[精华] 如何恢复 rm -fr * 后的文件。 - ChinaUnix.net
[精华] 如何恢复 rm -fr * 后的文件。
http://www.chinaunix.net 作者:&&发表于： 19:32:13
今天我正在巩固所学的linux知识
我用root登录
#mount&-t&vfat&/dev/hda6&/root/win
#cd&win
#emacs&...&...&...&许多文件。
然后我本来想&rm&-fr&*~
不小心输入了&rm&-fr&*
然后
#ls&
#空的。
/root/win有我多年来收集的Linux,C,的许多学习资料，现在一不小心全没了，我记得一位朋友讲进怎么样恢复，但我不是很明白，现在我家中的电脑输入完
#rm&-fr&*
#ls&
后我再也不敢动了，电脑也没关，我现在到单位上网请教大家，帮帮我吧。
我的电脑双系统xp,redhat9.0，9.0正版，内核2.4.20-8，在线等待。
& 回复于： 17:42:40
你断定听朋友说过rm&-rf能恢复？？？
& 回复于： 17:48:12
真的，我看过一篇文章的，rm&-fr&*它只是删除了链接，但是还没有真正删除文件，只要找到数据链就可以复。
& 回复于： 17:53:06
你还是断了这个念头吧
& 回复于： 17:53:29
哈哈，*nux&就是这样，
慢慢就习惯了。
我现在删文件特准确，
在&windows&下再也不用回收站了。
& 回复于： 17:54:40
朋友，别这样嘛，帮忙想想办法。
& 回复于： 18:10:20
你可以上网找找看，有专门的软件，可是我没有用成功
& 回复于： 18:12:09
windows下的软件我听过，也用过，成功了，但是linux下我就不知有何软件。
请朋友们帮我想想办法。
& 回复于： 18:13:43
我也想知道，能否恢复!
& 回复于： 18:14:34
我的这些文件在windows下的E盘，xp有个功能可以系统还原可以恢复一些数据，
不知这样能不能恢复，可是我现在根本就不敢关机。
& 回复于： 20:32:59
引用：原帖由&"tian1118"]真的，我看过一篇文章的，rm&-fr&*它只是删除了链接，但是还没有真正删除文件，只要找到数据链就可以复。&发表：
我好像也看过
& 回复于： 21:21:31
sorry&to&hear&your&tragedy.&If&it&was&NTFS,&i&can&give&you&some&advice:&you&can&use&ntrecover&(&or&recovernt,&sorry&i&can't&remember&the&exact&name).
but&since&it&is&fat32,&i&don't&know&what&software&to&use.&but&i&believe&there&must&be&some&tools,&you&can&search&it&on&line.
i&believe&you&can&recover&it&since&you&didn't&write&on&that&disk.
good&luck!
& 回复于： 21:25:04
不知道大家看过＜反托拉斯＞没有，里面用的确实是linux．我记得确实有一个命令可以恢复删除的东东的．电影的主人公用过．如果我说错了，大家当我一人胡言乱语．
& 回复于： 22:15:06
爽呀！我也没有办法！
& 回复于： 00:24:38
慢点,先不要放弃,我好像在绿盟看到过,我帮你找找
& 回复于： 00:43:56
找到了,但看起来不是用于FAT格式的,不好意思:
参考文件:&Ext2fs-Undeletion&Mini&HOWTO
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
ext2文件系统下恢复误删除的文件
作者：thhsieh
主页：.cn
日期：
本系的&BBS&系统真是多灾多难&(嗯&....&其实是因为我的疏忽，才会这么多灾多难&....)&，继这几日系统时间不正确，造成许多人的&ID&被误砍后，又一次因系统设定上的问题，将&BBS&的重要备份档给杀了。这件事是学弟发现后告诉我的，当我上站来一见到他的&mail,&当真是欲哭无泪，差点没去撞墙。&
　　那时已是周六晚&11:00&左右，我一边想着要编一套说辞向大家解释无法替大家恢复旧信件与设定了，一边还在想是否能够挽回局面。大家知道，&UNIX&like&的系统是很难像&M$&的系统一样，做到&undelete&的，所有网管前辈都曾再三警告我们，要小心!&小心!&砍档之前三思而后行，砍了之后再后悔也没用。虽然我已渐渐做到砍档三思而后行，但之次误砍事件是系统在背景中定时执行的，等到我找出原因时已是档案被砍后一个多小时。我凭着一点点的印象，想起在网络上，有人讨论过在&Linux&ext2&filesystem中&undelete&的可能性，但我所见到的多半是负面的答案，但好象真的有人做过这件事，于是我第一个所做的，就是马上将该档案原来所在的&partition&mount成&read-only,&禁止任何的写入动作，不是怕再有档案被误砍&(因为已没什么可砍的了)&，而是怕有新档案写进来，新资料可能会覆盖到旧资料原本存在的磁区&(block)&。我们现在唯一个指望，就是企图将档案原来存在的磁区一个个找回来，并且「希望」这些磁区上的旧资料都还在，然后将这些磁区串成一个档案。终于被我找到了!!&原来这方面的技术文件就存在我自己的系统中&:-))&
/usr/doc/HOWTO/mini/Ext2fs-Undeletion.gz
　　于是我就按照这份文件的指示一步步来，总算将一个长达&8MB&的压缩档救回了&99%,&还有一个长达&1.1&MB&的压缩档完整无缺地救了回来。感谢上帝、&Linux&的设计者、写那篇文件的作者、曾经讨论过此技术的人、以及&Linux&如此优秀的&ext2&filesystem,&让我有机会抢救过去。现在，我将我的抢救步骤做一个整理让大家参考，希望有派得上用场的时候&(喔!&不，最好是希望大家永远不要有机会用到以下的步数&:-)))&
　　在此严正声明!!&写这篇文章的目的，是给那些处于万不得已情况下的人们，有一个挽回的机会，并不意味着从此我们就可以大意，砍档不需要三思。前面提到，我有一个档案无法&100%&救回，事实上，长达&8MB&的档案能救回&99%&已是幸运中的幸运，一般的情况下若能救回&70%&-&80%&已经要愉笑了。所以，不要指望&undelete&能救回一切。预防胜于治疗!&请大家平时就养成好习惯，砍档前请三思!!!&
　　理论分析
　　我们能救回的机会有多大?&在&kernel-2.0.X&系列中&(本站所用的&kernel&是&2.0.33)&，取决以下两点:&
　　档案原来所在的磁区是否没有被覆写?&
　　档案是否完全连续?&
　　第一点我们可以与时间竞赛，就是当一发现档案误砍时，要以最快的速度&umount&该&filesystem,&或将该&filesystem&remount&成唯读。就这次的情况而言，档案误砍是在事发一个小时后才发现的，但由于该&filesystem&写入的机会很少&(我几乎可确定一天才只有一次，做&backup)，所以第一点算是过关了。&
　　第二点真的是要听天由命了，就本站所使用的&kernel,&必须要在假设「长档案」所占的&block&完全连续的情况下，才有可能完全救回来!&一个&block&是&1024&bytes,长达&8&MB&的档案就有超过&8000&个&block。在经常读写的&filesystem&中，可以想见长档案很难完全连续，但在我们的系统中，这一点似乎又多了几分指望。同时，Linux&ext2&如此精良的&filesystem,&能做到前&7950&多个&block&都连续，这一点也功不可没。&
　　好了，以下我就讲一下我的步骤。&
　　抢救步骤&I&-&mount&filesystem&readonly
　　该档案的位置原来是在&/var/hda/backup/home/bbs&下，我们系统的&filesystem&组态是:&
root@bbs:/home/ftp/rescue#&df
Filesystem&1024-blocks&Used&Available&Capacity&Mounted&on
/dev/sda1&769&63250&83%&/
/dev/sda3&633&%&/home
/dev/hda1&27&%&/var/hda
/dev/hda2&998&%&/home/ftp&
　　因此&/var/hda&这个&filesystem&要马上&mount&成&readonly&(以下请用&root&身份):&
mount&-o&remount,ro&/var/hda&
　　当然也可以直接&umount&它，但有时候可能有某些&process&正在此&filesystem下运作，您可能无法直接&umount&它。因此我选择&mount&readonly。但您也可以用:&
fuser&-v&-m&/usr&
　　看一下目前是那些&process&在用这个&filesystem,&然后一一砍掉，再&umount。&
　　抢救步骤&II
echo&lsdel&|&debugfs&/dev/hda1&|&less&
　　看一下该&filesystem&最近被砍的&inode&(档案)&有那些&(为什么是&/dev/hda1?&请见上头的&df&列表)?&在这奶F档案的重要资讯，如大小、时间、属性等等。就我们的系统而言，其列示如下:&
debugfs:&92&deleted&inodes&found.
Inode&Owner&Mode&Size&Blocks&Time&deleted
....................................................................
644&/14&Sat&Jan&30&22:37:10&1999
644&/14&Sat&Jan&30&22:37:10&1999
644&/14&Sat&Jan&30&22:37:10&1999
644&&Sat&Jan&30&22:37:10&1999&
　　请注意!我们必须要在档案大小、被砍时间等资讯中判断出要救回的档案是那一个。在此，我们要救回&29773&这个&inode。&
　　抢救步骤&III
echo&"stat&&29773&;"&|&debugfs&/dev/hda1&
　　列出该&inode&的所有资讯，如下:&
debugfs:&stat&&29773&;
Inode:&29773&Type:&regular&Mode:&0644&Flags:&0x0&Version:&1
User:&0&Group:&0&Size:&8220922
File&ACL:&0&Directory&ACL:&0
Links:&0&Blockcount:&16124
Fragment:&Address:&0&Number:&0&Size:&0
ctime:&0x36b31916&--&Sat&Jan&30&22:37:10&1999
atime:&0x36aebee4&--&Wed&Jan&27&15:23:16&1999
mtime:&0x36adec25&--&Wed&Jan&27&00:24:05&1999
dtime:&0x36b31916&--&Sat&Jan&30&22:37:10&1999
BLOCKS:
136&138&404&406&
408&&410&668&
TOTAL:&14&
　　现在的重点是，必须将该&inode&所指的档案，所指的&block&全部找回来。在这它?14&个&block?&不对啊!&应该要有&8000&多个&block&才对啊!&在这卯ilesystem&的「奥密」了。上头所列的前&12&个&block&是真正指到档案资料的&block,&称之为&direct&block&。第&13&个称为第一阶&indirect&block,&第&14&个称为第二阶&indirect&block&。什么意思?&该档的资料所在的&block&位置如下:&
　　各位明白吗?&第&13&个&(131411)&与第&14&个&block&其实不是&data,&而是&index,它指出接下来的&block&的位置。由于一个&block&的大小是&1024&bytes,&一个&int&在&32&位系统中是&4&bytes,&故一个&block&可以记录&256&笔资料。以&131411&block&为例，它所记录的资料即为&(在档案未砍前):&
413&131414&....&131667&(共&256&笔)&
　　而这&256&个&block&就真正记录了档案资料，所以我们称为第一阶。同理，第二阶就有两个层&index,&以&131668&来说，它可能记录了:&
926&132182&....&(最多有&256&笔)&
　　而&131669&的&block&记录为:&
671&131672&....&131925&(共&256&笔)&
　　而这&256&个&block&才是真正储存档案资料的。而我们要的，就是这些真正储存档案资料的&block&。&理论上，我们只要将这些&index&block&的内容全部读出来，然后照这些&index&把所有的&block&全部读到手，就能&100%&救回档案&(假设这些&block&全部没有被新档案覆写的话)。工程很大，但是可行。不幸的是，在&kernel-2.0.33,&其设计是，如果该档案被砍了，则这些&index&block&全部会规零，因此我所读到的是&
0&0&0&0&0&.....&(共&256&笔)&
　　哇!&没办法知道这些&data&block&真正所在的位置。所以，在此我们做了一个很大的假设:&整个档案所在的&block&是连续的!&也就是我上头的例子。这也就是为什么说，只有连续&block&(是指后头的&indirect&block)&的档案才能完整救回，而这一点就要听天由命了。&
　　抢救步骤&IV
　　好了，现在我们只好假设所有的档案处于连续的&block&上，现在请用http://archie.ncu.edu.tw去找这个工具:&fsgrab-1.2.tar.gz,&并将它安装起来。因为步骤很简单，故在此我就不多谈。我们要用它将所需的&block&全部抓出来。它的用法如下:&
fsgrab&-c&count&-s&skip&device&
　　其中&count&是只要&(连续)&读几个，&skip&是指要从第几个开始读，例如我要从&131670&开始连续读&256&个，就这样下指令:&
fsgrab&-c&256&-s&131670&/dev/hda1&&;&recover&
　　现在我们就开始救档案吧!&以上头的资料，我们必须用以下的指令来救:&(注意到头开的&12&个&block&并没有完全连续!!!)&
fsgrab&-c&1&-s&123134&/dev/hda1&&;&recover
fsgrab&-c&3&-s&123136&/dev/hda1&&;&;&recover
fsgrab&-c&1&-s&123140&/dev/hda1&&;&;&recover
fsgrab&-c&7&-s&131404&/dev/hda1&&;&;&recover&
　　这是开头的&12&个&block,&对于第一阶&indirect,&就资料来看好象是连续的&:-))&
fsgrab&-c&256&-s&131412&/dev/hda1&&;&;&recover&
　　注意要跳过&131411,&因为它是&index&block。对于第二阶&indirect,&我们&*假设*&它们都是连续的:&
fsgrab&-c&256&-s&131670&/dev/hda1&&;&;&recover
fsgrab&-c&256&-s&131927&/dev/hda1&&;&;&recover
fsgrab&-c&256&-s&132184&/dev/hda1&&;&;&recover
............................................&
　　要一直做，直到&recover&的大小超过我们所要救回的档案大小&(8220922)&为止。要注意在这市　p心地跳过那些&index&block&(如&,&132183,&....)&了。&
　　抢救步骤&V
　　最后一步，就是把档案「剪」出来，并看看我们救回多少了。在这戊]我们重复上述步骤，弄出来的&recover&档大小为&8294400，而我们要的大小是&8220922,&那就这样下指令:&
split&-b&8220922&recover&rec&
　　则会做出两个档，一个是&recaa,&大小是&8220922,&另一个是&recab&则是剩下的大小，后者是垃圾，扔了即可。现在我们可以检查这个档案是不是「完整」的那个被误砍的档案了。由于我们的那个档案是&.tar.gz&的格式，于是我们这个方法来检查:&
mv&recaa&recaa.tar.gz
zcat&recaa.tar.gz&&;&recaa.tar&
　　如果没有错误讯息，那表示成功了!&完全救回来了。但不幸的是，我们没有成功，将弄出的&recaa.tar&改名再&gzip&之后，与原来的&recaa.tar.gz&比一下大小，发现少了&1%,&表示说该档原来所在的&block&中最后有&1%&是不连续的&(或者被新写入的档案覆写了)，但这已是不幸中的大幸了。&
　　对于在&undelete&时&*必需*&假设所有&block&连续的问题，那份&HOWTO&文件说&Linus&与其它&kernel&设计者正着手研究，看能否克服这个困难，也就是在档案砍掉时，不要将&index&block&规零。我刚刚试一下&kenrel-2.2.0&的环境，发现已做到了!!&以下是一个已砍的档案的&inode&data&(由&debugfs&所读出):&
&&&
debugfs:&Inode:&36154&Type:&regular&Mode:&0600&Flags:&0x0&Version:&1
User:&0&Group:&0&Size:&2165945
File&ACL:&0&Directory&ACL:&0
Links:&0&Blockcount:&4252
Fragment:&Address:&0&Number:&0&Size:&0
ctime:&0x36b54c3b&--&Mon&Feb&1&14:39:55&1999
atime:&0x36b54c30&--&Mon&Feb&1&14:39:44&1999
mtime:&0x36b54c30&--&Mon&Feb&1&14:39:44&1999
dtime:&0x36b54c3b&--&Mon&Feb&1&14:39:55&1999
BLOCKS:
741&743&745&747&769&
642&644&646&648&650&
652&654&656&658&660
662&664&666&668&670&
672&674&676&678&680&
682&684&686&...................
.........&748&750&752&159753&
755&159756&
TOTAL:&2126&
　　真是太完美了!!&这意味着在&kernel-2.2.X&的环境下，我们不必假设所有的&block&都连续，而且可以百分之百找回所有砍掉的&block!&因此上述的第二个风险就不存在了。&
　　以上资料，谨供参考。&
& 回复于： 11:33:42
嗬嗬，真衰~~
这样，你先&umount，然后把这个倒霉的FAT32硬盘拿到windoze的pc上，
运行&EasyRecovery，然后就轻松了，什么都可以搞定。
purge曾经用此工具搞定过一块硬盘；
这块硬盘被一个与你一样衰的朋友重新分区，
然后安装windoze&2k，中途失败，然后又用&ghost&一个&win2k完整系统的映像到硬盘，接着，启动还是失败，最后，又重新分区，重新安装win2k，仍旧失败。然后，purge用此工具完整搞定，丢失的数据大约8G，只有大约60M左右恢复以后失败。要知道，这8G可是合肥一家著名汽车制造企业开业几年来的所有设计图纸资料合同什么的都在上面那，嗬嗬，当时，那个朋友汗~~~~~
&:m01:&&:m01:&
当然，如果是ext3，没有看过bjgirls的shell编程的一篇构思巧妙的恢复策略文章的话，嗬嗬，那就节哀顺变吧~~
& 回复于： 12:57:16
嗬嗬，吃过饭了，就把bjgirl的mv转rm的精巧的shell拿出来：
http://www.chinaunix.net/jh/24/228037.html
& 回复于： 16:54:07
系统自带了一个软件，叫什么给忘了，之前老师还打算叫我做一个类似的软件，结果在系统里就找到了，就没有做了
& 回复于： 17:53:07
谢谢论谈的朋友们，这里的人真热心。
我还是没有恢复。
因为自己的不小心几年的心血就这样没有，
以后我要删除文件时
cd&~
mkdir&6.20&把当天想删除的文件放在以当天日期建立的目录中。
mv&垃圾&~/6.30
等过一个月后清理一次。
建议大家
mv&/bin/rm&&/bin/.rm
& 回复于： 18:21:11
你如果没继续往硬盘里写东西，可以用Final&Data&这个软件找回来，如果你写了，可能会有点损失　。
& 回复于： 20:18:09
以前看过别人讨论，有专门的软件，不过没试过。
可以找专门的专家处理，估计是要收费的，也不知道去哪里找。
& 回复于： 20:19:59
我上星期五也犯了同样一个错误，将某个部门的log删掉了，后来也找到上边那篇文章跟着做，内容是在，但是文件名没了，唉～～～～准挨揍！
& 回复于： 22:55:22
& 回复于： 10:30:08
EasyRecovery&就很厉害了。。。
呵呵。。本想推荐linuxaid的这个文章的。。没想到被抢了先。。
& 回复于： 11:10:53
我就知道有设备能恢复，你这样没写没动的肯定没问题
但是收费很贵，1k5分。。比GPRS还贵
& 回复于： 11:52:14
我去年把公司的SAMBA上的几个部门的文件一次给rm&-rf了.后来我香港那边的一位同事用一个免费的windows软件把文件全部给恢复过来了.就是文件名是乱的,后来花了很时间一个一个文件的看呀、整理。
& 回复于： 13:46:01
你用的vfat分区可以恢复
有很多这类的软件可以恢复
& 回复于： 14:01:43
你要先设置才能恢复！
默认设置是不能恢复的
& 回复于： 14:24:53
哥们真够悲惨,心情可以理解~
要坚信.只要硬盘在,肯定有恢复的办法.
& 回复于： 15:45:50
一个奇怪的问题
为了防止以后用rm不小心删除重要文件
mv&/bin/rm&/bin/.rm后
当重新启动后，系统进入不了x-window，我改过来后又可以了，有没有朋友讲解一下，rm命令还和x-windows有关。
& 回复于： 18:51:19
数据恢复器看看
& 回复于： 00:02:56
Hi,&Buddy,&be&patient.&Just&now&found&out&something&as&below:
/feature_stories/data-hiding-forensics.html&(&it&mentions&about&below&tool)
http://e2undel.sourceforge.net/
But&I&need&to&declare&first&I&am&not&sure&it&works&or&not.&I&have&not&tried&it&yet.&Please&carefully&read&the&article&and&test&it&out&in&the&other&machine.
Best&Wishes
& 回复于： 03:21:33
如果你用的是EXT2文件系统的话，试试这个吧：
http://recover.sourceforge.net/linux/recover/
& 回复于： 10:03:12
just&use&unrm,&more&details&at:&/tools/6R00T0K06S.html
& 回复于： 10:03:12
unrm&manpage:&http://staff.washington.edu/dittrich/talks/blackhat/tct/man/man1/unrm.1.html
& 回复于： 10:39:37
以前我好像也看到过通过查找i节点恢复删除文件，可被你删除的是fat结构的文件应该不能这样恢复吧？
在windows下删除的文件可以用Recover4all恢复，基本上是可以恢复的。但在linux下删除的fat文件我没有试过。建议你先在另一台机器上用linux删除一些文件，然后再回windows系统用Recover4all恢复试一下。如果可以在恢复你的文件。
Recover4all.rar去找找，最好是注册过的，这样没有大小限制。
最后只能祝你好运了！
& 回复于： 11:47:34
谢谢热心的朋友们，有已经试过了
在linux中rm&-fr&*后到windows下用recover4all不可以恢复。
& 回复于： 12:24:38
EasyRecovery有没有试过啊？
除非rm命令既删除了索引，又删除了实际的数据，
嗬嗬，那样的话，就S的很惨了，没有任何办法了。
听我的，没错，一般的，win9x的反删除软件，
最著名的就是EasyRecovery和FinalData，但是前者功能更加强大，也更容易使用。
& 回复于： 12:55:53
按照硬件的品脾各请专家一名.
共同解决问题.
& 回复于： 13:32:58
引用：原帖由&"弱智"&发表：EasyRecovery有没有试过啊？
除非rm命令既删除了索引，又删除了实际的数据，
嗬嗬，那样的话，就S的很惨了，没有任何办法了。
听我的，没错，一般的，win9x的反删除软件，
最著名的就是EasyRecovery和FinalDat..........
& 回复于： 13:50:07
请问
rm&-fr&*~&
这个是删除哪些文件？
& 回复于： 16:06:07
神仙也救不回。
& 回复于： 16:52:57
在linux下，当你编辑完一个文件后，系统自动备份一份过去的文件，它的文件命为你过去文件名后加一个~,如aaa.c~,你编辑后的文件名为aaa.c。
& 回复于： 18:11:19
在boot提示符下输入如下参数:&
----&boot:&linux&rescue
& 回复于： 15:27:50
前天没有事情做，想起来培训的时候
老师说过千万不要用rm&&&-rf
没有事情做就rm&-rf&了一把
一reboot就要我修复grub
搞了半天才搞起来，
呵呵。不过和你的不一样！~
老大，你牛！~~比我还厉害！
~没人可以救你了！~
送数据恢复中心去吧，IM人民币200快！~呵呵！~~
& 回复于： 20:13:16
-f参数不是说带就带的！没有办法，至少我所知道的还没有带-f参数删除后恢复的！大家要是找到了我也可以学习了！
这是一个血的教训！以后带-f参数要小心了！
& 回复于： 20:53:53
引用：原帖由&"flw"&发表：哈哈，*nux&就是这样，
慢慢就习惯了。
我现在删文件特准确，
在&windows&下再也不用回收站了。
俺也一样，用shift+del&:em17:
& 回复于： 02:39:13
yes,&It&is&not&free
& 回复于： 15:55:53
/showart.asp?art_id=689&cat_id=5
UNIX系统被删文件的恢复策略
　　与DOS/Windows不同，UNIX文件被删除后很难恢复，这是由UNIX独特的文件系统结构决定的。UNIX文件目录不像DOS/Windows那样，文件即使被删除之后仍保存有完整的文件名、文件长度、始簇号(即文件占有的第一个磁盘块号)等重要信息;相反，它的文件信息全部依靠一种被称为i节点的数据结构来描述，而i节点在相应文件被删除之后即被清空，因此，要想直接恢复被删除的文件内容几乎是不可能的，必须另辟蹊径。本文结合实际，讨论几种文件恢复策略及其关键步骤的具体实现。&
　　一、UNIX文件系统结构&
　　我们知道，UNIX是以文件卷作为其文件系统存储格式的，而不同的UNIX系统，文件卷格式是有差异的，甚至即使是同一UNIX*作系统的不同版本，其文件系统未必完全相同，例如：SCO&UNIX&4.1版与5.0版文件系统结构就有明显差异，但只要是UNIX系统，其文件卷的基本结构是一致的。分析如下：&
　　不管是什么UNIX系统，不管什么版本，其文件卷至少包括引导块、超级块、i节点表、数据区等几个部分。除此之外，不同UNIX版本可能还有不同的差异。例如：SCO&UNIX系统的位图索引块和位图块AIX的逻辑卷表等。这些系统的特殊性不影响下文的恢复策略，故这里不作讨论，仅介绍标准UNIX文件卷结构。&
　　1.&引导块&
　　位于文件卷最开始的第一扇区，这512字节是文件系统的引导代码，为根文件系统所特有，其他文件系统这512字节为空。&
　　2.&超级块&
　　位于文件系统第二扇区，紧跟引导块之后，用于描述本文件系统的结构。如i节点长度、文件系统大小等，其结构存放于/usr/include/sys/filsys.h中，其结构如下：&
　　struct&filsys&
　　ushort&s_&/*磁盘索引节点区所占用的数据块数*/&
　　daddr_t&s_&/*整个文件系统的数据块数*/&
　　short&s_&/*在空闲块登录表中当前登记的空闲块数目*/&
　　daddr_t&s_free[NICFREE];&/*空闲块登记表*/&
　　short&s_&/*空闲索引节点数*/&
　　ino_t&s_inode[NICINOD];&/*空闲节点登记表*/&
　　char&s_&/*加锁标志位*/&
　　char&s_&/*节点加锁标志位*/&
　　char&s_&/*超级块修改标志*/&
　　char&s_&/*文件系统只读标志*/&
　　time_t&s_&/*超级块上次修改的时间*/&
　　short&s_dinfo[4];&/*设备信息*/&
　　daddr_t&s_&/*空闲块总数*/&
　　ino_t&s_&/*空闲节点总数*/&
　　char&s_fname[6];&/*文件系统名称*/&
　　char&s_fpack[6];&
　　long&s_fill[13];&/*填空位*/&
　　long&s_&/*指示文件系统的幻数*/&
　　long&s_&/*新文件系统类型*/&
　　3.&i节点表&
　　i节点表存放在超级块之后，其长度是由超级块中的s_isize字段决定的，其作用是用来描述文件的属性、长度、属主、属组、数据块表等，其数据结构在/usr/include/sys/ino.h中，如下：&
　　struct&dinode&
　　ushort&di_&
　　short&di_&
　　ushort&di_&
　　ushort&di_&
　　off_t&di_&
　　char&di_addr[40];&
　　time_t&di_&
　　time_t&di_&
　　time_t&di_&
　　};&
4.&目录结构&
　　UNIX所有文件均存放于目录中，目录本身也是一个文件。目录存放文件的机制如下：首先，目录文件本身也象普通文件一样，占用一个索引节点，其次，由这个索引节点得到目录内容的存放位置，再次，从其内容中取出一个个的文件名和它对应的节点号，从而访问一个文件。目录结构如下：&
　　索引节点号(2字节)&.(本目录)(14字节)&
　　索引节点号(2字节)&..(父目录)(14字节)&
　　索引节点号(2字节)&文件名(14字节)&
　　索引节点号(2字节)&文件名(14字节)&
　　索引节点号(2字节)&文件名(14字节)&
　　由上可知文件名是依靠目录来描述的，文件的内容和其他信息则由索引节点来描述。&
　　二、文件的删除过程&
　　UNIX下删除一个文件的过程很简单，那就是释放索引节点表和文件占用的数据块，清空文件占用的索引节点，但不清除文件内容。但删除文件与删除目录的处理不尽相同，不同命令删除文件的过程也不相同。&
　　1.&删除一个文件&
　　UNIX&删除一个文件的具体步骤是：根据文件i节点的地址表逐一释放文件占用的磁盘数据块，然后清空相应的节点，最后释放i节点。&
　　2.&删除一个目录&
　　删除一个目录的过程：首先逐一删除目录里的所有文件，然后删除目录。目录本身也是一个文件，故删除方法与删除文件一致。&
　　3.&几种不同的删除命令&
　　.rm&命令&
　　一般删除命令，删除过程上述已说明。&
　　.mv命令&
　　格式：mv&文件1&文件2&
　　处理过程是将文件2的数据块释放，然后将文件1的名称改为文件2，再释放文件2所占的i节点。&
　　.&&;&命令&
　　格式：&;文件名&
　　若产生一个新文件，&;命令仅仅申请一个i节点，而不写入任何文件内容；若清空一个已经存在的文件，则释放文件所占的数据块，并将文件长度清零。&
　　三、被删文件的恢复策略&
　　要恢复被删除的文件，只能根据删除后留下的东西去做文章。文件被删除后留下了什么呢？由上述分析可知：其一、留下了文件的内容；其二、留下了“现场”。文件的恢复策略只能从这两个方面来分析。以下谈几种恢复策略。&
　　1.根据磁盘现场进行恢复&
　　如果文件被删除，现场未被破坏(即文件被删除后硬盘未发生过写*作)，而且假定只删除了一个文件，那么可根据系统的分配算法进行恢复。因为系统建立一个文件时，必定根据某一特定的分配算法决定文件占用的数据块位置。而当该文件被删除后，它所占用的数据块被释放，又回到系统的分配表中，这时如果重新建立一个文件，系统根据原来的分配算法分配出的数据块必定跟该文件原来占用的数据块一致，而且我们知道，UNIX文件最后一数据块尾部多出的字节是全部置0的，据此只要调用系统的数据分配算法，在系统中一块块的申请数据块，因为UNIX文件最后一个数据块尾部多出的字节全部为0，所以，只要发现一个分配出的数据块中尾部全为0，即可认为文件结束，由此可确定文件长度和内容，进而实现恢复。方法如下：&
　　⑴申请一个索引节点，即向系统申请创建一个新文件名而不写入任何内容。如：#&;/tmp/xx&
　　⑵调用系统分配数据块算法getnextfreeblock()得到一个数据块号，记入某一地址表变量中。&
　　⑶读出这个数据块，判断其尾部是否全部连续为0，若不是，则回到(2)，若是，则进行(4)。&
　　⑷首先用系统函数fstat得到/tmp/xx的i节点号，然后将(2)步所得的地址表写入索引节点的地址表中(注意间址问题)，并根据数据块个数和最后一块中有效数据长度计算出文件大小，写入i节点的di_size字段。&
　　⑸回写系统的索引节点表即可。&
需要说明的是，第一，系统分配数据块的算法因不同的UNIX版本而不同；第二，有的UNIX如SCO&UNIX&5.0版，其空闲数据块的分配和回收是使用一种动态链表的数据结构来实现的，它们的文件恢复更加容易，只要在空闲链表中的表尾去寻找即可，笔者另行描述。&
　　2.&根据内容恢复。&
　　若现场已被破坏，即硬盘发生过写*作，那么只好根据内容来恢复。而且，由于UNIX是一个多进程、多用户系统，它每一次开关机或硬件、通讯故障等都会记录系统日志、.sh_history等，硬盘现场被破坏可能性极大。因此讨论按内容恢复的方法具有更大的实用价值。笔者经过实际探索得出下列四种恢复策略供参考。&
　　⑴关键字搜索法&
　　如果知道被删除的文件内容中若干字节的内容，而且该文件长度又不超过一个磁盘块，那么可以在整个文件系统中搜索这一字节串，得出一个文件所在的数据块，将它们的块号填入一个i节点，即可恢复一个文件，搜索文件系统的算法很简单，说明如下：&
　　a.&#df&-k&确定文件系统的设备文件名(如/dev/root)&
　　b.用下述函数搜索，若成功，返回数据块号，反之返回-1。其中fsname是文件系统的设备名，如/dev/root，comp()参数是实现搜索条件的函数。&
　　long&searchfs(char&*fsname&,&int&comp())&
　　FILE&*&
　　char&buf[1024];&
　　long&i=0;&
　　fp=fopen(fsname,"r");&
　　while&(!feof(fp))&
　　fread(buf,1024,1,fp);&
　　if&(comp())&/*&检查是否符合搜索条件&*/&
　　return&i;&/*&若成功返回块号&*/&
　　fclose(fp);&
　　return&-1;&/*&未找到符合条件的块，返回-1*/&
　　⑵精确长度搜索法&
　　如果知道被删除文件的精确长度(字节数)，那么可根据一个数据块的大小，计算出文件的最后一个数据块中数据的精确长度，该数据块中其他字节必然是全0。根据这一条件，通过搜索整个文件系统，找出其中符合条件的数据块，若出现多个块符合要求，则还需要根据其他条件区分。但不管怎样，根据精确长度分析也是恢复数据的一个策略。&
　　⑶内容关联法&
　　如果知道文件内容中存在某种可实现的关联，例如文件的校验和，或者文件内容的某种上下文关系，那么也可通过搜索整个文件系统，通过反复尝试寻找符合关联条件的磁盘数据块，进而恢复一个文件。&
　　⑷环境比较法&
　　如果知道删除文件所在的文件系统的安装过程，那么，另行找一台完全相的机器，按原来完全相同的步骤安装相同版本的UNIX和相应的其他软件，可以想象，新的机器环境会与原来的环境基本相同，比较两个机器上相同文件系统的内容，可以推断出被删除文件的大致位置，至少可以大大减少查找的范围，一旦查找的范围足够小时，可以用逐个观察和尝试的方法结合其他条件恢复数据，降低恢复的难度，增加恢复的可靠性。&
　　UNIX系统下文件系统恢复的具体实现依赖于不同*作系统和不同版本的具体文件系统结构和磁盘块分配算法。本文试图总结出一种一般性的思路和策略，限于篇幅，不能详细讨论它们的具体实现过程。
& 回复于： 12:09:07
& 回复于： 12:20:23
太easy了，用debugfs命令，进入提示符用？号看帮助。不过不要太报侥幸，你的机器都开了这么久，你要想，Ｌｉｎｕｘ是多任务，多进程，多线程的操作系统，你不写磁盘，你就认为没人写磁盘吗？有，它们就是后台Ｄａｅｍｏｎ，其实你当时还不如关机呢！
anyway,&hope&it&can&do&help&you&a&little!
& 回复于： 11:47:17
不知道啊！！
& 回复于： 22:06:44
深切同情啊，估计是无法恢复了，下次执行rm&-rf&*的时候，只有赶快ctrl＋c,这也是本人的血的教训。
& 回复于： 23:11:22
有人做了一个，不过我没试过，不知效果如何。
http://www.praeclarus.demon.co.uk/tech/e2-undel/
& 回复于： 00:45:00
有专门的数据恢复中心的。不过收费是比较昂贵的
& 回复于： 13:40:30
我也不知道。
& 回复于： 14:45:28
.cn/html/202.html
试试这个吧，不知道可以不，我没试过，看软件的介绍是没有问题的。
& 回复于： 17:35:46
you&can&move&the&disk&which&your&data&are&saved&to&&Windows&&System&.&the&run&"easy&recovery"&software&and&&scan&the&disk.&&after&this&,move&the&document&to&another&disk&,now&you&can&gain&the&lost&datas.
& 回复于： 09:02:38
:oops:&怎么恢复我是不知道，不过有个小窍门介绍给大家，防止无意中敲
rm&-rf&*&
在重要的目录中touch&./-i
这样，如果你不小心删除&rm&-rf&*的时候，-i这个文件会确保系统会跳出删除提示的。
& 回复于： 09:49:18
朋友能讲讲为什么
touch&./-i
rm&-fr&*
后，系统会跳出删除提示？
& 回复于： 09:56:11
In&order&to&undelete&a&file,&you&must&know&the&following&things:
On&which&device&your&file&was&stored&
What&kind&of&file&system&was&used&(eg.&ext2,&reiserFS,&vfat)&
To&find&it&out,&type&'mount&|&column&-t'&in&the&shell,&or&to&make&it&evan&more&easy,&copy-paste&or&type&this&into&your&shell:&
echo&"DEVICE&DIRECTORY&FS-TYPE"&&;&&mount&|&cut&-d"&"&-f1,3,5&|&\
sort&&;&;&&cat&tmp&|&column&-t&|&sed&-e&"1s/.*/`tput&smso`&`tput&rmso`/"
The&output&should&be&something&like&this:
bash$&mount&|&column&-t
/dev/hda5&&on&&/&&&&&&&&&&&&&&&type&&ext2&&&&&&(rw)
proc&&&&&&&on&&/proc&&&&&&&&&&&type&&proc&&&&&&(rw)
usbdevfs&&&on&&/proc/bus/usb&&&type&&usbdevfs&&(rw)
devpts&&&&&on&&/dev/pts&&&&&&&&type&&devpts&&&&(rw)
/dev/hda1&&on&&/mnt/windows/C&&type&&vfat&&&&&&(rw,noexec,nosuid,nodev)
/dev/hda6&&on&&/mnt/windows/E&&type&&vfat&&&&&&(rw,noexec,nosuid,nodev)
/dev/hdc5&&on&&/mnt/oldwin&&&&&type&&vfat&&&&&&(rw,noexec,nosuid,nodev)
bash$&echo&"DEVICE&DIRECTORY&FS-TYPE"&&;&&mount&|&cut&-d"&"&-f1,3,5&|&\
sort&&;&;&&cat&tmp&|&column&-t&|&sed&-e&"1s/.*/`tput&smso`&`tput&rmso`/"
DEVICE&&&&&DIRECTORY&&&&&&&FS-TYPE
/dev/hda1&&/mnt/windows/C&&vfat
/dev/hda5&&/&&&&&&&&&&&&&&&ext2
/dev/hda6&&/mnt/windows/E&&vfat
/dev/hdc5&&/mnt/oldwin&&&&&vfat
devpts&&&&&/dev/pts&&&&&&&&devpts
proc&&&&&&&/proc&&&&&&&&&&&proc
usbdevfs&&&/proc/bus/usb&&&usbdevfs
Now,&of&which&(printed)&directory&was&the&directory&of&your&deleted&file&a&subdirectory?&E.g.&if&your&file&was&stored&on&/home/user&,&you'll&have&to&look&for&'/',&since&no&closer&match&can&be&found.&Found&it?&Cool,&right&now&it's&a&piece&of&cake&to&find&the&device&on&which&the&file&was&stored&and&the&filesystem&type&of&the&device.&
Ok,&now&you&know&the&essentials&to&undelete&a&file.&This&can&be&done&in&several&ways:
& 回复于： 10:07:51
你在LINUX也可以进入到E盘啊，
mkdir&/mnt/win_x(E)
mount&-o&codepage=936,iocharset=cp936&/dev/hdc2&/mnt/win_x就可以看WINDOWS里面的东东了。。
& 回复于： 10:39:49
引用：原帖由&"tian1118"&发表：朋友能讲讲为什么
touch&./-i
rm&-fr&*
后，系统会跳出删除提示？
因为*会由shell解析后由所有文件名代替，比如当前目录下由文件1&2&3三个文件
rm&-fr&*&=&rm&-fr&1&2&3
如果有个-i的文件，由于“-”会排在大多数文件的前面（如果有","开头的文件，这方法不奏效，因为,号排在-号前面），所以
rm&-fr&*&=&rm&-fr&-i&1&2&3&
因为大多数的unix在-f&和-i同时出现时以-i为准，所以..........
这个方法在很多系统中测试过，就该死的sco505不行，因为它是按照文件建立时间排列的，如果当前目录下有就旧文件存在，－i这个文件就排到中间去了，这样上面的方法就不去作用了；当然如果你是新建的目录，先建立个－i的文件，还是有效的。
& 回复于： 17:51:47
Linux文件系统的反删除方法&
作为一个多用户、多任务的操作系统，Linux下的文件一旦被删除，是难以恢复的。尽管删除命令只是在文件节点中作删除标记，并不真正清除文件内容，但是其他用户和一些有写盘动作的进程会很快覆盖这些数据。不过，对于家庭单机使用的Linux，或者误删文件后及时补救，还是可以恢复的。&
1．Ext2文件系统结构的简单介绍&
在Linux所用的Ext2文件系统中，文件是以块为单位存储的，默认情况下每个块的大小是1K，不同的块以块号区分。每个文件还有一个节点，节点中包含有文件所有者，读写权限，文件类型等信息。对于一个小于12个块的文件，在节点中直接存储文件数据块的块号。如果文件大于12个块，那么节点在12个块号之后存储一个间接块的块号，在这个间接块号所对应的块中，存储有256个文件数据块的块号（Ext2fs中每个块号占用4字节，这样一个块中所能存储的块号就是）。如果有更大的文件，那么还会在节点中出现二级间接块和三级间接块。&
2。恢复被误删文件的方法&
大多数Linux发行版都提供一个debugfs工具，可以用来对Ext2文件系统进行编辑操作。不过在使用这个工具之前，还有一些工作要做。&
首先以只读方式重新挂载被误删的文件所在分区。使用如下命令：（假设文件在/usr分区）&
mount&–r&–n&–o&remount&/usr&
-r表示只读方式挂载；-n表示不写入/etc/mtab，如果是恢复/etc上的文件，就加上这个参数。如果系统说xxx&partion&busy，可以用fuser命令查看一下是哪些进程使用这个分区上的文件：&
fuser&–v&–m&/usr&
如果没有什么重要的进程，用以下命令停掉它们：&
fuser&-k&–v&–m&/usr&
然后就可以重新挂载这些文件系统了。&
如果是把所有的文件统一安装在一个大的/分区当中，可以在boot提示符下用linux&single进入单用户模式，尽量减少系统进程向硬盘写入数据的机会，要不干脆把硬盘挂在别的机器上。另外，恢复出来的数据不要写到/上面，避免破坏那些有用的数据。如果机器上有dos/windows，可以写到这些分区上面：&
mount&–r&–n&/dev/hda1&/mnt/had&
然后就可以执行debugfs：（假设Linux在&/dev/hda5）&
#debugfs&/dev/hda5&
就会出现debugfs提示符debugfs：&
使用lsdel命令可以列出很多被删除的文件的信息：&
debugfs：lsdel&
debugfs:&2692&deleted&inodes&found.&
Inode&Owner&Mode&Size&Blocks&Time&deleted&
&2&1/&1&Sun&May&13&19:22:46&2001&
…………………………………………………………………………………&
644&4&1/&1&Tue&Apr&24&10:11:15&2001&
&500&38/&38&Mon&May&27&13:52:04&2001&
debugfs:&
列出的文件有很多（这里找到2692个），第一字段是文件节点号，第二字段是文件所有者，第三字段是读写权限，接下来是文件大小，占用块数，删除时间。然后就可以根据文件大小和删除日期判断那些是我们需要的。比如我们要恢复节点是196829的文件：&
可以先看看文件数据状态：&
debugfs：stat&&196829&;&
Inode:&196829&Type:&regular&Mode:&0644&Flags:&0x0&Version:&1&
User:&0&Group:&0&Size:&149500&
File&ACL:&0&Directory&ACL:&0&
Links:&0&Blockcount:&38&
Fragment:&Address:&0&Number:&0&Size:&0&
ctime:&0x31a9a574&--&Mon&May&27&13:52:04&2001&
atime:&0x31a21dd1&--&Tue&May&21&20:47:29&2001&
mtime:&0x313bf4d7&--&Tue&Mar&5&08:01:27&2001&
dtime:&0x31a9a574&--&Mon&May&27&13:52:04&2001&
BLOCKS:&
811&815&817&………………………………….&
TOTAL:&38&
然后就可以用dump指令恢复文件：&
debugfs：dump&&196829&;&/mnt/hda/01.sav&
这样就把文件恢复出来了。退出debugfs：&
debugfs：quit&
另一种方法是手工编辑inode：&
debugfs：mi&&196829&;&
Mode&[0100644]&
User&ID&[0]&
Group&ID&[0]&
Size&[149500]&
Creation&time&[0x31a9a574]&
Modification&time&[0x31a9a574]&
Access&time&[0x31a21dd1]&
Deletion&time&[0x31a9a574]&0&
Link&count&[0]&1&
Block&count&[38]&
File&flags&[0x0]&
Reserved1&[0]&
File&acl&[0]&
Directory&acl&[0]&
Fragment&address&[0]&
Fragment&number&[0]&
Fragment&size&[0]&
Direct&Block&#0&[594810]&
…………………………….&
Triple&Indirect&Block&[0]&
使用mi指令后每次显示一行信息以供编辑，其它行可以直接按回车表示确认，把deletion&time改成0（未删除），Link&count改成1。改好后退出debugfs：&
debugfs：quit&
然后用fsck检查/dev/hda5&
fsck&/dev/hda5&
程序会说找到丢失的数据块，放在lost+found里面。这个目录里的文件就是我们要的东东。&
Now&all&O.K.&Good&Luck.&
这是我以前看到的保存下，不知能不能用上
& 回复于： 19:59:56
exe2undel，还马马虎虎吧
& 回复于： 21:47:52
[quote="zhuangpeipei"]不知道大家看过＜反托拉斯＞没有，里面用的确实是linux．我记得确实有一个命令可以恢复删除的东东的．电影的主人公用过．如果我说错了，大家当我一人胡言乱语．
是那样的，用了一些命令恢复删除的视频，我还在哪个地方看见过具体的用法，再找找吧，祝好运。
& 回复于： 20:28:09
mswin平台下的EasyRecovery的恢复程度似乎取决于运气的。
前面的那位好像比较幸运，我的一个20G的硬盘(Fat32)，被人重新分区然后格式化了C盘，又安装了winXP后，我用那个软件做恢复只恢复了1/5的数据，而且都是乱名字的，幸亏重要文件有备份，逃过了一劫，所以大家记着备份！
& 回复于： 00:49:02
记得曾看过的一本书里说过用rm命令删除的文件可以恢复
只是不知道具体过程
& 回复于： 11:26:05
关于误删除文件的恢复&
发信人:&wwind&(随风),&信区:&Linux&&&&&
标&题:&关于误删除文件的恢复
发信站:&BBS&水木清华站&(Sun&Apr&30&13:37:50&2000)
&&前些天被我误删掉的home&directory下的几千个文件，经过本人数天的连续奋战，
现绝大部分已恢复，算是奇迹也不是奇迹。
&&删掉文件其实只是将指向数据块的索引点(information&nodes)释放，只要不被覆
盖，数据其实还在硬盘上，关键在于找出索引点，然后将其所指数据块内的数据抓出，
再保存到另外的分区。
&&我先在网上查有关linux
undelete的信息，找到一个ext2fs-undeletion的mini-Howto，后发觉在RH6.2的
/usr/doc/HOWTO内也有，按它的方法，先将被删掉数据的盘区umount掉（防止写盘覆
盖被删除的数据，显然这一步在误删数据后做得越快越好，尤其是对多人使用的计算
机），然后查文件系统中哪些索引点最近被释放：
#debugfs&/dev/hda6&(my&'home'&partition)
&&debugfs:&lsdel
即给出相应信息，包括索引点，文件属主，大小，删除日期等。也可将结果输出到
一个文件中
&&debugfs:&quit
#&echo&lsdel&|&debugfs&/dev/hda6&&;&lsdel.out
还可用debugfs中stat查看某一索引点的详细信息：
&&debugfs:&stat&&148003&;&&&(148003为索引点)
尤其注意其数据块是否连续！
然后将该索引点所指数据块内的数据抓出并存到另一盘区：
&&debugfs:&dump&&148003&;&/dosd/tmp/recovered.001
&&按该mini-Howto的说法，以上方法只使用于大小不超过12个block的文件，对于
超过12个block的文件，由于unix是将数据分段保存的，需要将各段数据分别取出再
拼接，所以比较麻烦。但我用stat检查的结果，大文件的数据块也都是紧挨着的，
并没有被分段,&于是我试着用同样的方法将文件dump出来，发觉结果完全正确，对
六百多兆的大文件也适用！不知道linux就是连续保存文件的，还是因为我的计算机
只有我一个用户而使然，反正我用上述简单方法将我误删的绝大部分文件都恢复了。
&&需要说明的一点是，恢复的文件是没有保留文件名的，需要你查看文件内容后，
再重新命名。
&&靠人不如靠己，当初没有轻易放弃看来是正确的，尽管我有少量备份。不过经过
这场"灾难"，本人的指法倒是又熟练了不少：几千个文件得一个一个恢复！
& 回复于： 11:29:28
我在水木清华站看到好几篇关于数据恢复的文章。
如果需要可以都贴出来。
◇-&关于误删除文件的恢复&
◇-挽救已遭破坏的分区表[FWD]&&&&&&&&&
◇-丢失NTFS分区解决一例&&&&&&&&&
◇-[文章]通过mc恢复被删除文件[转载]&&&&&
◇-&拯救过去,&回&Mr.&liu&&&&&&&&&&&&&
◇-关于Linux下的undelete
& 回复于： 16:14:42
引用：原帖由&"弱智"&发表：EasyRecovery有没有试过啊？
除非rm命令既删除了索引，又删除了实际的数据，
嗬嗬，那样的话，就S的很惨了，没有任何办法了。
听我的，没错，一般的，win9x的反删除软件，
最著名的就是EasyRecovery和FinalDat..........同意,两个都用过,EasyRecovery,FinalDat是最好用的数据恢复方面,除非硬件坏了,
& 回复于： 17:33:54
don't&panic,&goto&your&windows&system,&try&some&traditional&undelete&software,&eg.&norton&or&something&like&this
There's&also&a&tool&to&undelete&files&on&ext2/3&partition,&if&someone&want,&i&can&tell&her/him.&;)
& 回复于： 17:26:59
我也有遇到这样的问题，如果那位大哥搞定了一定要在论坛上贴一个出来。
& 回复于： 00:15:33
每个学习计算机的同仁必经的一关，呵呵，多吸取教训，建立完善的备份技术储备，有用的数据一定有3－5个备份，关键数据有N个备份（异地备份》2），同时考虑数据动静态加密，备份策略，恢复间隔等等指标，确保即使硬盘爆炸，3－5分钟内在新硬盘恢复所有工作，顶多失去2hour非关键工作。。。
& 回复于： 17:24:42
没听说过rm&-fr&*后还能恢复
& 回复于： 20:05:43
考古帖，鉴定完毕。
& 回复于： 10:44:27
先学习一下,至少不会武断的认为没有救了.
& 回复于： 12:28:22
估计没有戏，我一个同事也干过这样的事情！
& 回复于： 15:38:51
LZ要不去花点钱恢复吧，不过不知道那些数据恢复中心的人可以恢复不。感觉几年的心血花点钱也值得，虽然自己弄回来最好，但是我想每个人都不想丢失这些东西吧，毕竟是自己多年的心血。。我以前也干过这事，不过还好我家4台电脑其他上面还有备份。。也希望大家以后把重要数据多备份
& 回复于： 17:51:07
理论上行得通的呀,不过不知道能不能行呀
& 回复于： 18:03:08
好好学习一下，没准什麽时候就能用上
& 回复于： 18:28:01
这么老的帖子都盯上了
& 回复于： 18:37:55
引用：原帖由&cnjnhu&于&&18:28&发表&[url=http://linux.chinaunix.net/bbs/redirect.php?goto=findpost&pid=6651913&ptid=351004]
这么老的帖子都盯上了&
估计是搜出来的，不过好好瞧瞧还是很不错的，呵呵
& 回复于： 18:49:24
要是windows分区的可能还有救,
可我删的是ext3的,可以救吗?
& 回复于： 19:30:30
以前文本文件rm后，用grep&/dev/sda&提取过
& 回复于： 19:32:13
http://blog.chinaunix.net/u1/40306/showart_474636.html
原文链接：
转载请注明作者名及原文出处