Linux ext3grep 誤刪文件恢復實戰指南：安裝、參數詳解與恢復流程

ext3grep 是專門針對 ext3/ext4 檔案系統的資料恢復工具，通過掃描日誌與 inode 表重建已刪除文件。本文記錄從原始碼編譯安裝、核心參數分類解析到實戰恢復流程的完整指南。

一、環境與安裝

測試環境

Linux localhost.localdomain 2.6.18-164.el5 #1 SMP i686
Red Hat Enterprise Linux Server release 5.4 (Tikanga)
ext3grep 版本：0.10.2

編譯安裝步驟

tar zxvf ext3grep-0.10.2.tar.gz
cd ext3grep-0.10.2
./configure --prefix=/usr/local/ext3grep
make && make install

# 驗證
/usr/local/ext3grep/bin/ext3grep --version
# Running ext3grep version 0.10.2

二、核心參數分類完整解析

1. 基礎動作參數

2. 過濾器

3. 動作參數 (需指定對象)

4. 接受名單機制 (關鍵)

--accept "filename"   # 將檔名加入合法名單 (可多次)
--accept-all          # 接受所有檔名
# 注意：修改 --accept 後必須刪除 stage* 快取檔！

三、實戰恢復流程

場景：誤刪 /home/user/docs/important.txt

1. 立即卸載檔案系統 (防覆寫)

umount /home
# 若為根分區，需單用戶模式或 LiveCD 操作

2. 檢查超級塊確認分區

ext3grep /dev/sda3 --superblock

3. 列出已刪除文件 (含路徑)

ext3grep /dev/sda3 --dump-names --deleted --after "2024-01-15 10:00:00" > /tmp/deleted_files.txt
# 輸出範例：
# /home/user/docs/important.txt (inode 123456)
# /home/user/docs/old.log (inode 123457)

4. 根據 inode 恢復單一檔案

# 方法 A：輸出內容到 stdout 重定向
ext3grep /dev/sda3 --inode 123456 --print > /recovery/important.txt

# 方法 B：恢復整個目錄樹
ext3grep /dev/sda3 --inode 123456 --ls --restore-all --restore-dir /recovery

5. 批量恢復特定類型

# 恢復所有已刪除 .txt
ext3grep /dev/sda3 --restore-all --restore-dir /recovery --accept "*.txt" --deleted

6. 內容搜尋恢復 (不知檔名)

# 搜尋包含 "confidential" 的塊
ext3grep /dev/sda3 --search "confidential" --print > /recovery/found.bin
# 人工提取有效片段

四、關鍵限制與替代方案

• 僅支援 ext3/ext4：XFS、Btrfs、ZFS 需用 xfs_repair、btrfs restore、zfs send 等專用工具
• 需未掛載或唯讀掛載：寫入風險極高
• 大檔案碎片化恢復困難：非連續塊需手動拼接
• 現代替代：extundelete (基於 ext3grep 改進)、testdisk (分區表+文件恢復)、photorec (無視檔案系統按檔頭恢復)

五、預防勝於恢復

1. 快照備份：LVM/ZFS/Btrfs 快照 + 異地同步
2. 刪除保護：chattr +i 關鍵檔、rm -i 別名
3. 定期演練：模擬誤刪並驗證恢復流程 SLA

掌握 ext3grep 的參數體系與恢復流程，可在 ext3/ext4 誤刪事故中爭取最大恢復可能；但生產環境務必建立多層次備份體系，將恢復工具作為最後防線。