linux怎么查看最近删除文件

在Linux系统中，查看最近删除的文件可以通过以下几种方法实现，本文将详细介绍这些方法，并提供相关的示例和注意事项。

1、使用lsof命令

lsof命令可以列出当前系统打开的文件、目录和设备等信息，通过结合一些选项，我们可以使用lsof命令来查找最近删除的文件。

我们需要找到被删除文件所在的目录，假设我们要查找的目录是/home/user/deleted_files，可以使用以下命令：

lsof | grep '(deleted)' | grep '/home/user/deleted_files'

这个命令会列出所有与/home/user/deleted_files目录相关的已删除文件。grep '(deleted)'用于过滤出已删除的文件，grep '/home/user/deleted_files'用于过滤出我们关心的目录。

2、使用debugfs命令

debugfs是一个用于检查和修复ext2、ext3和ext4文件系统的工具，通过使用debugfs命令，我们可以查看已删除但尚未被覆盖的文件。

我们需要挂载要检查的文件系统，假设我们要检查的文件系统是/dev/sda1，可以使用以下命令：

sudo debugfs /dev/sda1

接下来，我们可以使用以下命令来查找最近删除的文件：

debugfs: lsdel <inode>

<inode>是要查找的已删除文件的inode号，我们可以通过以下命令来查找所有已删除文件的inode号：

debugfs: lsdel t deleted

我们可以逐个查看这些已删除文件的内容：

debugfs: lsdel <inode>

3、使用extundelete工具

extundelete是一个用于恢复ext3和ext4文件系统上已删除文件的工具，通过使用extundelete工具，我们可以查看最近删除的文件，并尝试恢复它们。

我们需要安装extundelete工具，在Debian和Ubuntu系统上，可以使用以下命令安装：

sudo aptget install extundelete

在CentOS和RHEL系统上，可以使用以下命令安装：

sudo yum install extundelete

接下来，我们可以使用以下命令来查找最近删除的文件：

sudo extundelete restorefile dd if=<device> of=<destination> after <time> dryrun

<device>是要检查的文件系统的设备名，如/dev/sda1；<destination>是要恢复文件的目标目录；<time>是要恢复文件的时间限制，可以是相对时间（如1 day ago）或绝对时间（如20220101 12:00:00），这个命令会列出所有符合条件的已删除文件，如果需要恢复某个文件，可以将dryrun选项去掉。

需要注意的是，在使用这些方法时，可能会遇到一些问题，以下是一些常见的问题及解决方法：

1、无法找到已删除文件：这可能是因为这些文件已经被覆盖或者已经从回收站中清空，在这种情况下，可能无法恢复这些文件。

2、恢复文件失败：这可能是因为这些文件已经被其他进程锁定或者磁盘空间不足，在这种情况下，可以尝试重新运行恢复命令，或者释放磁盘空间。

3、恢复文件后无法访问：这可能是因为这些文件的权限设置不正确，在这种情况下，可以使用chmod和chown命令修改文件的权限和所有者。

相关问答FAQs：

Q1：如何在Linux系统中查看最近删除的文件？

A1：在Linux系统中，可以使用lsof命令、debugfs命令和extundelete工具来查看最近删除的文件，具体方法可以参考本文的相关介绍。

Q2：使用lsof命令查看最近删除的文件时，如何过滤出特定目录？

A2：在使用lsof命令时，可以使用管道符（|）将多个过滤条件连接起来，要过滤出与特定目录相关的已删除文件，可以使用以下命令：

lsof | grep '(deleted)' | grep '/path/to/directory'

第一个grep '(deleted)'用于过滤出已删除的文件，第二个grep '/path/to/directory'用于过滤出我们关心的目录。