当前位置：首页>Linux>Linux 文件误删恢复|基础恢复工具篇(上)

Linux 文件误删恢复|基础恢复工具篇(上)

  • 2026-10-11 08:15:47
Linux 文件误删恢复|基础恢复工具篇(上)

在 Linux 的使用中，rm -rf 带来的文件误删，是最高频也最棘手的 “灾难现场”。很多人只把它当作高效清理工具，却鲜少了解文件删除后的真实状态，更不知道如何用专业工具挽回数据。本文是 Linux 数据安全系列的基础篇（上），我们将聚焦 extundelete 这款 ext3/ext4 文件系统的专用恢复工具，从它的工作原理、安装方法到完整实战恢复流程，带你从零掌握一款可落地的误删文件恢复方案，为你建立第一道数据安全应急防线。

01
extundelete 工作原理

extundelete 是专门针对 ext3/ext4 文件系统的恢复工具，通过分析文件系统日志和inode表来恢复删除的文件。

✅安装步骤：（以下提供三种安装方式，可任选其一操作）

# CentOS/RHEL 系列（通过包管理器安装）sudo dnf install extundelete -y
# Ubuntu/Debian 系列（通过包管理器安装）sudo apt updatesudo apt install extundelete -y
# 源码编译安装（推荐，版本最新）cd /tmp# 下载源码包（如果链接失效，可以去 SourceForge 官网找最新地址）wget https://nchc.dl.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar.bz2# 解压源码包tar xjf extundelete-0.2.4.tar.bz2# 进入源码目录cd extundelete-0.2.4# 配置编译环境（需要提前安装依赖包）./configure# 编译并安装make && sudo make install# 验证安装是否成功extundelete --version

✅验证安装：

# 验证安装是否成功extundelete --version

✅输出结果：

02
extundelete 恢复原理详解

extundelete 的恢复依赖于 ext4 文件系统的以下特性：

日志机制：ext4 采用日志文件系统（journal），删除操作会记录到日志中。extundelete 通过重放日志条目来还原删除信息。

inode 缓存：文件删除时，inode 不会立即被回收。extundelete 扫描 inode table，找到标记为"已删除"但数据块尚未覆写的 inode。

✅查看文件系统的块组信息（理解 inode 分布）
dumpe2fs -h /tmp/testdisk.img | grep -E "Block size|Inode size|Inode count|Block count"

输出结果：

数据块寻址：

ext4 文件系统通过多级索引方式管理文件数据块，inode 中存储了指向数据块的多级指针，结构如下：

# ext4 数据块寻址结构（严谨版，基于默认 4KB 块大小）# inode 中存储：# - 12 个直接块指针（每个直接指向一个 4KB 数据块）# - 1 个一级间接块指针# - 1 个二级间接块指针# - 1 个三级间接块指针# 单文件最大可寻址数据量计算（默认块大小 4KB，索引块可存储 1024 个地址指针）：# 直接块：12 * 4KB = 48KB# 一级间接：1024 × 4KB = 4MB# 二级间接：1024² × 4KB = 4GB# 三级间接：1024³ × 4KB = 4TB# 理论最大文件：4TB + 4GB + 4MB + 48KB
03
实战：extundelete 恢复 ext4 分区文件

实验环境准备：

✅创建测试分区（生产环境切勿在生产盘操作！）

# 1.创建一个 100MB 的空镜像文件（用于模拟磁盘）dd if=/dev/zero of=/tmp/testdisk.img bs=1M count=100# 2.为镜像文件创建 ext4 文件系统（格式化）mkfs.ext4 -F /tmp/testdisk.img# 3.创建挂载目录，作为镜像文件的挂载点mkdir -p /mnt/testmount# 4.将镜像文件以 loop 设备的方式挂载到指定目录mount -o loop /tmp/testdisk.img /mnt/testmount
输出结果：

✅创建测试数据

# 1.递归创建目录，不存在则新建，已存在不报错mkdir -p /mnt/testmount/data# 2.写入配置文件 config.yamlecho "这是重要的配置文件" | sudo tee /mnt/testmount/data/config.yaml# 3.写入数据库密码配置文件 db.confecho "数据库密码: MySecretPass123" | sudo tee /mnt/testmount/data/db.conf# 4.写入业务数据文件 business.jsonecho "业务数据文件内容" | sudo tee /mnt/testmount/data/business.json# 5.查看目录下所有文件详细属性ls -la /mnt/testmount/data/
输出结果：
模拟误删场景：

✅误删挂载目录下的所有文件

rm -rf /mnt/testmount/data/*echo "文件已误删"

输出结果：

✅立即卸载分区

目的：阻止新数据写入，避免覆盖已删除文件的磁盘数据块，保证数据可恢复。

umount /mnt/testmount

输出结果：

执行恢复操作：

✅查看可恢复的 inode 信息

extundelete /tmp/testdisk.img --inode 2
输出结果：

✅恢复整个目录

补充说明：--restore-all 默认会在当前执行命令的目录下生成 RECOVERED_FILES 文件夹，所有恢复的文件都在这里。

extundelete /tmp/testdisk.img --restore-all

输出结果：

✅查看恢复结果
ls -la RECOVERED_FILES/  

输出结果：

恢复结果验证：
为了直观验证文件是否成功恢复，分别查看删除前、删除后、恢复后的文件状态：
✅删除前（原文件状态）。文件删除前，文件在原目录下正常存在，内容可正常读取：
cat /mnt/testmount/data/config.yamlcat /mnt/testmount/data/db.confcat /mnt/testmount/data/business.json

输出结果：

✅删除后（原目录状态）。文件被删除后，原目录中已无法找到该文件，无法读取内容：

cat /mnt/testmount/data/config.yamlcat /mnt/testmount/data/db.confcat /mnt/testmount/data/business.json

输出结果：

✅恢复后（RECOVERED_FILES 目录）。从 RECOVERED_FILES 目录中读取恢复后的文件内容，与删除前的原文件内容完全一致：

cat RECOVERED_FILES/file.13cat RECOVERED_FILES/file.14cat RECOVERED_FILES/file.15

输出结果：

综上，本次误删文件已成功恢复。文件内容完整无误，恢复结果符合预期。通过本次操作可验证，extundelete 工具对误删文件具备良好的恢复效果。

END
○内蒙古大学物理科学与技术学院教授李锋钰、博士生导师王磊等拓扑性质和超导电性共存的二维硼化钾化合物
○ 宁波东方理工大学理学部副教授周通、香港理工大学应用物理系助理教授杨明等地核压力下潜在的Xe₃CO₂化合物
○ 燕山大学理学院教授杨国春、江苏科技大学理学院博士娄焕BSi₅单层结构具有与氢覆盖率几乎无关的优异析氢反应活性
本文来自网友投稿或网络内容，如有侵犯您的权益请联系我们删除，联系邮箱：596563534@qq.com 。

南通上元二级Python暑假培训#二级Python备考攻略

【已复现】漏洞预警 | Linux内核本地提权漏洞 Dirty Frag

最新文章

随机文章