Linux系统下使用Lsof恢复误删除的文件(2) 现在我们开始找回数据， 首先用lsof查看一下： [zhaoke@fedora5 ~]$ lsof | grep myfile less 9104 zhaoke 4r REG 253，0 116549 492686 /home/zhaoke/myfile （deleted） 第一个纵行是进程的名称（命令名）， 第二纵行是进程号（PID）， 第四纵行是文件描述符（r意思是普通文件）， 现在你知道9104进程仍有打开文件， 文件描述符是4. 那我们开始从/proc里面拷贝出数据。 你可能会考虑使用cp -a， 但实际上没有作用， 你将拷贝的是一个指向被删除文件的符号链接： [zhaoke@fedora5 ~]$ ls -l /proc/9104/fd/4 lr-x—— 1 zhaoke zhaoke 64 Nov 20 13：00 /proc/9104/fd/4 -> /home/zhaoke/myfile （deleted） [zhaoke@fedora5 ~]$ cp -a /proc/9104/fd/4 myfile.wrong [zhaoke@fedora5 ~]$ ls -l myfile.wrong lrwxrwxrwx 1 zhaoke zhaoke 29 Nov 20 13：02 myfile.wrong -> /home/zhaoke/myfile （deleted） [zhaoke@fedora5 ~]$ file myfile.wrong myfile.wrong： broken symbolic link to `/home/zhaoke/myfile （deleted）‘ [zhaoke@fedora5 ~]$ file /proc/9104/fd/4 /proc/9104/fd/4： broken symbolic link to `/home/zhaoke/myfile （deleted）‘ 然后， 使用cp拷贝出数据： [zhaoke@fedora5 ~]$ cp /proc/9104/fd/4 myfile.saved 最后， 确认一下文件： [zhaoke@fedora5 ~]$ ls -l myfile.saved -rw-rw-r– 1 zhaoke zhaoke 116549 Nov 20 13：03 myfile.saved [zhaoke@fedora5 ~]$ man lsof | col -b > myfile.new [zhaoke@fedora5 ~]$ cmp myfile.saved myfile.new
