加微信：fuye-waiwang；免费试用梯子；副业承诺不收一毛佣金。

首先声明：lsof只能恢复哪些文件系统正在处理的，就是系统对其是打开状态的文件。

比如你自己删除一个txt文件，是很难恢复的。

好了，直接上干货

1、比如我建量一个脚本11.sh

#!/bin/bash
while true
do
sleep 1
echo t > test.txt
done

2、系统过来查看脚本运行的信息

 ~]# lsof|grep 11.sh

lsof: WARNING: can’t stat() fuse.gvfsd-fuse file system /home/libyadm/.gvfs
Output information may be incomplete.
bash 17936 root 255r REG 253,0 80 134462272 /root/etcd/11.sh 

3、删除脚本11.sh；再次查看。

 ~]# lsof|grep 11.sh

lsof: WARNING: can’t stat() fuse.gvfsd-fuse file system /home/libyadm/.gvfs
Output information may be incomplete.
bash 17936 root 255r REG 253,0 80 134462272 /root/etcd/11.sh (deleted)

已经是删除状态了。

4、我们恢复这个文件

~]# cd /proc/17936/fd
attr/ cwd/ fd/ fdinfo/ map_files/ net/ ns/ root/ task/

查看

# ll
total 0
lrwx—— 1 root root 64 Nov 26 13:51 0 -> /dev/pts/2
lrwx—— 1 root root 64 Nov 26 13:51 1 -> /dev/pts/2
lrwx—— 1 root root 64 Nov 26 13:51 2 -> /dev/pts/2
lr-x—— 1 root root 64 Nov 26 13:51 255 -> /root/etcd/11.sh (deleted)
lrwx—— 1 root root 64 Nov 26 13:51 6 -> /dev/pts/2

我们这里恢复这个文件内容

cat 255 > /root/etcd/test/11.sh

至此，恢复工作ok量。只要系统一直打开这个文件就好说。比较适合用于数据库，系统日志之类的误删恢复操作。