extundelete数据恢复

参考http://ixdba.blog.51cto.com/2895551/1566856/

为一名运维人员,保证数据的安全是根本职责,所以在维护系统的时候,要慎之又慎,但是有时难免会出现数据被误删除的情况,在这个时候改如何快速、有效地恢复数据呢?
本文我们就来介绍一下Linux系统下常用的几个数据恢复工具。

如何使用“rm -rf”命令
  在Linux系统下,通过命令“rm -rf”可以将任何数据直接从硬盘删除,并且没有任何提示,同时Linux下也没有与Windows下回收站类似的功能
  也就意味着,数据在删除后通过常规的手段是无法恢复的,因此使用这个命令要非常慎重。在使用rm命令的时候,比较稳妥的方法是把命令参数放到后面,这样有一个提醒的作用。  其实还有一个方法,那就是将要删除的东西通过mv命令移动到系统下的/tmp目录下,然后写个脚本定期执行清除操作,这样做可以在一定程度上降低误删除数据的危险性。
  其实保证数据安全最好的方法是做好备份,虽然备份不是万能的,但是没有备份是万万不行的。任何数据恢复工具都有一定局限性,都不能保证完整地恢复出所有数据,  因此,把备份作为核心,把数据恢复工具作为辅助是运维人员必须坚持的一个准则。

extundelete与ext3grep的异同
  在Linux下,基于开源的数据恢复工具有很多,常见的有debugfs、R-Linux、ext3grep、extundelete等,  比较常用的有ext3grep和extundelete,这两个工具的恢复原理基本一样,只是extundelete功能更加强大,本文重点介绍extundelete的使用。

extundelete的恢复原理
  在利用extundelete恢复文件时并不依赖特定文件格式,首先extundelete会通过文件系统的inode信息(根目录的inode一般为2)来获得当前文件系统下所有文件的信息,  包括存在的和已经删除的文件,这些信息包括文件名和inode。然后利用inode信息结合日志去查询该inode所在的block位置,包括直接块,间接块等信息。  最后利用dd命令将这些信息备份出来,从而恢复数据文件。

安装extundelete

官网http://extundelete.sourceforge.net/

[[email protected] rpm]# yum install e2fsprogs e2fsprogs-devel e2fsprogs-libs -y    安装依赖包
[[email protected] tools]# tar jxvf extundelete-0.2.4.tar.bz2
[[email protected] tools]# cd extundelete-0.2.4
[[email protected] extundelete-0.2.4]# ./configure
[[email protected] extundelete-0.2.4]# make
[[email protected] extundelete-0.2.4]# make install 

[[email protected] extundelete-0.2.4]# extundelete --help
Usage: extundelete [options] [--] device-file
Options:
  --version, -[vV]       显示版本号
  --help,                显示软件帮助信息
  --superblock           显示超级快信息--journal              显示日志信息
  --after dtime          时间参数,表示在某段时间之后被删的文件或目录。
  --before dtime         时间参数,表示在某段时间之前被删的文件或目录。
Actions:
  --inode ino            显示节点 ‘ino‘的信息--block blk            显示节点 ‘blk‘的信息--restore-inode ino[,ino,...]  恢复命令参数,表示恢复节点“ino”的文件,恢复的文件会自动放在当前目录下的RESTORED_FILES文件夹中,使用节点编号作为扩展名。                        --restore-file ‘path‘  恢复命令参数,表示将恢复指定路径的文件,并把恢复的文件放在当前目录下的RECOVERED_FILES目录中。                         --restore-files ‘path‘ 恢复命令参数,表示将恢复在路径中已列出的所有文件。Each filename should be in the same format as an option to --restore-file, and there should be one per line.--restore-directory ‘path‘
                         Will restore directory ‘path‘. ‘path‘ is relative to the root directory of the file system.  The restored
                         directory is created in the output directory as ‘path‘.
  --restore-all          恢复命令参数,表示将尝试恢复所有目录和文件。
  -j journal             表示从已经命名的文件中读取扩展日志。
  -b blocknumber         表示使用之前备份的超级块来打开文件系统,一般用于查看现有超级块是不是当前所要的文件。-B blocksize           表示使用数据块大小来打开文件系统,一般用于查看已经知道大小的文件。

  --log 0                Make the program silent.
  --log filename         Logs all messages to filename.
--log D1=0,D2=filename   Custom control of log messages with comma-separated
   Examples below:       list of options.  Dn must be one of info, warn, or
   --log info,error      error.  Omission of the ‘=name‘ results in messages
   --log warn=0          with the specified level to be logged to the console.
   --log error=filename  If the parameter is ‘=0‘, logging for the specified
                         level will be turned off.  If the parameter is
                         ‘=filename‘, messages with that level will be written
                         to filename.
   -o directory          Save the recovered files to the named directory.
                         The restored files are created in a directory
                         named ‘RECOVERED_FILES/‘ by default.

实践使用extundlete恢复数据

在数据被误删除后
第一时间要做的是卸载被删除数据所在的磁盘或磁盘分区,如果是系统根分区的数据遭到误删除,就需要将系统进入单用户,并且将根分区以只读模式挂载。mount -o remoun,ro /这样做的原因很简单,因为将文件删除后,仅仅是将文件的inode结点中的扇区指针清零,实际文件还存储在磁盘上,如果磁盘以读写模式挂载,这些已删除的文件的数据块就可能被操作系统重新分配出去,在这些数据块被新的数据覆盖后,这些数据就真的丢失了,恢复工具也回力无天。所以,以只读模式挂载磁盘可以尽量降低数据块中数据被覆盖的风险,以提高恢复数据成功的比率。
1、创建模拟数据[[email protected] data]# tree  .  |-- imagick-2.3.0.tgz|-- inotify-tools-3.13.tar.gz|-- ipython-1.2.1.tar.gz|-- lost+found`-- rpm    |-- httpd-2.2.23.tar.gz    |-- httpd-2.2.31.tar.gz    |-- ImageMagick-6.7.9-9.tar.xz    |-- ImageMagick-6.9.6-2.tar.gz    `-- passwd[[email protected] data]# rm -rf /data/*

2.卸载磁盘分区在将数据误删除后,立刻需要做的就是卸载这块磁盘分区:[[email protected] /]# umount /data

3.查询可恢复的数据信息[[email protected] /]# extundelete  /dev/sda5  --inode 2  #显示/dev/sda4分区的文件信息(2为根分区inode值)NOTICE: Extended attributes are not restored.Loading filesystem metadata ... 39 groups loaded.Group: 0Contents of inode 2:0000 | ed 41 00 00 00 04 00 00 27 3e fb 58 cd 3d fb 58 | .A......‘>.X.=.X0010 | cd 3d fb 58 00 00 00 00 00 00 02 00 02 00 00 00 | .=.X............0020 | 00 00 00 00 00 00 00 00 01 02 00 00 00 00 00 00 | ................0030 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................0040 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................0050 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................0060 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................0070 | 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 | ................

Inode is AllocatedFile mode: 16877Low 16 bits of Owner Uid: 0Size in bytes: 1024Access time: 1492860455Creation time: 1492860365Modification time: 1492860365Deletion Time: 0Low 16 bits of Group Id: 0Links count: 2Blocks count: 2File flags: 0File version (for NFS): 0File ACL: 0Directory ACL: 0Fragment address: 0Direct blocks: 513, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0Indirect block: 0Double indirect block: 0Triple indirect block: 0

File name                                       | Inode number | Deleted status.                                                 2..                                                2lost+found                                        11             Deletedhttpd-2.2.23.tar.gz                               12             Deletedhttpd-2.2.31.tar.gz                               13             DeletedImageMagick-6.7.9-9.tar.xz                        6025           DeletedImageMagick-6.9.6-2.tar.gz                        10041          Deletedimagick-2.3.0.tgz                                 18073          Deletedinotify-tools-3.13.tar.gz                         18074          Deletedipython-1.2.1.tar.gz                              18075          Deletedrpm                                               60241          Deleted根据上面的输出,标记为Deleted状态的是已经删除的文件或目录。同时还可以看到每个已删除文件的inode值,接下来就可以恢复文件了。

恢复方法:方法一:通过inode号进行恢复    [[email protected] /]# extundelete /dev/sda5 --restore-inode inode号方法二:通过文件名进行恢复      [[email protected] /]# extundelete /dev/sda5 --restore-file  文件名方法三:通过目录进行恢复        [[email protected] /]# extundelete /dev/sda5 --restore-directory  目录        方法四:恢复所有文件           [[email protected] /]# extundelete /dev/sda5 --restore-all  恢复所有方法五:加时间参数  --after dtime  --before dtime         参数后面跟的时间是个总秒数。起算时间为“1970-01-01 00:00:00 UTC”,通过“date +%s”命令即可将当前时间转换为总秒数,        如果恢复的是一个小时之内的数据,在“date +%s”上减去3600

[[email protected] home]# extundelete /dev/sda5 --restore-inode 12          [[email protected] home]# ls -l RECOVERED_FILES/file.12 -rw-r--r-- 1 root root 7374712 Apr 22 19:46 RECOVERED_FILES/file.12

[[email protected] home]# extundelete /dev/sda5 --restore-file httpd-2.2.31.tar.gz[[email protected] home]# ls RECOVERED_FILES/file.12  httpd-2.2.31.tar.gz

[[email protected] home]# extundelete /dev/sda5 --restore-directory rpm         [[email protected] home]# ls RECOVERED_FILES/file.12  httpd-2.2.31.tar.gz  rpm

[[email protected] home]# rm -rf RECOVERED_FILES/[[email protected] home]# extundelete /dev/sda5 --restore-all[[email protected] home]# ls RECOVERED_FILES/httpd-2.2.23.tar.gz  ImageMagick-6.7.9-9.tar.xz  imagick-2.3.0.tgz          ipython-1.2.1.tar.gzhttpd-2.2.31.tar.gz  ImageMagick-6.9.6-2.tar.gz  inotify-tools-3.13.tar.gz  rpm
时间: 2024-10-24 19:28:10

extundelete数据恢复的相关文章

extundelete数据恢复实战!!!

项目背景: 你误删掉了公司重要的数据,老板说:你妹的!快点给我找回来  还补充了一句:我没钱!!! 试验环境: vmware workstation 11 服务器:centos6.5  ip:192.168.0.53 extundelete-0.2.4.tar.bz2 SecureCRT (ssh远程连接软件) 实验过程: 一.软件安装 1:软件依赖的环境安装: [[email protected] ~]# yum install -y e2fsprogs e2fsprogs-libs e2fs

恢复ECS误删数据的最佳实践

1.1 背景知识 Linux删除说明 在 Linux 系统下,通过命令 rm -rf 可以将任何数据直接从硬盘删除,并且没有任何提示,同时 Linux 下也没有与 Windows 下回收站类似的功能,也就意味着,数据在删除后通过常规的手段是无法恢复的,因此使用这个命令要非常慎重.在使用 rm 命令的时候,比较稳妥的方法是: 1)把命令参数放到后面,这样有一个提醒的作用. 2)将要删除的东西通过 mv 命令移动到系统下的 /tmp 目录下,然后写个脚本定期执行清除操作 如上做法可以在一定程度上降低

Linux下高效数据恢复软件extundelete应用实战

作为一名运维人员,保证数据的安全是根本职责,所以在维护系统的时候,要慎之又慎,但是有时难免会出现数据被误删除的情况,在这个时候改如何快速.有效地恢复数据呢?本文我们就来介绍一下Linux系统下常用的几个数据恢复工具. 一.如何使用“rm -rf”命令 在Linux系统下,通过命令“rm -rf”可以将任何数据直接从硬盘删除,并且没有任何提示,同时Linux下也没有与Windows下回收站类似的功能,也就意味着,数据在删除后通过常规的手段是无法恢复的,因此使用这个命令要非常慎重.在使用rm命令的时

数据恢复软件Extundelete

数据恢复软件Extundelete介绍 一.概述 作为一名运维人员,保证数据的安全是根本职责,所以在维护系统的时候,要慎重和细心,但是有时也难免发生出现数据被误删除的情况,这个时候该如何快速.有效地恢复数据呢? 1.1.如何使用rm –rf命令 在Linux系统下,通过 rm –rf 可以将如何数据直接从硬盘删除,并且没有任何提示,同时Linux下也没有与Windows下回收站的功能,也就意味着,数据在删除后通过常规的手段是无法恢复的,因此使用这个命令要非常慎重,在使用rm命令的的时候,比较稳妥

【extundelete】Linux数据恢复软件

在Linux系统中,常见的数据恢复工具有extundelete.ext3grep.debugfs和R-Linux等. extundelete可以恢复Linux下的ext3.ext4文件系统下被误删的文件,支持单个文件.单个目录.indeo.block和完整磁盘的恢复等. 一.安装extundelete 1.下载extundelete wget https://sourceforge.net/project/platformdownload.php?group_id=260221 2.安装依赖软件

数据恢复软件extundelete介绍

作为一名运维人员,保证数据的安全是根本职责,所以在维护系统的时候,要慎之又慎,但是有时难免会出现数据被误删除的情况,在这个时候改如何快速.有效地恢复数据呢?本文我们就来介绍一下Linux系统下常用的几个数据恢复工具. 一.如何使用“rm -rf”命令 在Linux系统下,通过命令“rm -rf”可以将任何数据直接从硬盘删除,并且没有任何提示,同时Linux下也没有与Windows下回收站类似的功能,也就意味着,数据在删除后通过常规的手段是无法恢复的,因此使用这个命令要非常慎重.在使用rm命令的时

数据恢复软Extundelete介绍

一.概述 作为一名运维人员,保证数据的安全是根本职责,所以在维护系统的时候,要慎重和细心,但是有时也难免发生出现数据被误删除的情况,这个时候该如何快速.有效地恢复数据呢? 1.1.如何使用rm –rf命令 在Linux系统下,通过 rm –rf 可以将如何数据直接从硬盘删除,并且没有任何提示,同时Linux下也没有与Windows下回收站的功能,也就意味着,数据在删除后通过常规的手段是无法恢复的,因此使用这个命令要非常慎重,在使用rm命令的的时候,比较稳妥的方法就是命令参数放到后面,这样有一个提

数据恢复工具--extundelete的安装与使用

1.extundelete的恢复原理 extundelete恢复文件时并不依赖特定文件格式,首先extundelete会通过文件系统的inode信息,来获得当前文件系统下所有文件的信息,包括存在的和已经删除的文件,这些信息包括文件名和inode.然后利用inode信息结合日志去查询该inode所在的block位置,包括直接块,间接块等信息.最后利用dd命令将这些信息备份出来,从而恢复数据文件. 2.extundelete的安装 环境:redhat6.5 extundelete官方地址:https

Linux平台ext4magic数据恢复软件

针对于ext4文件系统数据恢复软件,看了网上好多都在介绍extundelete这个工具,下载最新版本实验时(在Centos5.8.Centos6.7上实验效果不是很好).最终发现ext4magic对于ext4数据恢复支持还是非常强大的.也可以做到基于时间点.inode.指定文件恢复等等.恢复时需要卸载分区,以只读方式挂载恢复.具体软件下载地址为: http://sourceforge.net/projects/ext4magic/ 1.安装 可以参考官方INSTALL文件进行安装,如有依赖需处理