Linux通过lsof命令恢复误删文件的步骤

　　Linux系统下lsof命令的用法有很多，恢复误删文件就是其中一种用法，特别是日志类文件的恢复，下面小编就给大家介绍下Linux使用lsof命令恢复误删文件的方法。

　　前提条件：该文件在删除后，仍然被进程访问着，所以，比较适合用于恢复日志类的文件。

　　当Linux计算机受到入侵时，常见的情况是日志文件被删除，以掩盖攻击者的踪迹。管理错误也可能导致意外删除重要的文件，比如在清理旧日志时，意外地删除了数据库的活动事务日志。有时可以通过lsof来恢复这些文件。

　　当进程打开了某个文件时，只要该进程保持打开该文件，即使将其删除，它依然存在于磁盘中。这意味着，进程并不知道文件已经被删除，它仍然可以向打开该文件时提供给它的文件描述符进行读取和写入。除了该进程之外，这个文件是不可见的，因为已经删除了其相应的目录索引节点。

　　在/proc 目录下，其中包含了反映内核和进程树的各种文件。/proc目录挂载的是在内存中所映射的一块区域，所以这些文件和目录并不存在于磁盘中，因此当我们对这些文件进行读取和写入时，实际上是在从内存中获取相关信息。大多数与 lsof 相关的信息都存储于以进程的 PID 命名的目录中，即 /proc/1234 中包含的是 PID 为 1234 的进程的信息。每个进程目录中存在着各种文件，它们可以使得应用程序简单地了解进程的内存空间、文件描述符列表、指向磁盘上的文件的符号链接和其他系统信息。lsof 程序使用该信息和其他关于内核内部状态的信息来产生其输出。所以lsof 可以显示进程的文件描述符和相关的文件名等信息。也就是我们通过访问进程的文件描述符可以找到该文件的相关信息。当系统中的某个文件被意外地删除了，只要这个时候系统中还有进程正在访问该文件，那么我们就可以通过lsof从/proc目录下恢复该文件的内容。

　　假如由于误操作将/var/log/messages文件删除掉了，那么这时要将/var/log/messages文件恢复的方法如下：首先使用lsof来查看当前是否有进程打开/var/logmessages文件，如下：

　　# lsof |grep /var/log/messages

　　COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME

　　syslogd 14572 root 1w REG 253，0 5584 1737237 /var/log/messages

　　#rm –f /var/log/messages

　　# lsof |grep /var/log/messages

　　COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME

　　syslogd 14572 root 1w REG 253，0 5584 1737237 /var/log/messages （deleted）

　　从上面的信息可以看到 PID 14572（syslogd）打开文件的文件描述符为 1。同时还可以看到/var/log/messages已经标记被删除了。因此我们可以在 /proc/14572/fd/1 （fd下的每个以数字命名的文件表示进程对应的文件描述符）中查看相应的信息，如下：

　　# tail -n 10 /proc/14572/fd/1

　　Feb 4 20:02:25 host191 kernel： klogd 1.4.1， log source = /proc/kmsg started.

　　Feb 4 20:02:45 host191 root： aaa

　　Feb 4 20:05:07 host191 dhclient： DHCPREQUEST on eth0 to 192.168.0.254 port 67

　　Feb 4 20:05:07 host191 dhclient： DHCPACK from 192.168.0.254

　　Feb 4 20:05:07 host191 dhclient： bound to 192.168.0.191 -- renewal in 718 seconds.

　　Feb 4 20:15:50 host191 syslogd 1.4.1： restart.

　　Feb 4 20:15:50 host191 kernel： klogd 1.4.1， log source = /proc/kmsg started.

　　Feb 4 20:17:05 host191 dhclient： DHCPREQUEST on eth0 to 192.168.0.254 port 67

　　Feb 4 20:17:05 host191 dhclient： DHCPACK from 192.168.0.254

　　Feb 4 20:17:05 host191 dhclient： bound to 192.168.0.191 -- renewal in 804 seconds.# cat /proc/14572/fd/1 》 /var/log/messages

　　下面介绍在Fedora Core 5系统上使用lsof恢复误删的文件：

　　环境

　　主机： 使用微睦独立主机， 一台基于vmware的虚拟独立主机。

　　系统： Fedora Core 5

　　内核： 2.6.16-1.2122_FC5

　　lsof版本：

　　［zhaoke@fedora5 ~］$ /usr/sbin/lsof -v

　　lsof version information：

　　revision： 4.77

　　预备工作：

　　如果你的系统没有安装lsof， 可以从网站查找获得。

　　恢复过程：

　　首先， 需要创建一个文本文件， 删除然后恢复：

　　［zhaoke@fedora5 ~］$ man lsof | col -b 》 myfile

　　然后看一下文件内容：

　　［zhaoke@fedora5 ~］$ less myfile

　　你可以看到lsof所有的文本帮助信息。

　　现在按Ctrl-Z退出less命令， 然后在shell提示符下查看文件属性信息：

　　［zhaoke@fedora5 ~］$ stat myfile

　　File： `myfile’

　　Size： 116549 Blocks： 240 IO Block： 4096 regular file

　　Device： fd00h/64768d Inode： 492686 Links： 1

　　Access： （0664/-rw-rw-r–） Uid： （ 505/ zhaoke） Gid： （ 505/ zhaoke）

　　Access： 2006-11-20 12:59:38.000000000 +0800

　　Modify： 2006-11-20 12:59:34.000000000 +0800

　　Change： 2006-11-20 12:59:34.000000000 +0800

　　继续下面工作：

　　［zhaoke@fedora5 ~］$ rm myfile

　　［zhaoke@fedora5 ~］$ ls -l myfile

　　ls： myfile： No such file or directory

　　［zhaoke@fedora5 ~］$ stat myfile

　　stat： cannot stat `myfile’： No such file or directory

　　myfile文件删除了。

　　这时候， 你不要终止仍在使用文件的进程。 因为一旦终止， 文件将很难恢复。

　　现在我们开始找回数据， 首先用lsof查看一下：

　　［zhaoke@fedora5 ~］$ lsof | grep myfile

　　less 9104 zhaoke 4r REG 253，0 116549 492686 /home/zhaoke/myfile （deleted）

　　第一个纵行是进程的名称（命令名）， 第二纵行是进程号（PID）， 第四纵行是文件描述符（r意思是普通文件）， 现在你知道9104进程仍有打开文件， 文件描述符是4. 那我们开始从/proc里面拷贝出数据。 你可能会考虑使用cp -a， 但实际上没有作用， 你将拷贝的是一个指向被删除文件的符号链接：

　　［zhaoke@fedora5 ~］$ ls -l /proc/9104/fd/4

　　lr-x—— 1 zhaoke zhaoke 64 Nov 20 13:00 /proc/9104/fd/4 -》 /home/zhaoke/myfile （deleted）

　　［zhaoke@fedora5 ~］$ cp -a /proc/9104/fd/4 myfile.wrong

　　［zhaoke@fedora5 ~］$ ls -l myfile.wrong

　　lrwxrwxrwx 1 zhaoke zhaoke 29 Nov 20 13:02 myfile.wrong -》 /home/zhaoke/myfile （deleted）

　　［zhaoke@fedora5 ~］$ file myfile.wrong

　　myfile.wrong： broken symbolic link to `/home/zhaoke/myfile （deleted）’

　　［zhaoke@fedora5 ~］$ file /proc/9104/fd/4

　　/proc/9104/fd/4： broken symbolic link to `/home/zhaoke/myfile （deleted）’

　　然后， 使用cp拷贝出数据：

　　［zhaoke@fedora5 ~］$ cp /proc/9104/fd/4 myfile.saved

　　最后， 确认一下文件：

　　［zhaoke@fedora5 ~］$ ls -l myfile.saved

　　-rw-rw-r– 1 zhaoke zhaoke 116549 Nov 20 13:03 myfile.saved

　　［zhaoke@fedora5 ~］$ man lsof | col -b 》 myfile.new

　　［zhaoke@fedora5 ~］$ cmp myfile.saved myfile.new

　　cmp比较无任何显示， 表示两个文件完全相同， 恢复成功。

　　常用的参数列表：

　　lsof filename 显示打开指定文件的所有进程

　　lsof -a 表示两个参数都必须满足时才显示结果

　　lsof -c string 显示COMMAND列中包含指定字符的进程所有打开的文件

　　lsof -u username 显示所属user进程打开的文件

　　lsof -g gid 显示归属gid的进程情况

　　lsof +d /DIR/ 显示目录下被进程打开的文件

　　lsof +D /DIR/ 同上，但是会搜索目录下的所有目录，时间相对较长

　　lsof -d FD 显示指定文件描述符的进程

　　lsof -n 不将IP转换为hostname，缺省是不加上-n参数

　　lsof -i 用以显示符合条件的进程情况

　　上面就是Linux使用lsof命令恢复误删文件的方法介绍了，使用完lsof命令后，记得重新下电脑。