在 linux 解救 rm 的檔案 (ext3grep)

有時後會不小心 rm 掉檔案. 那時候就會很懊悔沒有備份. 想要怎麼 undelete 那個檔案呢？後來找到一個 ext3grep 工具. 可以把檔案還原.

首先，先把檔案系統反掛載 umount 那個磁區 partition 這很重要！以免把檔案覆蓋過去。最好是紀錄下來檔案的路徑與檔名後比較容易還原

可以先認真的把這篇文章看完：HOWTO recover deleted files on an ext3 file system我很懶惰沒看就先亂測試. 下面是我還原的筆記：

在 redhat 系統可以到 DAG packages for Red Hat Linux el6 x86_64找 ext3grep 安裝. ubuntu 直接在 software center 就可以安裝. 先假設你們安裝好了

假設知道要還原哪個路徑下的檔案名稱，可以用下列指令：

# ext3grep /dev/sdbX –restore-file home/sandbox/sand1.txt

Running ext3grep version 0.10.1
WARNING: I don't know what EXT3_FEATURE_COMPAT_EXT_ATTR is.
Number of groups: 13
Minimum / maximum journal block: 49402 / 53515
Loading journal descriptors... sorting... done
The oldest inode block that is still in the journal, appears to be from 1394695427 = Thu Mar 13 15:23:47 2014
Number of descriptors in journal: 690; min / max sequence numbers: 7 / 47
Writing output to directory RESTORED_FILES/
Loading sdbX.ext3grep.stage2... done
Restoring home/sandbox/sand1.txt

就會把你要還原的檔案還原到 RESTORED_FILES 目錄內
注意上面的指令 home 前面沒有 / 因為目前那個 partition 是掛載在 / 所以前面不用寫 /

如果不記得檔名 可以用下列指令列出 該 partition 的根目錄.

# ext3grep /dev/sdbX –inode 2

在列表過程會產生下列兩個檔案：sdbX.ext3grep.stage1, sdbX.ext3grep.stage2

再進去 sdb1.ext3grep.stage2 檔案尋找你要還原目錄的 inode

# Stage 2 data for /dev/sdb1.
# Inodes path and directory blocks.
# INODE PATH BLOCK [BLOCK ...]
2 '' 508
11 'lost+found' 509
3953 'home' 17921
3954 'home/sandbox' 18433

例如我要列表 home/sandbox 的檔案我就把在 sdb1.ext3grep.stage2 檔案找到的 inode 3954 傳遞到下列指令：

# ext3grep /dev/sdbX –ls –inode 3954

Running ext3grep version 0.10.1
WARNING: I don't know what EXT3_FEATURE_COMPAT_EXT_ATTR is.
Number of groups: 13
Minimum / maximum journal block: 49402 / 53515
Loading journal descriptors... sorting... done
The oldest inode block that is still in the journal, appears to be from 1394695427 = Thu Mar 13 15:23:47 2014
Number of descriptors in journal: 690; min / max sequence numbers: 7 / 47
Inode is Allocated
Loading sdbX.ext3grep.stage2... done
The first block of the directory is 18433.
Inode 3954 is directory "home/sandbox".
Directory block 18433:
          .-- File type in dir_entry (r=regular file, d=directory, l=symlink)
          |          .-- D: Deleted ; R: Reallocated
Indx Next |  Inode   | Deletion time                        Mode        File name
==========+==========+----------------data-from-inode------+-----------+=========
   0    1 d    3954                                         drwxr-xr-x  .
   1    2 d    3953                                         drwxr-xr-x  ..
   2    3 d    3955                                         drwxr-xr-x  Desktop
   3    4 d    3956                                         drwxr-xr-x  Documents
   4    5 d    3957                                         drwxr-xr-x  Downloads
   5  end d    5929                                         drwxrwxr-x  sandbox
   6    7 r    4520  D 1394766080 Fri Mar 14 11:01:20 2014  rrw-------  .sand4.txt.swp
   7    8 r    4521  D 1394766092 Fri Mar 14 11:01:32 2014  rrw-rw-r--  sand1.txt
   8    9 r    4522  D 1394766094 Fri Mar 14 11:01:34 2014  rrw-rw-r--  sand2.txt
   9   10 r    4523  D 1394766096 Fri Mar 14 11:01:36 2014  rrw-rw-r--  sand3.txt
  10  end r    4524  D 1394766098 Fri Mar 14 11:01:38 2014  rrw-rw-r--  sand4.txt

這樣我就得到該目錄的檔案列表,也就可以用前面的指令針對檔案進行還原

或是直接透過 inode 還原也可以, 如果我要還原 sand1.txt 就把 4521 傳遞到下列指令：

ext3grep /dev/sdb1 –restore-inode 4521

這樣就還原那個檔案 只是檔名會變成 inode.4521 再自行更改名稱即可

最後懶人解法, 全部還原的大絕招, 前提示還原的磁碟要有辦法接收要還原的資料空間：

# ext3grep /dev/sdb1 –restore-all