详细讲解Fedora proc文件系统恢复

Fedora proc是比较常用的系统，于是我研究了一下Fedora proc文件系统恢复，在这里拿出来和大家分享一下，希望对大家有用。先介绍一些文件的基本概念, 文件实际上是一个指向inode的链接, inode链接包含了文件的所有属性, 比如权限和所有者, 数据块地址(文件存储在磁盘的这些数据块中). 当你删除(rm)一个文件, 实际删除了指向inode的链接, 并没有删除inode的内容. 进程可能还在使用. 只有当inode的所有链接完全移去, 然后这些数据块将可以写入新的数据。

proc文件系统可以协助我们Fedora proc文件系统恢复数据. 每一个系统上的进程在/proc都有一个目录和自己的名字: 里面包含了一个fd(文件描述符)子目录(进程需要打开文件的所有链接). 如果从文件系统中删除一个文件, 此处还有一个inode的引用:

/proc/进程号/fd/文件描述符 Fedora proc文件系统

接下来, 你需要知道打开文件的进程号(pid)和文件描述符(fd). 这些都可以通过lsof工具方便获得, lsof的意思是”list open files, 列出(进程)打开的文件”. 然后你将可以从/proc拷贝出需要Fedora proc文件系统恢复的数据.
下面介绍在Fedora Core 5系统上使用lsof恢复误删的文件:
环境
主机: 使用微睦独立主机, 一台基于vmware的虚拟独立主机.
系统: Fedora Core 5
内核: 2.6.16-1.2122_FC5
lsof版本:

[zhaoke@fedora5 ~]$ /usr/sbin/lsof -v
lsof version information:
revision: 4.77

预备工作:
如果你的系统没有安装lsof, 可以从作者网站或pbone获得.
作者网站: ftp://lsof.itap.purdue.edu/pub/tools/unix/lsof/
Pbone: http://rpm.pbone.net/

Fedora proc文件系统恢复过程:
首先, 我们需要创建一个文本文件, 删除然后恢复:
[zhaoke@fedora5 ~]$ man lsof | col -b > myfile
然后看一下文件内容:
[zhaoke@fedora5 ~]$ less myfile
你可以看到lsof所有的文本帮助信息.

现在按Ctrl-Z退出less命令, 然后在shell提示符下查看文件属性信息:
[zhaoke@fedora5 ~]$ stat myfile
File: `myfile’
Size: 116549 Blocks: 240 IO Block: 4096 regular file
Device: fd00h/64768d Inode: 492686 Links: 1
Access: (0664/-rw-rw-rC) Uid: ( 505/ zhaoke) Gid: ( 505/ zhaoke)
Access: 2006-11-20 12:59:38.000000000 +0800
Modify: 2006-11-20 12:59:34.000000000 +0800
Change: 2006-11-20 12:59:34.000000000 +0800

没问题, 继续下面工作:
[zhaoke@fedora5 ~]$ rm myfile
[zhaoke@fedora5 ~]$ ls -l myfile
ls: myfile: No such file or directory
[zhaoke@fedora5 ~]$ stat myfile
stat: cannot stat `myfile’: No such file or directory

myfile文件删除了.

这时候, 你不要终止仍在使用文件的进程. 因为一旦终止, 文件将很难Fedora proc文件系统恢复.
现在我们开始找回数据, 首先用lsof查看一下:
[zhaoke@fedora5 ~]$ lsof | grep myfile
less 9104 zhaoke 4r REG 253,0 116549 492686 /home/zhaoke/myfile (deleted)