一种文件恢复技巧

使用条件：

系统中有进程一直在访问这个文件。

特别利于：日志文件和数据库

原因：

1. 伪删除机制，文件数据还在，但是目录的索引被删除了。
2. 此时，在访问的程序并不知道文件被删，所以句柄（指向文件的标识）依然存在。
3. 于是，我们就可以通过lsof命令找出这个句柄，通过它找到错删的文件内容。

详细用法：

打个比方，由于误操作将/var/log/messages文件删除掉了，那么这时要将/var/log/messages文件恢复的方法如下：

首先使用lsof来查看当前是否有进程打开/var/logmessages文件，如下：

从上面的信息可以看到 PID 1283（syslogd）打开文件的文件描述符为 2。同时还可以看到/var/log/messages已经标记被删除了。因此我们可以在 /proc/1283/fd/2 （fd下的每个以数字命名的文件表示进程对应的文件描述符）中查看相应的信息，如下：

从上面的信息可以看出，查看 /proc/1283/fd/2 就可以得到所要恢复的数据。如果可以通过文件描述符查看相应的数据，那么就可以使用 I/O 重定向将其复制到文件中，如:

cat /proc/1283/fd/2 > /var/log/messages

对于许多应用程序，尤其是日志文件和数据库，这种恢复删除文件的方法非常有用。

用法部分摘自 <http://blog.csdn.net/guoguo1980/article/details/2324454>

转载请注明：旅途@KryptosX » 一种文件恢复技巧