ext2数据恢复实验

ext2 数据恢复实验 实验环境实验环境 Linux 实验台 实验内容实验内容 Linux 下的磁盘管理 手动恢复误删文件 实验原理实验原理 一 一 Linux 文件系统简介文件系统简介 文件是计算机存储信息的基本单位 是一组相关记录的集合 文件系统是操作系统中 负责存取和管理文件信息的机构 是操作系统用于明确磁盘或分区上的文件的方法和数据 结构 即在磁盘上组织文件的方法 也指用于存储文件的磁盘或分区 或文件系统种类 因此 2 个文件系统 意思是有 2 个分区 在 Linux 系统中 每个分区都是一个文件系统 都有自己的目录层次结构 Linux 的最重要 的特征之一就是支持多种文件系统 这样它更加灵活 并可以和许多其它种操作系统共存 随着 Linux 的不断发展 它所支持的文件格式系统也在迅速扩充 特别是 Linux2 4 内核正 式推出后 出现了大量新的文件系统 其中包括日志文件系统 ext3 ReiserFS XFSJFS 和 其它文件系统 Linux 内核可以支持十多种文件系统类型 JFS ReiserFS ext ext2 ext3 XFS NFS SMB VFAT NTFS MSDOS 等 1 ext ext 是第一个专门为 Linux 开发的文件系统类型 叫做扩展文件系统 这是 1992 年 4 月完 成的 对 Linux 早期的发展产生了重要作用 但是 由于其在稳定性 速度和兼容性上存 在许多缺陷 现在已经很少使用了 2 ext2 ext2 是为解决 ext 文件系统的缺陷而设计的可扩展的 高性能的文件系统 它又被称为二 级扩展文件系统 于 1993 年发布 它是 Linux 文件系统类型中使用最多的格式 并且在速 度和 CPU 利用率上较为突出 是 GNU Linux 系统中标准的文件系统 它存取文件的性能 极好 对于中 小型的文件更显示出优势 这主要得益于其簇快取层的优良设计 ext2 可 以支持 256 字节的长文件名 其单一文件大小和文件系统本身的容量上限与文件系统本身 的簇大小有关 在常见的 Inter x86 兼容处理器的系统中 簇最大为 4KB 单一文件大小上 限为 2048GB 而文件系统的容量上限为 6384GB 尽管 Linux 可以支持种类繁多的文件系 统 但是 2000 年以前几乎所有的 Linux 发行版都使用 ext2 作为默认的文件系统 ext2 也有一些问题 由于它的设计者主要考虑的是文件系统性能方面的问题 而在写入文 件内容的同时 并没有写入文件的 meta data 和文件有关的信息 例如权限 所有者及创建 和访问时间 换句话说 Linux 先写入文件的内容 然后等到有空的时候才写入文件的 meta data 如果出现写入文件内容之后 但在写入文件的 meta data 之前系统突然断电 就 可能造成文件系统处于不一致状态 在一个有大量文件操作的系统中 出现这种情况会导 致很严重的后果 3 ext3 在介绍 ext3 之前 先介绍一些日志式文件系统基础 日志式文件系统起源于 Oracle Sybase 等大型数据库 由于数据库操作往往是由多个相关 的 相互依赖的子操作组成 任何一个子操作的失败都意味着整个操作的无效性 对数据 库数据的任何修改都要恢复到操作以前的状态 Linux 日志式文件系统就是由此发展而来 的 日志文件系统通过增加一个叫做日志的 新的数据结构来解决这个问题 这个日志是 位于磁盘上的结构 在对元数据做任何改变以前 文件系统驱动程序会向日志中写入一个 条目 这个条目描述了它将要做些什么 所以日志文件具有可伸缩性和健壮性 在分区中 保存日志记录文件好处是 文件系统写操作首先是对记录文件进行操作 若整个写操作由 于某种原因 如系统掉电 而中断 则在下次系统启动时就会日志记录文件的内容 恢复到 没有完成的写操作 这个过程一般只需要两三分钟的时间 ext3 是由开放资源社区开发的日志文件系统 早期主要开发人员是 Stephen Tweedie ext3 被设计成是 ext2 升级版本 尽可能方便用户从 ext2 向 ext3 迁移 ext3 在 ext2 的基础上加 入了记录元数据的日志功能 努力保持向前和向后的兼容性 也就是在保有目前 ext2 的格 式之下再加上日志功能 和 ext2 相比 ext3 提供了更佳的安全性 这就是数据日志和元数 据日志之间的不同 ext3 是一种日志式文件系统 日志式文件系统的优越性在于由于文件 系统都有快取层参与动作 如不使用时必须将文件系统卸下 以便将快取层的资料写回磁 盘中 因此 每当系统要关机时 必须将其所有的文件系统全部卸下后才能进行关机 如 果在文件系统尚未卸下前就关机 如停电 那么重开机后就会造成文件系统的资料不一致 故这时必须做文件系统的重整工作 将不一致与错误的地方修复 ext3 最大的缺点是 它没有现代文件系统所具有的 能提高文件数据处理速度和解压的高 性能 此外 使用 ext3 文件系统要注意硬盘限额问题 4 查看 Linux 支持的文件系统类型 不同版本的 Linux 所支持的文件系统类型和种类都有所不同 可通过如下方法查看当前 Linux 系统所支持的文件系统类型 以超级用户权限 root 登录 Linux 进入 lib modules kernel version kernel fs 执行命令 ls 如图 2 5 4 1 所示 其中 kernel version 表示 Linux 系统的内核版本号 图 2 5 4 1 FC5 发行版所支持的文件系统类型 从图 2 5 4 1 可以看到 Red Hat FC5 所支持的文件系统类型 二 二 Linux 文件系统通用结构简介文件系统通用结构简介 大部分 Linux 文件系统种类具有类似的通用结构 其中心概念是超级块 superblock i 节点 inode 数据块 data block 目录块 directory block 和间接块 indirection block 超级块包 括文件系统的总体信息 比如大小 其准确信息依赖文件系统 inode 即索引节点 inode 点包括除了名字外的一个文件的所有信息 名字与 inode 数目一起存在目录中 目录条目 包括文件名和文件的 inode 数目 inode 包括几个数据块的数目 用于存储文件的数据 每个存储设备或存储设备的分区被格式化为文件系统后 应该有两部份 一部份是 inode 另一部份是 Block 用来存储数据 inode 用来存储这些数据的信息 包括文件大小 所有者 归属的用户组 读写权限等 inode 为每个文件进行信息索引 所以就有了 inode 的数值 操作系统根据指令 能通过 inode 值最快的找到相对应的文件 比如一本书 存 储设备或分区就相当于这本书 Block 相当于书中的每一页 inode 就相当于这本书前面的 目录 一本书有很多的内容 如果想查找某部份的内容 我们可以先查目录 通过目录能 最快的找到需要的内容 实验步骤实验步骤 一 一 设置磁盘设置磁盘 一 查看硬盘设备文件 1 参照 WindowsRAID 实验 为 Linux 实验台添加一块磁盘 2 启动 Linux 实验台 进入 Linux 系统 输入命令 ls dev 查看硬盘设备 如图 2 5 4 2 所示 图 2 5 4 2 从中我们可以判断当前 Linux 主机安装有两块硬盘 dev hda 和 dev sda 其中 dev hda 已 被分为 hda1 和 hda2 二个磁盘分区 dev sda 尚未进行磁盘分区 可通过命令 fdisk l 查看 硬盘的分区情况 二 磁盘分区 将硬盘 dev sda 进行磁盘分区 仅一个物理分区 具体操作如下 1 输入命令 fdisk dev sda 进入 fdisk 控制台开始对硬盘 sda 进行分区 输入 m 可 查看 fdisk 命令帮助 2 在 fdisk 控制中依次输入命令 n add a new partition 增加新磁盘分区 p primary partition 创建主分区 1 Partition number 1 4 主分区编号 最多 4 个主分区 1 First cylinder 分区开始柱面 204 Last cylinder 分区最后柱面 w write table to disk and exit 写入磁盘分区表后退出 上述过程如图 2 5 4 3 所示 图 2 5 4 3 三 再次查看硬盘设备 输入命令 fdisk l dev sda 查看硬盘设备 sda 分区情况 如图 2 5 4 4 所示 并记录 图 2 5 4 4 四 挂载磁盘分区 1 完成对 dev sda1 分区的 ext2 格式化工作 具体命令 mkfs ext2 dev sda1 如图 2 5 4 5 所示 图 2 5 4 5 2 将磁盘分区 dev sda1 挂载到目录 tmp 下 具体命令 mount dev sda1 tmp 接下 来输入命令 mount 查看所有磁盘分区的挂载情况并记录 具体如图 2 5 4 6 所 示 图 2 5 4 6 二 二 手动恢复文件手动恢复文件 一 文件操作 1 进入 tmp 目录 利用 vim 文件编辑器新建并编辑文件 123 txt 自定义文件内容 保存文件并退出 2 应用 md5sum 对 123 txt 进行文件摘要计算 并记录其文件摘要 用 stat 查看 123 txt 的文件状态 记录其文件 Inode 值 如图 2 5 4 7 所示 图 2 5 4 7 二 删除文件 使用命令 rm f 123 txt 删除文件 三 恢复被删除的文件 123 txt 1 第一时间将 dev sda1 挂载为只读模式 禁止对磁盘分区进行写入操作 主要目的 是防止被删除文件的数据区被新写入数据覆盖掉 如图 2 5 4 8 所示 图 2 5 4 8 2 使用文件系统调试器 debugfs 以读和写方式打开 ext2 文件系统分区 debugfs w 文件系统分区 3 进入 debugfs 控制台后 键入 lsdel 命令查看该分区中已被删除的文件信息 注意 被删除文件的 Inode 值 4 在 debugfs 控制台中通过下面的语句来恢复指定 Inode 值的文件 已被删除的文件 del txt dump 导出文件 其中 导出文件 为恢复后的文件 在 debugfs 控制