testdisk undelete 在 ext2 不好使

abby

最新flash插件，很可恶地，在播放视频前先删除了文件。/tmp是ext2文件系统，于是我企图用testdisk恢复，看不到有删除的文件！ 但是在fat文件系统能看见红色字标示的己删除文件。我在/tmp手动建立几个文件，rm掉，再用testdisk看，依然没看见!

难道testdisk或者ext2要有什么条件才可以undelete?

pingz

现在/tmp一般是在内存上吧？如果是那样怕是用不了testdisk。

abby

不是哦，我建一个100M的disk.img文件当ext2的磁盘影象，mount -o loop 来试验，删除文件后立刻umount，用 testdisk disk.img，照样看不见红字的被删文件！

我用debugfs的lsdel命令能列出inode，不过还是恢复成很小的一个文件。

另外，已经找到个保存flash的方法。
先不关闭flash播放网页，然后运行

lsof -n | grep /tmp/Flash

输出内容：

plugin-co  4893      abby   25w      REG        3,9 448191413         25 /tmp/FlashXXJOEtXW (deleted)

第4字段的 25w 意思是文件描述符25，写权限。运行:

cp /proc/4893/fd/25 xxxxx.flv

搞定。:cool:
但还是不解testdisk的问题。:yun: