ext4grep 是一款运行在 Linux 系统下，专门用于从 ext4 文件系统中恢复已删除文件的实用工具。以下从基本信息、工作原理、使用场景、功能特点、使用限制等方面进行介绍：
基本信息
它以命令行的形式工作，允许用户通过特定的命令选项来查找和恢复被删除的文件和目录，而无需对整个文件系统进行复杂的重建或使用其他专业的数据恢复软件。
工作原理
- ext4 文件系统在删除文件时，通常只是标记文件所占用的空间为可重用，而文件的数据实际上仍然保留在磁盘上，直到这些空间被新的数据覆盖。
- ext4grep 通过直接访问 ext4 文件系统的底层数据结构（如 inode 表、块位图等），识别这些被标记为删除但数据仍存在的文件和目录，然后将它们恢复到指定的位置。
使用场景
- 误删除文件恢复：当用户不小心删除了重要文件，且文件系统尚未覆盖这些文件的数据时，可以使用 ext4grep 尝试恢复。
- 系统故障后的数据恢复：在遭遇系统崩溃、突然断电等情况后，如果文件系统没有被严重损坏，ext4grep 可用于恢复受损或丢失的文件。
功能特点
- 支持按条件查找：可以根据文件名、inode 号等条件查找要恢复的文件或目录，方便用户快速定位目标数据。
- 恢复单个或多个文件：既可以恢复单个文件，也可以恢复整个目录及其包含的所有文件。
- 数据完整性检查：在恢复过程中，ext4grep 会尝试检查文件的数据完整性，确保恢复的文件尽可能可用。
使用限制
- 数据覆盖风险：如果文件系统在文件删除后已经进行了大量的写操作，被删除文件的数据可能已被新数据覆盖，此时 ext4grep 将无法恢复这些文件。
- 文件系统损坏严重时受限：当 ext4 文件系统遭受严重损坏，如 inode 表损坏、块位图错误等，ext4grep 可能无法正常工作或只能部分恢复数据。
- 专业知识要求：由于它是命令行工具，需要用户具备一定的 Linux 系统操作知识和文件系统相关概念，才能正确使用。
ext4grep 恢复数据的具体步骤：
1. 安装 ext4grep
不同的 Linux 发行版安装方式有所不同：
- 基于 Debian 或 Ubuntu 的系统：打开终端，使用以下命令安装：
sudo apt-get update
sudo apt-get install ext4grep
- 基于 Red Hat 或 CentOS 的系统：使用以下命令安装：
sudo yum install ext4grep
2. 卸载目标分区
在进行数据恢复操作之前，必须卸载包含需要恢复数据的分区，以避免数据被覆盖。假设要恢复的分区是/dev/sdb1，可使用以下命令卸载：
sudo umount /dev/sdb1
3. 扫描分区
使用 ext4grep 对目标分区进行扫描，以查找可恢复的文件。可以使用以下基本命令进行扫描：
sudo ext4grep /dev/sdb1 --ls --inode 2
/dev/sdb1：表示要扫描的分区设备。--ls：列出指定 inode 下的文件和目录。--inode 2：inode 2 通常代表根目录，通过指定该 inode 可以查看根目录下的文件和目录信息。
4. 查找要恢复的文件
- 按文件名查找：如果你知道要恢复的文件名，可以使用
--find选项来查找该文件。例如，要查找名为example.txt的文件，可使用以下命令：
sudo ext4grep /dev/sdb1 --find name "example.txt"
- 按 inode 号查找：如果知道要恢复文件的 inode 号，可以直接指定 inode 号进行操作。例如，要查看 inode 号为 1234 的文件信息，可使用以下命令：
sudo ext4grep /dev/sdb1 --ls --inode 1234
5. 恢复文件
- 恢复单个文件：如果你已经确定了要恢复的文件的 inode 号，可以使用
--restore-inode选项来恢复该文件。例如，要恢复 inode 号为 1234 的文件，可使用以下命令：
sudo ext4grep /dev/sdb1 --restore-inode 1234
恢复的文件会被保存到当前目录下的RESTORED_FILES文件夹中。
- 恢复整个目录：如果要恢复一个目录及其下的所有文件，可以先找到该目录的 inode 号，然后使用
--restore-inode选项进行恢复。例如，要恢复 inode 号为 5678 的目录及其下的所有文件，可使用以下命令：sudo ext4grep /dev/sdb1 --restore-inode 5678 - 恢复整个分区：
--restore-all选项会指示ext4grep扫描指定的 ext4 文件系统分区，查找所有被标记为已删除但数据可能仍然存在于磁盘上的文件和目录，并将它们恢复到指定的恢复目录中。
sudo ext4grep /dev/sdXY --restore-all
sudo：由于操作涉及到对磁盘分区的底层访问，需要使用超级用户权限，因此命令前通常要加sudo。/dev/sdXY：代表要恢复数据的 ext4 文件系统分区，例如/dev/sda1。--restore-all：这是恢复所有可恢复文件和目录的关键选项。
6. 验证恢复的数据
恢复完成后，进入RESTORED_FILES文件夹，检查恢复的文件是否完整可用。你可以打开文件查看内容，或者使用文件校验工具验证文件的完整性。
注意事项
- 在整个恢复过程中，要确保不对目标分区进行任何写操作，以免覆盖要恢复的数据。
- 恢复的数据可能不完整，尤其是在文件系统已经被多次写入或分区损坏严重的情况下。