리눅스에서 삭제된 파일들의 inode목록을 확인하기

리눅스에서 삭제된 파일들의 inode목록을 확인하기

 

debugfs모드에서 쉘상태에서 삭제된 파일들의 리스트를 확인할 수 있습니다.

 

 

 

쉘상태에서 rm명령어로 파일을 삭제하면 실제로 삭제된 파일의 block데이터를 삭제하는 것이 아니라 파일시스템에서 그 파일에 대한 inode링크를 삭제해 버립니다.

 

 

 

따라서 삭제된 파일명은 알 수가 없지만 삭제된 파일의 inode정보만 알고 있다면 삭제된 파일을 원래 상태로 복구할 수도 있습니다.

 

 

 

하지만 오래된 파일이나 디스크에 빈번한 access(읽고/쓰기)가 일어나는 경우라면 복구될 확률이 현저하게 떨어지게 됩니다.

 

 

 

 

 

아래의 예는 쉘상태에서 삭제했던 파일들의 inode정보를 debugfs모드에서 확인한 예입니다.

 

 

 

 

즉, debugfs모드에서 쉘상태에서 삭제하였던 파일의 inode정보 등을 확인하려면 “lsdel”이라고 하면 됩니다.

 

 

 

 

 

[root@su250 sulinux]# debugfs -w /dev/sda3 debugfs 1.41.3 (12-Oct-2008) debugfs:  debugfs:  lsdel  Inode  Owner  Mode    Size      Blocks   Time deleted   7338      0 100644     30      1/     1 Sun Jan  4 21:51:43 2009   7336      0 100440   3161      1/     1 Sun Jan  4 21:53:15 2009 2 deleted inodes found. debugfs:

 

위의 예에서는 현재 2개의 삭제된 파일의 inode 가 존재함을 알 수 있습니다.

 

 

 

삭제된 날짜, 파일사이즈 등을 비교해 보면서 복구를 할 수도 있습니다.

 

 

 

파일 복구에 대해서는 뒤에서 자세히 다루고 있습니다.

 

 

 

 

 

참고로 “lsdel”이라는 debugfs명령어 대신에 “list_deleted_inodes”라는 명령어를 이용하셔도 삭제된 파일의 inode정보리스트를 확인할 수 있습니다.