Linux下删除命令 rm 大家肯定是熟悉得不能再熟悉了，然后有时候却阴沟里翻船不小心删除了某些重要的文件，想死的心都有了。。。。现在我们就来看看被误删除的文件要如何恢复？
Linux文件系统
Linux的文件系统(如ext3、ext4)由三部分组成：inode，data block，super block。Super block：记录此文件系统的整体信息，包括inode/block的总量、使用量、剩余量，以及文件系统的格式和相关信息；
inode：记录 文件的属性，一个文件占用一个inode，同时记录此文件的数据所在的block号码；
block：实际记录文件的内容，如果文件比较大，会占用多个block；
每个inode和block都有编号，而每个文件都占用一个inode，inode内则有文件数据对应的block号码。因此，如果找到了文件的inode，自然就可以读取到文件的数据内容了。
当我们将一个文件删除时，Linux并非真实地删除磁盘里的数据，而是将文件的inode节点对于对应的扇区指针清除，同时释放这些数据对应的block，只有但这些block被系统重新分配时，那些被删除的数据才会被覆盖，最终无法恢复。
因为当我们误删数据时，应立刻卸载所在的文件系统，然后进行恢复。
Default
$ umount /dev/partition
$ mount -o remount,ro /dev/partition
1
2$umount/dev/partition
$mount-oremount,ro/dev/partition
grep
通过grep命令我们可以简单地进行文件恢复：
Default
grep -a -B 50 -A 60 'some string in the file' /dev/sda1 > results.txt
1grep-a-B50-A60'some string in the file'/dev/sda1>results.txt
说明：
Default
-a：把二进制文件当作文本文件
-A,-B：字符串的后几行和前几行
1
2-a：把二进制文件当作文本文件
-A,-B：字符串的后几行和前几行
不过grep命令比较麻烦的是，必须记得文件中的部分内容，而且如果有相同的其它文件也会被输出到result.txt，结果比较混乱；同时，由于是整个分区扫描，时间会比较漫长。
debugfs & extundelete
首先，我们先创建一个文件，然后将其删除：
Default
$ cat /proc/cpuinfo > /tmp/testrm.txt
$ rm /tmp/testrm.txt
1
2$cat/proc/cpuinfo>/tmp/testrm.txt
$rm/tmp/testrm.txt
使用系统自带的 debugfs 命令：
Default
$ sudo debugfs
debugfs: open /dev/sda2
debugfs: ls -d /tmp
1
2
3$sudodebugfs
debugfs:open/dev/sda2
debugfs:ls-d/tmp
可以看到被删除的文件testrm.txt，其中的<657573>就是文件的inode编号：
Default
……
<657573> (92) testrm.txt
……
1
2
3……
<657573>(92)testrm.txt
……
使用extundelete进行恢复：
Default
$ extundelete /dev/sda2 --restore-inode 657573
1$extundelete/dev/sda2--restore-inode657573
然后我们就可以在当前目录下的RECOVERED_FILES 目录看到恢复的文件了
Default
$ ls -al RECOVERED_FILES
-rw-r--r-- 1 root root 4.0K 7月 3 15:01 file.657573
1
2$ls-alRECOVERED_FILES
-rw-r--r--1rootroot4.0K7月315:01file.657573
