對于linux下誤刪的文件，我們是否真的無法通過軟件進行恢復呢?

誤刪文件還原可以分為兩種情況

一種是刪除以后在進程存在刪除信息

一種是刪除以后進程都找不到，只有借助于工具還原。

今天只分析文件被刪除后,相關進程還存在的情況

這種一般是有活動的進程存在持續標準輸入或輸出，到時文件被刪除后，進程PID依舊存在。這也是有些服務器刪除一些文件但是磁盤不釋放的原因

案例演示

創建一個文件

>vimrumenz.txt
123
//保存退出
>catrumenz.txt
123

用tail -f打開rumenz.txt文件

目的是讓rumenz.txt被刪除后,進程依然存在

>tail-frumenz.txt

新開一個終端刪除rumenz.txt

>rm-frumenz.txt

找到占用rumenz.txt的進程

lsof查看刪除的文件進程是否還存在。

如沒有安裝請自行yum install lsof或者apt-get install lsof

>lsof|grepdelete|greprumenz
tail10222root3rREG253,1470911074/root/test/rumenz.txt(deleted)

進程ID是10222,從上面可以看出，當前文件狀態為已刪除（deleted）

恢復文件

/proc/10222/fd：進程操作的文件描述符目錄

>cd/proc/10222/fd
>ls-al
dr-x------2rootroot0May1121:41.
dr-xr-xr-x9rootroot0May1121:41..
lrwx------1rootroot64May1121:410->/dev/pts/1
lrwx------1rootroot64May1121:411->/dev/pts/1
lrwx------1rootroot64May1121:412->/dev/pts/1
lr-x------1rootroot64May1121:413->/root/test/rumenz.txt(deleted)
lr-x------1rootroot64May1121:414->anon_inode:inotify

開始恢復文件

>cp3/root/test/rumenz.txt
>cat/root/test/rumenz.txt
123

能恢復的根本原因

當程序運行時，操作系統會專門開辟一塊內存區域，提供給當前進程使用，對于依賴的文件，操作系統會發放一個文件描述符，以便讀寫文件，當我們執行rm -f刪除文件時，其實只是刪除了文件的目錄索引節點，對于文件系統不可見，但是對于打開它的進程依然可見，即仍然可以使用先前發放的文件描述符讀寫文件，正是利用這樣的原理，所以我們可以使用I/O重定向的方式來恢復文件。

審核編輯：湯梓紅