方案1）現(xiàn)在我向大家介紹使用extundelete恢復(fù)文件（適合rhel6.x系統(tǒng)的ext4)

安裝：

下載 extundelete-0.2.4.tar.bz2  wget  http://netassist.dl.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar.bz2
tar -jxvf  extundelete-0.2.4.tar.bz2
 cd extundelete-0.2.4
./configure （這步出現(xiàn)錯(cuò)誤，請(qǐng)看下文）
yum install  e2fsprogs-devel-1.41.12-18.el6.x86_64.rpm

然后再次執(zhí)行，成功

make && make install

恢復(fù)：

extundelete? /dev/sda4 --inode? 2? （看到你所刪除的文件）

恢復(fù)單個(gè)目錄：

extundelete ?/dev/sdb1 --restore-directory ?/mongodb ?##mongodb是一個(gè)目錄

恢復(fù)所有誤刪文件：

extundelete ?/dev/sdb1 --restore-all

恢復(fù)一個(gè)單個(gè)文件：

extundelete ?/dev/sdb1 --restore-file ?a.txt

方案2）使用lsof自帶一個(gè)的神秘功能

原理：大多數(shù)與 lsof 相關(guān)的信息都存儲(chǔ)于以進(jìn)程的 PID 命名的目錄中

假如由于誤操作將/var/log/messages文件刪除掉了，那么這時(shí)要將/var/log/messages文件恢復(fù)的方法

如下：

首先使用lsof來查看當(dāng)前是否有進(jìn)程打開/var/logmessages文件，如下：

# lsof |grep /var/log/messages

syslogd?1283?root?2w REG 3,3 5381017 1773647 /var/log/messages (deleted)

從 上面的信息可以看到 PID 1283（syslogd）打開文件的文件描述符為 2。同時(shí)還可以看到/var/log

/messages已經(jīng)標(biāo)記被刪除了。

恢復(fù)：

cat??/proc/1283/fd/2 ??> /var/log/messages ?恢復(fù)成功

對(duì)于許多應(yīng)用程序，尤其是日志文件和數(shù)據(jù)庫(kù)，這種恢復(fù)刪除文件的方法非常有用。