如何使用lsof命令恢复已删除的文件？

梦里梦外; 2023-10-08 08:17 96阅读 0赞

**[如何使用lsof命令恢复已删除的文件？][lsof]**

在Linux文件系统中，文件实际上是指向索引节点的链接，该索引节点包含文件的属性，例如所有权，权限，数据块的地址等。当使用rm命令删除文件时，将删除指向其索引节点的链接，但不指向索引节点的链接。其他进程仍可以将其打开。完成操作后，所有链接都将被删除，一个inode及其指向的数据块可用于写入。

现在，如果某个进程仍打开了文件，那么数据就在某个地方，即使根据列出的目录，该文件似乎已经消失了。Linux进程伪文件系统/ proc目录在这里生效。系统上的每个进程都有一个带有其名称的目录，其中包含许多内容，例如：文件描述符，它是一个子目录，包含指向该进程已打开的所有文件的链接。即使文件已从文件系统中删除，该数据的副本也将在那里：

/ proc /进程id / fd / file\_descriptor

现在找到它，您需要获取打开了文件的进程的ID，以及文件描述符。这些是通过lsof获得的，这意味着“列出打开的文件”。

一旦从lsof获得了该信息，就可以从/ proc中复制数据并获得（实际上）丢失的内容。

您可以使用以下示例对此进行测试

首先，创建一个文本文件，您可以将其删除然后再带回：

$ man lsof | col -b > test\_file

然后看一下您刚刚创建的文件的内容：

$ less test\_file

您应该看到lsof的大型手册页的纯文本版本看着您，礼貌些。

现在按Ctrl-Z暂停less。返回一个shell提示符，确保您的文件仍然存在：

$ ls -l test\_file

\-rw-r--r--. 1 root root 124467 Oct 14 13:42 test\_file

\# stat test\_file

File: ‘test\_file’

Size: 124467 Blocks: 248 IO Block: 4096 regular file

Device: fd00h/64768d Inode: 2149553030 Links: 1

Access: (0644/-rw-r--r--) Uid: ( 0/ root) Gid: ( 0/ root)

Context: unconfined\_u:object\_r:admin\_home\_t:s0

Access: 2019-10-14 13:42:13.633798195 +0800

Modify: 2019-10-14 13:42:08.749021536 +0800

Change: 2019-10-14 13:42:08.749021536 +0800

Birth: -

$ rm test\_file

$ stat test\_file

stat: cannot stat ‘test\_file’: No such file or directory

在这里，我们绝不能允许仍然使用该文件的进程退出，因为一旦发生这种情况，该文件将真正消失并且您的麻烦将会加剧。现在，如果这是您正在播放的视频或声音文件，那么当您意识到已删除文件时，要做的第一件事就是立即暂停应用程序的播放，或者冻结该过程，以便它最终不会停止播放文件并退出。

现在将文件带回来。首先，看看lsof必须说些什么：

$ lsof | grep test\_file

less 2615 root 4r REG 253,0 124467 2149553030 /root/test\_file (deleted)

第一列为您提供与该进程关联的命令的名称，第二列为该进程的ID，第四列中的数字为文件描述符（“ r”表示它是常规文件）。现在您知道进程2615仍然打开了文件，并且知道了文件描述符4。这就是将其从/ proc中复制出来所需要的一切。

我们可能会认为，将\-a标志与cp一起使用是正确的做法，因为我们正在还原文件，但是实际上不要这样做很重要。否则，您将不复制文件中包含的文字数据，而只是将一个现在断开的符号链接复制到该文件，因为该文件曾经在其原始目录中列出：

$ ls -l /proc/2615/fd/4

lr-x------. 1 root root 64 Oct 14 13:45 /proc/2615/fd/4 -> /root/test\_file (deleted)

$ cp /proc/2615/fd/4 test\_file

最后，确认您做得不错：

$ ls -l test\_file

\-rw-r--r--. 1 root root 124467 Oct 14 13:48 test\_file

$ man lsof | col -b> test\_file1

$ cmp test\_file test\_file1

文件没有差异，这表明还原成功。

[lsof]: https://www.supportpro.com/blog/how-to-bring-back-deleted-files-using-lsof-command/

发表评论取消回复

表情：

评论列表（有 0 条评论，96人围观）

还没有评论，来说两句吧...

相关阅读

相关 linux教程：使用lsof命令恢复删除的文件

linux教程：使用lsof命令恢复删除的文件 > 删掉文件其实只是将指向数据块的索引点(information nodes)释放，只要不被覆盖，数据其实还在硬盘上，关键

末蓝、/ 2023年10月14日 23:40/ 0 赞/ 54 阅读

相关如何使用lsof命令恢复已删除的文件？

[如何使用lsof命令恢复已删除的文件？][lsof] 在Linux文件系统中，文件实际上是指向索引节点的链接，该索引节点包含文件的属性，例如所有权，权限，数据块的地址等。当

梦里梦外;/ 2023年10月08日 08:17/ 0 赞/ 97 阅读

相关 lsof 命令用法：查看已删除空间却没有释放的进程

一、概述 lsof（list open files）是一个查看当前系统文件的工具。在linux环境下，任何事物都以文件的形式存在，通过文件不仅仅可以访问常

忘是亡心i/ 2023年07月08日 09:29/ 0 赞/ 38 阅读

相关使用lsof恢复进程打开的误删除文件

在Linux系统中一切皆可以看成是文件，文件又可分为：普通文件、目录文件、链接文件和设备文件。文件描述符（file descriptor）是内核为了高效管理已被打开的文件所创建

我会带着你远行/ 2023年02月14日 02:43/ 0 赞/ 49 阅读

相关 Eclipse中如何恢复已删除文件

原文：[http://zhangjunhd.blog.51cto.com/113473/23092][http_zhangjunhd.blog.51cto.com_113473

ゞ浴缸里的玫瑰/ 2022年06月13日 02:36/ 0 赞/ 286 阅读

相关 myeclipse如何恢复已删除的文件和代码

这是一篇分享技巧的文章：myeclipse恢复误删文件和代码 \[ 恢复误删文件 \] 今天在写代码的时候，不小心把一个包给删除了，然后这个包下所有的文件都没了，

电玩女神/ 2022年06月06日 04:36/ 0 赞/ 545 阅读

相关 Lsof命令使用

Lsof命令使用 1、lsof 简介 Lsof是遵从Unix哲学的典范，它只做一件事情，并且做的相当完美。以列出某个进程打开的所有文件信息。打开的文件可能是普通的文

心已赠人/ 2022年05月27日 13:20/ 0 赞/ 653 阅读

相关 IDEA恢复已删除的文件

因为一些原因把原来的项目删除了，自己本地代码没有提交，而且我已经清空回收站了，然后重新从svn检出代码，但是前面写的代码不见了，当时我就崩溃了…… 百度了一波，说是用数据恢复

不念不忘少年蓝@/ 2021年12月03日 14:15/ 0 赞/ 560 阅读

相关 Linux lsof命令以及恢复删除的文件

1、简介 lsof(list open files)是一个列出当前系统打开文件的工具。在linux环境下，任何事物都以文件的形式存在，通过文件不仅仅可以访问常规数据，还可...

小鱼儿/ 2021年05月02日 12:38/ 0 赞/ 465 阅读

相关 Eclipse中如何恢复已删除文件

如果，在开发中，（Eclipse）删除了一些文件后又发现需要这些文件该怎么办？现在删除T1.java 和T4.properties 。鼠标右键点击项目名ZJ ...

系统管理员/ 2021年04月23日 15:57/ 0 赞/ 572 阅读