一、背景

突發(fā)事件，應(yīng)用上傳的數(shù)據(jù)被程序自動(dòng)刪掉了，可悲的是還沒有數(shù)據(jù)備份，數(shù)據(jù)是放在系統(tǒng)的 /data/webapps/xxxx/upload 目錄下面，可把我們急壞了，之前又沒有做過數(shù)據(jù)恢復(fù)的測(cè)試，然后我找到了一款數(shù)據(jù)恢復(fù)的軟件，成功把刪除的大部分?jǐn)?shù)據(jù)找回來(lái)了，我的數(shù)據(jù)恢復(fù)過程如下。

二、安裝恢復(fù)軟件

1、epel 倉(cāng)庫(kù)安裝

如果我們的源里面添加了 epel 倉(cāng)庫(kù)的話，我們可以直接使用下面的命令安裝。

2、源碼編譯安裝

三、刪除數(shù)據(jù)查找

因?yàn)槲业臄?shù)據(jù)路徑比較深，所以我們需要一步步查找，可以先從根分區(qū) inode 查找

我們會(huì)看到 weapps 目錄的inode，

我們看到項(xiàng)目的 inode，

我們找到了最終刪除數(shù)據(jù)的目錄 upload

我們可以看到標(biāo)稱的 Deleted，這些數(shù)據(jù)就是我們要進(jìn)行恢復(fù)的數(shù)據(jù)。

四、數(shù)據(jù)恢復(fù)

那我們就恢復(fù)指定目錄，以當(dāng)前分區(qū)為根分區(qū)進(jìn)行路徑設(shè)定，項(xiàng)目名進(jìn)行掩蓋

因?yàn)榇疟P數(shù)據(jù)一直在讀寫，所以有些文件之前的 inode 已經(jīng)被重新分配了，導(dǎo)致部分?jǐn)?shù)據(jù)無(wú)法恢復(fù)，數(shù)據(jù)最后會(huì)告訴我們有多少文件沒有回復(fù)，但是大部分?jǐn)?shù)據(jù)我們已經(jīng)恢復(fù)了，這就是很重要的事情了。

那我們查看一下回復(fù)的數(shù)據(jù)吧，軟件會(huì)在當(dāng)前目錄生成一個(gè)目錄RECOVERED_FILES 里面就是我們恢復(fù)的數(shù)據(jù)。

恢復(fù)全部數(shù)據(jù)可以使用命令

使用方法

extundelete --help

其中，參數(shù)（options）有：
--version, -[vV]，顯示軟件版本號(hào)。
--help，顯示軟件幫助信息。
--superblock，顯示超級(jí)塊信息。
--journal，顯示日志信息。
--after dtime，時(shí)間參數(shù)，表示在某段時(shí)間之后被刪的文件或目錄。
--before dtime，時(shí)間參數(shù)，表示在某段時(shí)間之前被刪的文件或目錄。

動(dòng)作（action）有：
--inode ino，顯示節(jié)點(diǎn)“ino”的信息。
--block blk，顯示數(shù)據(jù)塊“blk”的信息。
--restore-inode ino[,ino,...]，恢復(fù)命令參數(shù)，表示恢復(fù)節(jié)點(diǎn)“ino”的文件，恢復(fù)的文件會(huì)自動(dòng)放在當(dāng)前目錄下的RESTORED_FILES文件夾中，使用節(jié)點(diǎn)編號(hào)作為擴(kuò)展名。
--restore-file 'path'，恢復(fù)命令參數(shù)，表示將恢復(fù)指定路徑的文件，并把恢復(fù)的文件放在當(dāng)前目錄下的RECOVERED_FILES目錄中。
--restore-files 'path'，恢復(fù)命令參數(shù)，表示將恢復(fù)在路徑中已列出的所有文件。
--restore-all，恢復(fù)命令參數(shù)，表示將嘗試恢復(fù)所有目錄和文件。
-j journal，表示從已經(jīng)命名的文件中讀取擴(kuò)展日志。
-b blocknumber，表示使用之前備份的超級(jí)塊來(lái)打開文件系統(tǒng)，一般用于查看現(xiàn)有超級(jí)塊是不是當(dāng)前所要的文件。
-B blocksize，通過指定數(shù)據(jù)塊大小來(lái)打開文件系統(tǒng)，一般用于查看已經(jīng)知道大小的文件。

在數(shù)據(jù)刪除之后，首先要卸載被刪除數(shù)據(jù)所在的磁盤或是分區(qū)，如果是系統(tǒng)根分區(qū)遭到誤刪除，就需要進(jìn)入單用戶模式下，將根分區(qū)以只讀的方式掛載。

原因：因?yàn)槲募h除之后，僅僅是將文件的inode節(jié)點(diǎn)中的扇區(qū)指針清零，實(shí)際上文件還存在磁盤上面，如果磁盤以讀寫方式掛載，這些刪除的數(shù)據(jù)塊可能會(huì)被系統(tǒng)從新分配出去，這些數(shù)據(jù)塊被覆蓋之后，這些數(shù)據(jù)就真的丟失了，所以以只讀的方式掛載，盡可能避免數(shù)據(jù)被覆蓋。

編輯：黃飛

?