日本免费全黄少妇一区二区三区-高清无码一区二区三区四区-欧美中文字幕日韩在线观看-国产福利诱惑在线网站-国产中文字幕一区在线-亚洲欧美精品日韩一区-久久国产精品国产精品国产-国产精久久久久久一区二区三区-欧美亚洲国产精品久久久久

  1. 首頁 > 云知道 > >

Linux通過lsof命令恢復(fù)誤刪文件的步驟

小知識Linux通過lsof

Linux系統(tǒng)下lsof命令的用法有很多，恢復(fù)誤刪文件就是其中一種用法，特別是日志類文件的恢復(fù)，下面小編就給大家介紹下Linux使用lsof命令恢復(fù)誤刪文件的方法 。

Linux通過lsof命令恢復(fù)誤刪文件的步驟


前提條件：該文件在刪除后，仍然被進(jìn)程訪問著，所以，比較適合用于恢復(fù)日志類的文件 。
當(dāng)Linux計算機(jī)受到入侵時，常見的情況是日志文件被刪除，以掩蓋攻擊者的蹤跡 。管理錯誤也可能導(dǎo)致意外刪除重要的文件，比如在清理舊日志時，意外地刪除了數(shù)據(jù)庫的活動事務(wù)日志 。有時可以通過lsof來恢復(fù)這些文件 。
當(dāng)進(jìn)程打開了某個文件時，只要該進(jìn)程保持打開該文件，即使將其刪除，它依然存在于磁盤中 。這意味著，進(jìn)程并不知道文件已經(jīng)被刪除，它仍然可以向打開該文件時提供給它的文件描述符進(jìn)行讀取和寫入 。除了該進(jìn)程之外，這個文件是不可見的，因?yàn)橐呀?jīng)刪除了其相應(yīng)的目錄索引節(jié)點(diǎn) 。
在/proc 目錄下，其中包含了反映內(nèi)核和進(jìn)程樹的各種文件 。/proc目錄掛載的是在內(nèi)存中所映射的一塊區(qū)域，所以這些文件和目錄并不存在于磁盤中，因此當(dāng)我們對這些文件進(jìn)行讀取和寫入時，實(shí)際上是在從內(nèi)存中獲取相關(guān)信息 。大多數(shù)與 lsof 相關(guān)的信息都存儲于以進(jìn)程的 PID 命名的目錄中，即 /proc/1234 中包含的是 PID 為 1234 的進(jìn)程的信息 。每個進(jìn)程目錄中存在著各種文件，它們可以使得應(yīng)用程序簡單地了解進(jìn)程的內(nèi)存空間、文件描述符列表、指向磁盤上的文件的符號鏈接和其他系統(tǒng)信息 。lsof 程序使用該信息和其他關(guān)于內(nèi)核內(nèi)部狀態(tài)的信息來產(chǎn)生其輸出 。所以lsof 可以顯示進(jìn)程的文件描述符和相關(guān)的文件名等信息 。也就是我們通過訪問進(jìn)程的文件描述符可以找到該文件的相關(guān)信息 。當(dāng)系統(tǒng)中的某個文件被意外地刪除了，只要這個時候系統(tǒng)中還有進(jìn)程正在訪問該文件，那么我們就可以通過lsof從/proc目錄下恢復(fù)該文件的內(nèi)容 。
假如由于誤操作將/var/log/messages文件刪除掉了，那么這時要將/var/log/messages文件恢復(fù)的方法如下：首先使用lsof來查看當(dāng)前是否有進(jìn)程打開/var/logmessages文件，如下：
# lsof |grep /var/log/messages
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
syslogd 14572 root 1w REG 253，0 5584 1737237 /var/log/messages
#rm –f /var/log/messages
# lsof |grep /var/log/messages
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
syslogd 14572 root 1w REG 253，0 5584 1737237 /var/log/messages （deleted）
【Linux通過lsof命令恢復(fù)誤刪文件的步驟】 從上面的信息可以看到 PID 14572（syslogd）打開文件的文件描述符為 1 。同時還可以看到/var/log/messages已經(jīng)標(biāo)記被刪除了 。因此我們可以在 /proc/14572/fd/1 （fd下的每個以數(shù)字命名的文件表示進(jìn)程對應(yīng)的文件描述符）中查看相應(yīng)的信息，如下：
# tail -n 10 /proc/14572/fd/1
Feb 4 20:02:25 host191 kernel： klogd 1.4.1，log source = /proc/kmsg started.
Feb 4 20:02:45 host191 root： aaa
Feb 4 20:05:07 host191 dhclient： DHCPREQUEST on eth0 to 192.168.0.254 port 67
Feb 4 20:05:07 host191 dhclient： DHCPACK from 192.168.0.254
Feb 4 20:05:07 host191 dhclient： bound to 192.168.0.191 -- renewal in 718 seconds.
Feb 4 20:15:50 host191 syslogd 1.4.1： restart.
Feb 4 20:15:50 host191 kernel： klogd 1.4.1，log source = /proc/kmsg started.
Feb 4 20:17:05 host191 dhclient： DHCPREQUEST on eth0 to 192.168.0.254 port 67
Feb 4 20:17:05 host191 dhclient： DHCPACK from 192.168.0.254
Feb 4 20:17:05 host191 dhclient： bound to 192.168.0.191 -- renewal in 804 seconds.# cat /proc/14572/fd/1 》 /var/log/messages
上一頁123下一頁 剩下全文

推薦閱讀