作为一个多用户、多任务的操作系统，Linux下的文件一旦被删除，是难以恢复的。尽管删除命令只是在文件节点中作删除标记，并不真正清除文件内容，但是其他用户和一些有写盘动作的进程会很快覆盖这些数据。不过，对于家庭单机使用的Linux，或者误删文件后及时补救，还是可以恢复的。 一、用运SecureCRT远程对操作系统上，查看一下当前系统版本号，及文件系统格式 二、为方便本次实验，我们新创建一文件。 三、执行删除操作 四、运用，系统自还工具debugfs来修复 五、打开，刚刚被删除文件所在的分区 六、用ls 加-d参数显示刚刚删除文件所在的目录 七、显示有<>尖括号的就是我们要找的文件Inode 号 执行logdump –I <393289> 八、执行完命令后，显示了一屏信息，我们需要的是下面这一行，并且要记住，后面的值 九、退出debugfs 十、执行如下命令 十一、以上结果表示恢复成功我们看下/tmp目录下到底有没有 十二、tmp目录下有我们显示一下
lsof。 原理：这个命令实际上并不能直接用来恢复文件，不过它可以列出被各种进程打开的文件信息。 配合其他命令，从/proc目录下的信息中恢复“文件已删除，但进程仍保持打开该文件的状态”的文件。
/proc目录是挂载的是在内存中所映射的一块区域，当我们对这些文件进行读取和写入时，实际上是在从内存中获取
在Linux中，如果文件被修改后，可以通过几种方式进行还原。
首先，可以使用备份工具（如rsync或tar）来恢复文件到之前的版本。
其次，可以使用版本控制系统（如Git）来跟踪文件的修改并还原到特定的版本。
另外，一些文件系统提供了快照功能，可以在文件被修改前创建快照，以便在需要时恢复到之前的状态。
最后，一些工具（如extundelete）可以尝试恢复已删除或修改的文件。但请注意，这些方法并不是百分之百可靠，因此定期备份是最好的预防措施。
1、执行命令“cd /home”进入服务器根目录home；
2、执行命令“ touch demo.txt”创建一个演示文稿；
3、执行命令“ rm -rf demo.txt ”删除该文件；
4、执行命令“ debugfs ”运用系统自带恢复工具debugfs来修复；
5、额外开一个xshell，执行命令“ df /home/ ”打开刚刚被删除文件所在分区；
6、执行命令“ open /dev/mapper/vg_root-lv_root ”查看目录分区；
7、执行命令“ ls -d /home ”显示被删除文件所在目录；
8、执行命令“ logdump -i”查找文件所在区块号；
9、记住block后面的数值并执行命令“ quit ”退出debugfs；
10、执行命令“ dd if=/dev/mapper/vg_root-lv_root of=/home/demo.txt bs=640 count=1 skip=1089 ”恢复文件操作；
11、bs与offset值一致，skip与block值一致，执行命令“ ls ”可以看到文件demo.txt被删除后又重新找回来了，恢复成功。