linux恢复误删除的文件（到处粘来的，没有验证过）

12款Linux系统恢复工具

电脑死机，硬盘崩溃，花巨大的money搞个急救保护器……这都是计算机的阴暗面。

　　时间一直这样走着，走着，不定哪天背点儿。对于电脑损坏造成的损失，着急抓狂毫无意义。相反，使用恰当的工具反而会最小化损失。

　　你是否不小心删除你的纪念图片？安装新系统时候，擦除了分区表？无法读取旧CD里面的数据？别急嘛～我们将会给您推荐一些免费的系统急救工具，使你从无奈中解脱出来～～：>

　　安装Ubuntu系统的朋友们，你们可以用软件包管理器安装以下程序，搜索程序名称即可安装。我们只是简单介绍下，具体你看各个软件介绍即可～～

　　1. Photorec -从各种崩溃的介质中恢复丢失的数据

　　你不必费劲擦除你的硬盘数据，一个”rm”命令使用不当就可能帮你的忙～～呵呵～图形化的环境有情可原，可以恢复你刚才不小心删除的数据。但是刚删除CF卡上的假日照片怎么恢复呢？

 

 

　　PHOTOREC:能够恢复删除约摸一周前的文件，支持超过300多种流行的文件格式，包括ZIP, HTML, PDF and JPG等。不管什么文件系统，支持硬盘、USB、内存卡、 iPods等，可以读取 FAT, NTFS, EXT2/3 和HFS+ 分区上的数据。

　　2.e2fscktools -检查、修正文件系统

　　该工具检测和修正EXT2, EXT3 和 EXT4文件系统。对于其他文件系统，可以使用xfs_ repair, jfs_fsck,fsck.resiserfs进行检测修复。

 

　　E2FSCK:可使用e2fsck标记磁盘坏区。

　　3.ntfsresize - 改变 NTFS分区大小

　　一般的Linux主流发行版本都包括此版本，可以帮助你改变windows32位64位分区大小。可检测NIFS分区错误，增大减小文件系统。

　　4. FSArchiver – 复制整个分区

　　避免损坏磁盘的有效办法就是做好备份。该工具可对数据压缩，节省空间，备份数据是只读格式。

5. chntpw – 重设 Windows 密码

　　若是忘记了Windows 密码，可使用chntpw工具重设密码。

　　6. Sfdisk – 备份分区表

　　如果你安装多系统，很容易导致分区表的混乱。该工具都绑定在各Linux发行版本，可用来备份、编辑、恢复分区表。

 

　　用sfdisk -d /dev/sda > sda_table.txt 备份分区表；sfdisk /dev/sda < sda_table.txt 恢复分区表。
若安装RAID，可用sfdisk -d / dev/sda | sfdisk /dev/sdb 备份分区表。

　　7. ddrescue – 重建损坏磁盘

　　比较古老的硬盘，经常会出现读取错误。

　　用DDRESCUE备份毁坏磁盘，然后尝试修复备份。

　　8. Rsync – 远程备份

　　可使用Grsync备份。

9. GAG – 高级引导程序

　　如果安装多系统，很容易破坏MBR，可切换到GAG 引导程序。

　　把GAG安装在主分区或逻辑分区， 可引导9个不同的操作系统，配置较简单。

 

虽然是图形化界面，大部分操作仍是靠键盘操作。

　　10. Inquisitor – 硬盘测试

　　不时的测试下硬盘，提早解决问题。Inquisitor live CD 有很多模块来测试各种东东，比如硬盘、硬盘控制器、USB、CPU、内存等等。

　　11. chkrootkit – 检测 rootkits

　　使用该工具，用许多知名的rootkit检测安装情况，扫描入侵者.

　　12. md5deep – 搜索丢失的文件

　　如果你的系统泄密，入侵者可能用恶意文件代替原始文件。可用md5deep记录系统文件hash目录。用该工具通过hash找到丢失的文件。

 

 

LINUX恢复删除后的文件

 1、恢复ext3文件系统中的删除文件操作：

（1）peter@peter-laptop:~$sudo ext3grep /dev/sdb1 --ls --inode 2 

查询/dev/sdb1文件系统下删除的所有文件。显示内容如下：

Runningext3grep version 0.10.1 WARNING:I don't know what EXT3_FEATURE_COMPAT_EXT_ATTR is. WARNING:EXT3_FEATURE_INCOMPAT_RECOVER is set. This either means that yourpartition is still mounted, and/or the file system is in an uncleanstate. Numberof groups: 16 Loadinggroup metadata... done Minimum/ maximum journal block: 197095 / 205296 Loadingjournal descriptors... sorting... done Theoldest inode block that is still in the journal, appears to be from1280903562 = Wed Aug  4 14:32:42 2010 Numberof descriptors in journal: 55; min / max sequence numbers: 6 / 17 Inodeis Allocated Loadingsdb1.ext3grep.stage2... done Thefirst block of the directory is 610. Inode2 is directory "". Directoryblock 610:           .--File type in dir_entry (r=regular file, d=directory, l=symlink)           |         .-- D: Deleted ; R: Reallocated IIndxNext |  Inode   | Deletion time                        Mode       File name ==========+==========+----------------data-from-inode------+-----------+=========  

0   1 d       2                                         drwxr-xr-x  .   

1   2 d       2                                         drwxr-xr-x  ..   

2 end d      11                                      drwx------ lost+found   

3 end r      12    D 1280906562 Wed Aug  4 15:22:42 2010  rrw-r--r--  abc  

4 end d   69841  D 1280906556 Wed Aug  4 15:22:36 2010  drwxr-xr-x text

（2）peter@peter-laptop:~$sudo ext3grep /dev/sdb1 --restore-file abc        ＃恢复文件名为abc

（3）peter@peter-laptop:~$sudo ext3grep /dev/sdb1 –restore-all      ＃恢复所有被删除的文件及目录。注：恢复的文件或目录存放在当前目录的RESTORED_FILES目录下。

2、恢复NTFS格式文件系统的删除掉的文件

步骤1：安装ntfsprogs

sudoapt-get install ntfsprogs

步骤2：卸载误删文件的NTFS分区

peter@peter-laptop:~$sudo umount /media/ufdisk/

步骤3：查看最近1天删除的文件

peter@peter-laptop:~$sudo ntfsundelete /dev/sdb1 -t 1d

Inode   Flags  %age  Date           Size  Filename

---------------------------------------------------------------

16      F...     0%  2010-08-04         0  <none>

17      F...     0%  2010-08-04         0  <none>

18      F...     0%  2010-08-04         0  <none>

19      F...     0%  2010-08-04         0  <none>

20      F...     0%  2010-08-04         0  <none>

21      F...     0%  2010-08-04         0  <none>

22      F...     0%  2010-08-04         0  <none>

23      F...     0%  2010-08-04         0  <none>

68      FR..   100%  2010-08-04        13  <none>

Fileswith potentially recoverable content: 1

步骤4：恢复INODE为68的文件

peter@peter-laptop:~$sudo ntfsundelete /dev/sdb1 -u -i 68 -d test/

Inode   Flags  %age  Date            Size  Filename

---------------------------------------------------------------

68      FR..     0%  2010-08-04        13  <none>

Undeleted'(null)' successfully.

步骤5：成功后，本例恢复后的文件是test/unknow文件，是否正确。