Linux操作系統(tǒng)是世界上流行的操作系統(tǒng)之一，被廣泛用于服務(wù)器、個(gè)人電腦、移動(dòng)設(shè)備和嵌入式系統(tǒng)。Linux系統(tǒng)下數(shù)據(jù)被誤刪除或者誤格式化的問(wèn)題非常普遍。下面北亞企安數(shù)據(jù)恢復(fù)工程師簡(jiǎn)單聊一下基于linux的文件系統(tǒng)（EXT2/EXT3/EXT4/Reiserfs/Xfs） 下刪除或者格式化的數(shù)據(jù)恢復(fù)流程和可行性。

Linux系統(tǒng)數(shù)據(jù)恢復(fù)流程：
1、檢測(cè)設(shè)備是否存在硬件故障，如果存在硬件故障，交由硬件工程師處理。
2、以只讀方式檢測(cè)故障表現(xiàn)是否與用戶描述相同。
3、以只讀方式將故障磁盤(pán)做扇區(qū)級(jí)完整鏡像。
4、如果需要恢復(fù)完整目錄結(jié)構(gòu)，則需要先恢復(fù)已丟失的文件節(jié)點(diǎn)，然后再恢復(fù)數(shù)據(jù)。如果文件節(jié)點(diǎn)無(wú)法恢復(fù)，則可按照文件類(lèi)型進(jìn)行恢復(fù)。
5、將恢復(fù)后的數(shù)據(jù)暫存在另一個(gè)存儲(chǔ)體上。
6、驗(yàn)證恢復(fù)好的數(shù)據(jù)。

Linux系統(tǒng)數(shù)據(jù)恢復(fù)的可行性分析：
1、針對(duì)EXT2/EXT3/EXT4文件系統(tǒng)下的刪除：
在EXT2文件系統(tǒng)上， 數(shù)據(jù)刪除了通常會(huì)保留相應(yīng)的INODE。所以在EXT2文件系統(tǒng)上，只要數(shù)據(jù)刪除后沒(méi)有覆蓋，通?？梢詫?shù)據(jù)連同目錄和名稱完整恢復(fù)。
在EXT3/EXT4文件系統(tǒng)上，數(shù)據(jù)刪除了不會(huì)保留INODE中的索引信息，通常無(wú)法恢復(fù)目錄及文件名稱，只能按照文件類(lèi)型進(jìn)行恢復(fù)。如果文件數(shù)量少或文件規(guī)律性強(qiáng)，可以通過(guò)部分日志或文件內(nèi)部規(guī)則進(jìn)行恢復(fù)。典型的如mysql、oracle數(shù)據(jù)庫(kù)文件等數(shù)據(jù)刪除后如果沒(méi)有覆蓋，通?？梢酝暾謴?fù)。
如果刪除數(shù)據(jù)之后有新數(shù)據(jù)寫(xiě)入，則視情況而定：寫(xiě)入越多，可恢復(fù)率越低；寫(xiě)入越少，可恢復(fù)率越高。
2、針對(duì)EXT2/EXT3/EXT4文件系統(tǒng)的格式化：
如果格式化后的文件系統(tǒng)與之前文件系統(tǒng)結(jié)構(gòu)相同，則之前文件系統(tǒng)的節(jié)點(diǎn)區(qū)會(huì)被全部覆蓋，只能按照文件類(lèi)型進(jìn)行恢復(fù)。與上面描述的EXT3/EXT4文件系統(tǒng)下刪除數(shù)據(jù)的情況相似。
3、針對(duì)Reiserfs的刪除/格式化：
數(shù)據(jù)刪除或格式化后如果無(wú)新的數(shù)據(jù)寫(xiě)入，通?？梢酝暾謴?fù)。
如果刪除數(shù)據(jù)或格式化之后有新數(shù)據(jù)寫(xiě)入，則視情況而定：寫(xiě)入越多，可恢復(fù)率越低；寫(xiě)入越少，可恢復(fù)率越高。
4、針對(duì)Xfs的刪除/格式化：
數(shù)據(jù)刪除或格式化后如果無(wú)新的數(shù)據(jù)寫(xiě)入，通?？梢酝暾謴?fù)。
如果刪除數(shù)據(jù)或格式化之后有新數(shù)據(jù)寫(xiě)入，則視情況而定，寫(xiě)入越多，可恢復(fù)率越低；寫(xiě)入越少，可恢復(fù)率越高。

小貼士：
1、存儲(chǔ)設(shè)備沒(méi)有100%的安全，重要數(shù)據(jù)需要經(jīng)常備份，有條件最好將備份存放在不同存儲(chǔ)體上。
2、發(fā)現(xiàn)數(shù)據(jù)丟失后，不應(yīng)該有任何操作。如有條件，發(fā)現(xiàn)問(wèn)題后應(yīng)該立即將數(shù)據(jù)完整備份。
3、發(fā)現(xiàn)數(shù)據(jù)丟失后，即使不寫(xiě)入新的數(shù)據(jù)，單純的讀取也極有可能破壞文件系統(tǒng)日志。所以一旦發(fā)現(xiàn)問(wèn)題后，盡快umount文件系統(tǒng)。

審核編輯 黃宇