Linux文件误删恢复指南

本篇文章主要是结合我之前面试的各种经历和实战开发中遇到的问题解决经验整理的，希望这篇《Linux误删文件恢复方法详解》对你有很大帮助！欢迎收藏，分享给更多的需要的朋友学习~

误删文件后应立即停止写入操作，优先尝试使用extundelete恢复ext3/4文件；2. 可通过debugfs查找已删除inode并导出数据；3. photorec支持多文件系统深度扫描，适用于复杂恢复场景；4. 若文件仍被进程占用，可用lsof定位并从/proc/PID/fd复制句柄内容。

如果您在操作Linux系统时误用了rm命令删除了重要文件，系统不会像回收站那样保留已删除的文件，因此需要立即采取措施尝试恢复。由于文件系统在删除文件后通常只是标记inode为可用，并未立即覆盖数据，因此在数据被覆盖前仍有可能恢复。

本文运行环境：Dell XPS 13，Ubuntu 22.04

一、使用extundelete工具恢复ext3/ext4文件

extundelete是一个专门用于恢复ext3和ext4文件系统中已删除文件的开源工具，它通过读取文件系统的journal日志来还原被rm删除的文件。

1、打开终端，安装extundelete工具：sudo apt install extundelete。

2、确认被删除文件所在的分区，通常为根分区/dev/sda1或home分区，可通过df -h查看挂载点。

3、执行恢复命令：sudo extundelete /dev/sda1 --restore-all，其中/dev/sda1替换为实际分区。

4、恢复的文件将保存在当前目录下的RECOVERED_FILES文件夹中，请及时转移。

二、利用debugfs从ext文件系统中提取数据

debugfs是ext2/3/4文件系统的调试工具，可以手动查找并导出已被删除但尚未被覆盖的inode数据。

1、以只读方式挂载目标分区，避免写入新数据：sudo mount -o remount,ro /。

2、启动debugfs并进入交互模式：sudo debugfs /dev/sda1。

3、在debugfs提示符下输入lsdel命令，列出所有可恢复的已删除inode。

4、找到目标文件的inode号后，使用命令dump /path/to/save/file将其导出到其他存储设备。

5、完成操作后键入quit退出debugfs。

三、使用photorec进行深度数据恢复

photorec是TestDisk套件的一部分，支持多种文件系统和文件类型，通过扫描磁盘原始数据块来恢复丢失的文件，适用于ext、NTFS、FAT等格式。

1、安装testdisk包：sudo apt install testdisk。

2、运行photorec：sudo photorec，进入图形化文本界面。

3、选择要扫描的磁盘和分区，注意不要选错设备。

4、选择文件系统类型（若不确定可选“其他”），然后选择“自由空间扫描”或“整个分区扫描”。

5、指定输出目录（必须位于其他磁盘或分区），开始扫描并恢复匹配的文件。

6、恢复完成后检查输出目录中的文件内容是否完整。

四、通过lsof找回仍被进程占用的已删文件

如果被rm删除的文件仍被某个进程打开，其文件内容依然保留在内存中，可以通过lsof查出句柄并重新导出。

1、立即执行lsof | grep deleted，查找处于deleted状态但仍被打开的文件。

2、记录对应进程PID和文件描述符（如fd 3r）。

3、进入/proc/PID/fd目录，例如：cd /proc/1234/fd。

4、使用cp或dd命令复制文件描述符指向的内容到安全位置：cp 3 /recovery/recovered_file。

5、通知相关进程关闭句柄或重启服务以释放资源。

今天关于《Linux文件误删恢复指南》的内容介绍就到此结束，如果有什么疑问或者建议，可以在golang学习网公众号下多多回复交流；文中若有不正之处，也希望回复留言以告知！