windows下如果文件被删除还有回收站，如果没放入回收站或者回收站被清空了，还可以使用easyrecover或者finaldata等等很多工具来恢复；
可是linux下没有回收站，那么linux下如果文件被删除了如何恢复呢？如果刚好你删除的文件还在被其它程序调用，那么恭喜你，很轻易的的将删除的文件找回来
我们先手工来删除我们的日志文件/mnt/ramdisk/messages，删除前我们显卡一下这个文件的内容
02 |
Sep 23 13:51:56 test icinga: Icinga 1.7.0 开始... (PID=4692) |
03 |
Sep 23 13:51:56 test icinga: 本地时间 周一 2013年09月23日 13时:51分:56秒 CST |
04 |
Sep 23 13:51:56 test icinga: 日志版本: 2.0 |
05 |
Sep 23 13:51:57 test icinga: https://www.icinga.org) |
07 |
Sep 23 13:51:57 test icinga: |
09 |
Sep 23 13:51:57 test icinga: |
10 |
Sep 23 13:51:57 test icinga: |
11 |
Sep 23 13:51:57 test icinga: |
12 |
Sep 23 13:51:57 test icinga: 完成守护进程... (新 PID=4693) |
13 |
Sep 23 13:51:57 test icinga: Event loop started... |
然后删除这个文件
3 |
ls:/mnt/ramdisk/messages: No such file or directory |
文件已经不存在了
这时候我们通过lsof命令查询一下系统当前的文件打开信息（若没有直接yum instal -y lsof安装即可）
|
|
[
root
@
test
~
]
# lsof |grep message
syslogd
<
span
style
=
"color: #ff0000;"
>
3558
<
/
span
>
root
<
span
style
=
"color: #008000;"
>
2
<
/
span
>
w
REG
0
,
20
79353857
8837
<
span
style
=
"color: #800080;"
>
/
mnt
/
ramdisk
/
messages
(
deleted
)
<
/
span
>
syslogd
3558
root
3w
REG
253
,
0
0
3578692
/
var
/
log
/
messages
(
deleted
)
[
root
@
test
~
]
#
|
看到我们刚才删除的文件 /mnt/ramdisk/messages，并且状态时deleted，目前调用的进程是3558，目录是2
这时候/proc/3558/fd/2就是我们删除的文件/mnt/ramdisk/messages了
拷贝回去并查看内容验证：
03 |
Sep 23 13:51:56 test icinga: Icinga 1.7.0 开始... (PID=4692) |
04 |
Sep 23 13:51:56 test icinga: 本地时间 周一 2013年09月23日 13时:51分:56秒 CST |
05 |
Sep 23 13:51:56 test icinga: 日志版本: 2.0 |
06 |
Sep 23 13:51:57 test icinga: https://www.icinga.org) |
07 |
Sep 23 13:51:57 test icinga: |
08 |
Sep 23 13:51:57 test icinga: |
09 |
Sep 23 13:51:57 test icinga: |
10 |
Sep 23 13:51:57 test icinga: |
11 |
Sep 23 13:51:57 test icinga: 完成守护进程... (新 PID=4693) |
12 |
Sep 23 13:51:57 test icinga: Event loop started... |
文件回来了~~
