Поиск удаленных inodes
Следующий шаг - выяснить, какие именно inode были удалены. Это можно сделать с помощью debugfs. Запустите debugfs, указав имя устройства с удаленными файлами:
| # debugfs /dev/hda5 |
Если хотите непосредственно изменять inode, то укажите ключ -w для разрешения записи в файловую систему:
| # debugfs -w /dev/hda5 |
Команда lsdel программы debugfs предназначена для поиска удаленных inode. При появлении приглашения, введите ее:
| debugfs: lsdel |
После долгого скрипения диском, вашей любимой программе просмотра текста (переменная $PAGER) будет передан длинный список, который нужно сохранить. Если вы используете less, наберите -o с именем файла. В противном случае, вам придется перенаправлять вывод. Можно сделать так:
| debugfs: quit # echo lsdel | debugfs /dev/hda5 > lsdel.out |
Теперь вам предстоит, основываясь на времени удаления, размере, типе, числовых значениях прав доступа и владельца, определить, какие из удаленных inode вам нужны. Если вам повезет, то вы сможете быстро найти их по времени удаления. Иначе придется очень тщательно копаться в этом списке.
Советую, если есть такая возможность, распечатать список indode, которые вы хотите восстановить. Это сильно упрощает жизнь.
