當Linux計算機受到***時，常見的情況是日志文件被刪除，以掩蓋***者的蹤跡。管理錯誤也可能導(dǎo)致意外刪除重要的文件，比如在清理舊日志時，意外地刪除了數(shù)據(jù)庫的活動事務(wù)日志。有時可以通過lsof來恢復(fù)這些文件。
 當進程打開了某個文件時，只要該進程保持打開該文件，即使將其刪除，它依然存在于磁盤中。這意味著，進程并不知道文件已經(jīng)被刪除，它仍然可以向打開該文件時提供給它的文件描述符進行讀取和寫入。除了該進程之外，這個文件是不可見的，因為已經(jīng)刪除了其相應(yīng)的目錄索引節(jié)點。
 在/proc 目錄下，其中包含了反映內(nèi)核和進程樹的各種文件。/proc目錄掛載的是在內(nèi)存中所映射的一塊區(qū)域，所以這些文件和目錄并不存在于磁盤中，因此當我們對這些文件進行讀取和寫入時，實際上是在從內(nèi)存中獲取相關(guān)信息。大多數(shù)與 lsof 相關(guān)的信息都存儲于以進程的 PID 命名的目錄中，即 /proc/1234 中包含的是 PID 為 1234 的進程的信息。每個進程目錄中存在著各種文件，它們可以使得應(yīng)用程序簡單地了解進程的內(nèi)存空間、文件描述符列表、指向磁盤上的文件的符號鏈接和其他系統(tǒng)信息。lsof 程序使用該信息和其他關(guān)于內(nèi)核內(nèi)部狀態(tài)的信息來產(chǎn)生其輸出。所以lsof 可以顯示進程的文件描述符和相關(guān)的文件名等信息。也就是我們通過訪問進程的文件描述符可以找到該文件的相關(guān)信息。
 當系統(tǒng)中的某個文件被意外地刪除了，只要這個時候系統(tǒng)中還有進程正在訪問該文件，那么我們就可以通過lsof從/proc目錄下恢復(fù)該文件的內(nèi)容。 假如由于誤操作將/var/log/messages文件刪除掉了，那么這時要將/var/log/messages文件恢復(fù)的方法如下：
 首先使用lsof來查看當前是否有進程打開/var/logmessages文件，如下：

成都創(chuàng)新互聯(lián)公司主營平昌網(wǎng)站建設(shè)的網(wǎng)絡(luò)公司,主營網(wǎng)站建設(shè)方案,app軟件定制開發(fā),平昌h5小程序定制開發(fā)搭建,平昌網(wǎng)站營銷推廣歡迎平昌等地區(qū)企業(yè)咨詢

# lsof |grep /var/log/messages

從上面的信息可以看到 PID 1283（syslogd）打開文件的文件描述符為 2。同時還可以看到/var/log/messages已經(jīng)標記被刪除了。因此我們可以在 /proc/1283/fd/2 （fd下的每個以數(shù)字命名的文件表示進程對應(yīng)的文件描述符）中查看相應(yīng)的信息，如下：

從上面的信息可以看出，查看 /proc/8663/fd/15 就可以得到所要恢復(fù)的數(shù)據(jù)。如果可以通過文件描述符查看相應(yīng)的數(shù)據(jù)，那么就可以使用 I/O 重定向?qū)⑵鋸?fù)制到文件中，如:

對于許多應(yīng)用程序，尤其是日志文件和數(shù)據(jù)庫，這種恢復(fù)刪除文件的方法非常有用。

當前文章：用lsof恢復(fù)已刪除的文件
當前地址：http://chinadenli.net/article36/pijesg.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站改版、網(wǎng)站建設(shè)、網(wǎng)站導(dǎo)航、軟件開發(fā)、網(wǎng)站內(nèi)鏈、網(wǎng)站策劃

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)