最近使用centos执行了rm -rf删除了一个文件，后面想恢复。
先关闭selinux
vim /etc/selinux/config
SELINUX=disabled
reboot 重启生效
1、使用debugfs命令恢复（此命令为系统自带）
1-1、查看文件系统类型，以下2个命令都可查看，我的环境里面文件系统类型是ext4
parted -l
df -Th
1-2、创建test文件，往里面填入内容，然后删除test文件
vim /root/test
TESTTEST
rm -rf /root/test
1-3、查看被删除文件所在的分区
df ./
1-4、启动debugfs工具
debugfs
1-5、打开被删除文件所在分区
open /dev/mapper/VolGroup-lv_root
1-6、查看被误删除文件所在目录下的所有文件(误删除和没有删除的文件都可以看到，带<>表示为已经被删除)
ls -d /root
1-7、找到被删除文件test，记录下尖括号内的数值 ,使用logdump命令
logdump -i <131086>
1-8、退出debugfs
quit
1-9、恢复文件，if值为分区路径，of值为恢复后的文件放在哪里的路径， bs值为offset，skip值为block
dd if=/dev/mapper/VolGroup-lv_root of=/tmp/test bs=1664 count=1 skip=524320
我的文件恢复以后就乱码了，网上查了一下说是和文件系统类型有关，我的是ext4文件系统，使用debugfs工具恢复就乱码了，使用第2种方式恢复成功
2、使用extundelete工具恢复（需要编译安装）
简介
1.extundelete的文件恢复工具，该工具最给力的一点就是支持ext3/ext4双格式分区恢复,也支持xfs格式分区恢复
2. 在实际线上恢复过程中，切勿将extundelete安装到你误删的文件所在硬盘，这样会有一定几率将需要恢复的数据彻底覆盖。
3. extundelete还是有很大的不完整性,基于整个磁盘的恢复功能较为强大,基于目录和文件的恢复还不够强大。
4. extundelete执行完毕后在当前目录生产一个RECOVERED_FILES目录，里面即是恢复出来的文件，还包括文件夹
5. 任何的文件恢复工具，在使用前，均要将要恢复的分区卸载或挂载为只读，防止数据被覆盖使用。
umount /dev/partition
mount -r /dev/partition
2-1、挂载本地yum源，起名为base
mount -r /dev/sr0 /mnt
vim /etc/yum.repos.d/base.repo
[base]
name=base
baseurl=file:///mnt/
gpgcheck=0
enabled=1
2-2、安装编译依赖包
yum install -y e2fsprogs* e2fslibs* gcc*
2-3、下载extundelete安装包
1、通过https://download.csdn.net/download/weixin_45548465/86505918下载安装包，然后拷贝到系统里。
2、如果系统直接能连外网，可以直接使用weget命令下载。
wget http://nchc.dl.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar.bz2
2-4、我使用的是第一种方式下载安装包然后拷贝到系统，解压extundelete安装包，并编译安装
tar xvf extundelete-0.2.4.tar.gz -C /usr/local/src/
cd /usr/local/src/extundelete-0.2.4
./configure --prefix=/usr/local/extundelete
make && make install
ln -s /usr/local/extundelete/bin/* /usr/local/bin/
2-5、如果不知道删除的路径，那就只能一步步查找，可以先从根分区 inode 查找，查看/的inode号
extundelete /dev/mapper/VolGroup-lv_root --inode 2
2-6、我知道我删除的文件在/root下，那我先直接找到/root的inode为131074
stat /root
2-7、找到被删除文件/root/test的inode号为131088
2-7、根据inode号恢复对应文件
extundelete /dev/mapper/VolGroup-lv_root --restore-inode 131088
2-8、查看恢复后的文件，发现就是我之前删的文件，恢复成功
2-9、如果嫌麻烦，可以直接恢复某个分区所有被删除的文件，如果某些文件被覆盖可能恢复出来是乱码
extundelete /dev/mapper/VolGroup-lv_root --restore-all
extundelete /dev/mapper/VolGroup-lv_root --restore-file test #指定恢复test文件
extundelete /dev/mapper/VolGroup-lv_root --restore-directory test #指定恢复test目录
