中文件inode节点中的扇区指针清除。同一时候，释放这些数据相应的数据块，而真实的文件还存留在磁盘分区中，可是这些被删除的文件不一定会一直存留在磁盘中，当这些释放的数据块被操作系统又一次分配时，那些被删除的数据就会被覆盖，因此。在数据误删除后。立即卸载文件所在分区能够减少数据块中数据被覆盖的风险，进而提高成功恢复数据的机率。

2、实战ext3grep恢复文件

（1）．模拟数据误删除环境

以下通过一个模拟环境，具体介绍利用ext3grep恢复数据文件的过程。

运行该命令后。ext3grep就開始搜索能够恢复的数据文件信息，输出下图所看到的。

“ext3grep  /mydata/disk1  --ls --inode 2”主要用于扫描当前文件系统下全部文件的信息，包含存在的和已经删除的文件，当中含有D标识的就是已被删除的文件。假设不记得被删除的文件的名称，能够通过这样的方式来获取要恢复的文件的名称。

通过以下的方式能够获取文件要恢复的路径信息。

（4）．恢复单个文件

假设要恢复被删除的某个文件。通过以下方式就可以。

由上面的输出可知，被删除的文件ext3grep.txt已经成功恢复。那么恢复的数据放到哪里了呢？在这段操作中，在/opt文件夹下运行ext3grep命令，恢复的数据文件就存放在/opt/ RESTORED_FILES文件夹下，也就是说ext3grep会在运行恢复命令的当前文件夹下自己主动创建一个RESTORED_FILES文件夹。这个文件夹专门用于存放恢复的数据。

以下是恢复指定文件夹下的某个文件的操作：

这里要注意的是，“--restore-file”后面指定的是恢复文件路径。这个路径应该是文件的相对路径。这里的相对路径指的是相对指定设备的路径。比方，设备/mydata/disk1的挂载点是/disk，而ext3grep.txt文件就在/disk文件夹下，因此直接指定文件名称就能够了。假设要恢复/disk/ext3grep/hosts文件。那么指定的參数应该是“ext3grep/hosts”。也就是上面代码中所指定的形式。

通过“--restore-inode”參数，仅仅需指定文件相应的inode值就可以恢复文件，操作例如以下，当中inode值为12的是profile文件：

以下是进入RESTORED_FILES文件夹，验证文件是否成功恢复：

依据校验结果可知，这个校验码与文件被删除之前的校验码全然一致，因此，通过这个方式恢复出来的文件是完整的。

（5）．恢复全部已删除数据

当须要恢复的文件较少时，通过前面介绍的指定文件的方式进行逐个恢复是可行的，可是假设要恢复非常多个文件，如1000个以上。还採取逐个指定的方式，效率是非常低下的，此时就要利用ext3grep命令的“--restore-all”參数了。详细操作例如以下：

依据这个输出可知，“--restore-all”參数将指定存储设备中能够恢复的文件都恢复出来并放到了RESTORED_FILES文件夹中。

“--restore-all”參数对恢复大量数据文件是很实用的。