文件系统:当没有根inode或日志时，从ext4恢复文件名？

Question

当我将分区的前几兆字节为零时，根inode和日志都被意外地从我的ext4文件系统中删除了。然而，我的数据已经全部用photorec成功地恢复了。除了原始数据之外，我还能恢复什么吗？有文件名吗？元数据？或者所有这些东西通常都存储在磁盘分区的开头？

Answer 1

运行e2fsck通常是恢复文件系统的最佳方法，即使缺少文件系统的一部分，它也可以完成非常好的工作。这是因为ext2 2/3/4对文件系统元数据(inodes、位图等，虽然不是目录)使用了相对静态的布局，并且在文件系统中的多个位置拥有超级块和关键组描述符表的冗余副本。

根据文件系统是如何(以及何时)格式化的，文件系统的启动在启动时可能不包含根inode本身以外的大量关键信息。第一个组中可能有很多inode，但是如果文件系统没有满，它们通常是未使用的。e2fsck运行会将它发现没有目录条目(该目录包含文件名)的任何正在使用的文件和目录放入lost+found目录。这些文件和目录将被命名为#1234，但是您可以通过它们的内容、UID、GID来识别它们，并将它们移动到文件系统中的适当位置(可能是在重新创建父目录之后)。

更复杂的工具，如ext3grep，可能会恢复更多的信息(如果您有一个较旧的ext3文件系统，因为它最近还没有更新)，例如目录块，但是由于文件系统的整个启动都被删除了，所以可以恢复的内容是有限制的。

Answer 2

文件名等以inode的形式散布在磁盘上，所以它们(其中大多数可能在零位中)应该仍然存在。

如何找到他们是另一回事。当根inode丢失时，我不认为有任何方法可以找出哪些块包含inode，这意味着您只剩下读取原始数据块和猜测哪些数据块是什么的程序，而且inode可能很难识别，我不知道是否有任何程序能够做到这一点(我还没有听说过)。