下面是这个教程将教你如何在Ext3的文件系统中恢复被rm掉的文件。

假设我们有一个文件名叫 ‘test.txt’

注意：: “-il” 选项表示显示文件的i-node号（15），如果你不知道Unix/Linux文件系统的“I结点”的话，你有必要先补充一下相关的知识。简单说来，i结点就是操作管理文件的一个标识号。

我们再看一下其内容：

好，现在我们开始删除文件：.

注意，我们并不知道其inode号，但我们可以使用 debugfs 命令来查看（使用其 ls -d 选项）。

你看文件名了吧，它的inode号是 <2121567> ，注意，被删除了的文件的inode都是用尖括号包起来的。

即然知道了inode号，那么我们就很容易恢复了（使用 logdump选项）：

上面有很多信息，让我们仔细地查看，你可以看到下面一行信息：

并且，其类型是：

再仔细看一下文件的时间戳下面的Blocks: 什么也没有。那么，让我们看一下下一个block：

这一条Journal就有block信息了：

这就是被删除文件的地址，让我们再次运行恢复命令：

再让我们来检查一下文件内容：

小结

好了，下面是我们的一些总结：
1)使用 debugfs: ls -d 找到被删除文件的inode号。
2)使用 debugfs:logdump找到文件的数据块地址。
3)使用dd 命令把数据取出来存成文件。

网上有很其它不同的方法来恢复文件，基本上也是使用debugfs这个命令，有的还使用到了lsdel，其实大同小异，这个教程是我在网上看到的，虽然他说只是针对Ext3文件系统的，但我总感觉应该可以用于Ext2文件系统，不过我没有试过。也许Ext2和Ext3被debugfs输出的信息不一样吧。大家可以去试试。

（全文完）