Linux操作系統(tǒng)是世界上流行的操作系統(tǒng)之一，被廣泛用于服務(wù)器、個人電腦、移動設(shè)備和嵌入式系統(tǒng)。Linux系統(tǒng)下數(shù)據(jù)被誤刪除或者誤格式化的問題非常普遍。下面北亞企安數(shù)據(jù)恢復工程師簡單聊一下基于linux的文件系統(tǒng)（EXT2/EXT3/EXT4/Reiserfs/Xfs） 下刪除或者格式化的數(shù)據(jù)恢復流程和可行性。

Linux系統(tǒng)數(shù)據(jù)恢復流程：
1、檢測設(shè)備是否存在硬件故障，如果存在硬件故障，交由硬件工程師處理。
2、以只讀方式檢測故障表現(xiàn)是否與用戶描述相同。
3、以只讀方式將故障磁盤做扇區(qū)級完整鏡像。
4、如果需要恢復完整目錄結(jié)構(gòu)，則需要先恢復已丟失的文件節(jié)點，然后再恢復數(shù)據(jù)。如果文件節(jié)點無法恢復，則可按照文件類型進行恢復。
5、將恢復后的數(shù)據(jù)暫存在另一個存儲體上。
6、驗證恢復好的數(shù)據(jù)。

Linux系統(tǒng)數(shù)據(jù)恢復的可行性分析：
1、針對EXT2/EXT3/EXT4文件系統(tǒng)下的刪除：
在EXT2文件系統(tǒng)上， 數(shù)據(jù)刪除了通常會保留相應(yīng)的INODE。所以在EXT2文件系統(tǒng)上，只要數(shù)據(jù)刪除后沒有覆蓋，通常可以將數(shù)據(jù)連同目錄和名稱完整恢復。
在EXT3/EXT4文件系統(tǒng)上，數(shù)據(jù)刪除了不會保留INODE中的索引信息，通常無法恢復目錄及文件名稱，只能按照文件類型進行恢復。如果文件數(shù)量少或文件規(guī)律性強，可以通過部分日志或文件內(nèi)部規(guī)則進行恢復。典型的如mysql、oracle數(shù)據(jù)庫文件等數(shù)據(jù)刪除后如果沒有覆蓋，通常可以完整恢復。
如果刪除數(shù)據(jù)之后有新數(shù)據(jù)寫入，則視情況而定：寫入越多，可恢復率越低；寫入越少，可恢復率越高。
2、針對EXT2/EXT3/EXT4文件系統(tǒng)的格式化：
如果格式化后的文件系統(tǒng)與之前文件系統(tǒng)結(jié)構(gòu)相同，則之前文件系統(tǒng)的節(jié)點區(qū)會被全部覆蓋，只能按照文件類型進行恢復。與上面描述的EXT3/EXT4文件系統(tǒng)下刪除數(shù)據(jù)的情況相似。
3、針對Reiserfs的刪除/格式化：
數(shù)據(jù)刪除或格式化后如果無新的數(shù)據(jù)寫入，通常可以完整恢復。
如果刪除數(shù)據(jù)或格式化之后有新數(shù)據(jù)寫入，則視情況而定：寫入越多，可恢復率越低；寫入越少，可恢復率越高。
4、針對Xfs的刪除/格式化：
數(shù)據(jù)刪除或格式化后如果無新的數(shù)據(jù)寫入，通常可以完整恢復。
如果刪除數(shù)據(jù)或格式化之后有新數(shù)據(jù)寫入，則視情況而定，寫入越多，可恢復率越低；寫入越少，可恢復率越高。

小貼士：
1、存儲設(shè)備沒有100%的安全，重要數(shù)據(jù)需要經(jīng)常備份，有條件最好將備份存放在不同存儲體上。
2、發(fā)現(xiàn)數(shù)據(jù)丟失后，不應(yīng)該有任何操作。如有條件，發(fā)現(xiàn)問題后應(yīng)該立即將數(shù)據(jù)完整備份。
3、發(fā)現(xiàn)數(shù)據(jù)丟失后，即使不寫入新的數(shù)據(jù)，單純的讀取也極有可能破壞文件系統(tǒng)日志。所以一旦發(fā)現(xiàn)問題后，盡快umount文件系統(tǒng)。

審核編輯 黃宇