linux/uninx恢復刪除的檔案<轉>

Linux計算機受到入侵時，常見的情況是日誌檔案被刪除，以掩蓋攻擊者的蹤跡。錯誤也可能導致意外刪除重要的檔案，比如在清理舊日誌時，意外地刪除了的活動事務日誌。有時可以透過lsof來這些檔案。

當程式開啟了某個檔案時，只要該程式保持,開啟該檔案，即使將其刪除，它依然存在於磁碟中。這意味著，程式並不知道檔案已經被刪除，它仍然可以向開啟該檔案時提供給它的檔案描述符進行讀取和寫入。除了該程式之外，這個檔案是不可見的，因為已經刪除了其相應的目錄索引節點。

在/proc 目錄下，其中包含了反映核心和程式樹的各種檔案。/proc目錄掛載的是在記憶體中所對映的一塊區域，所以這些檔案和目錄並不存在於磁碟中，因此當我們對這些檔案進行讀取和寫入時，實際上是在從記憶體中獲取相關資訊。大多數與lsof 相關的資訊都儲存於以程式的PID 命名的目錄中，即/proc/1234 中包含的是PID 為1234 的程式的資訊。每個程式目錄中存在著各種檔案，它們可以使得應用程式簡單地瞭解程式的記憶體空間、檔案描述符列表、指向磁碟上的檔案的符號連結和其他系統資訊。lsof 程式使用該資訊和其他關於核心內部狀態的資訊來產生其輸出。所以lsof 可以顯示程式的檔案描述符和相關的檔名等資訊。也就是我們透過訪問程式的檔案描述符可以找到該檔案的相關資訊。

當系統中的某個檔案被意外地刪除了，只要這個時候系統中還有程式正在訪問該檔案，那麼我們就可以透過lsof從/proc目錄下恢復該檔案的內容。 假如由於誤操作將/var/log/messages檔案刪除掉了，那麼這時要將/var/log/messages檔案恢復的方法如下：

首先使用lsof來檢視當前是否有程式開啟/var/logmessages檔案，如下：

[root@station90 yum.repos.d]# lsof | grep /var/log/messages

syslogd   2699      root    1w      REG                8,2   480817     330592 /var/log/messages (deleted)

從上面的資訊可以看到PID 2699（syslogd）開啟檔案的檔案描述符為 1。同時還可以看到/var/log/messages已經標記被刪除了。因此我們可以在/proc/2699/fd/1 （fd下的每個以數字命名的檔案表示程式對應的檔案描述符）中檢視相應的資訊，如下：

[root@station90 fd]# pwd
/proc/2699/fd
[root@station90 fd]# cat 1 | head -n 5
Jan 13 08:59:02 station90 syslogd 1.4.1: restart.
Jan 13 10:44:22 station90 syslogd 1.4.1: restart.
Jan 13 10:44:22 station90 kernel: klogd 1.4.1, log source = /proc/kmsg started.
Jan 13 10:44:22 station90 kernel: Linux version 2.6.18-164.el5 (mockbuild@x86-003.build.bos.redhat.com) (gcc version 4.1.2 20080704 (Red Hat 4.1.2-46)) #1 SMP Tue Aug 18 15:51:48 EDT 2009
Jan 13 10:44:22 station90 kernel: Command line: ro root=LABEL=/ rhgb quiet

從上面的資訊可以看出，檢視/proc/2699/fd/1 就可以得到所要恢復的資料。如果可以透過檔案描述符檢視相應的資料，那麼就可以使用 I/O 重定向將其複製到檔案中，如:

cat /proc/2699/fd/1 > /var/log/messages

在恢復之前，及時touch了/var/log/messages檔案也是沒有問題的

對於許多應用程式，尤其是日誌檔案和資料庫，這種恢復刪除檔案的方法非常有用。