604. Encontrando os inodes apagados

O próximo passo é perguntar ao sistema de arquivos quais inodes foram liberados recentemente. Esta é uma tarefa que pode ser realizada com o utilitário debugfs. Inicie debugfs com o nome do dispositivo no qual o sistema de arquivos estiver armazenado:

# debugfs /dev/hda5

Caso se queira modificar os inodes diretamente, deve ser acrescentada uma opção -w para habilitar a gravação no sistema de arquivos:

# debugfs -w /dev/hda5

O parâmetro do debugfs para encontrar os inodes apagados é 0 lsdel. Deve-se então digitar o seguinte comando:

debugfs:  lsdel

Após muita lamentação e trabalho duro do disco, uma longa lista é canalizada para seu paginador favorito (o valor de$PAGER). Agora deve-se salvar uma cópia do resultado. Caso se tenha o comando less, pode-se digitar -o seguido do nome do arquivo de saída. Caso contrário, deve-se enviar a saída para algum outro lugar. Por exemplo:

debugfs:  quit
# echo lsdel | debugfs /dev/hda5 > lsdel.out

Agora, baseado somente no horário desta eliminação, o tamanho, o tipo e as permissões numéricas e proprietário, tem-se que elaborar quais destes inodes apagados são aqueles que se quer. Com sorte, será possível vê-los porque eles são a grande quantidade de inodes que foram apagados há cerca de 5 minutos atrás. Caso contrário, analise cuidadosamente através da lista.

Eu sugiro se possível, que se imprima a lista dos inodes que se queira recuperar. Isso tornará a vida bem mais fácil.