文件描述符

寫在前面：首先簡單介紹文件描述符，而後記錄一個用lsof命令恢復被刪除文件的案例（涉及文件描述符）

一.文件描述符

 

1.每一個文件進程控制塊中都有一份文件描述符表（能夠把它當作是一個數組，裏面的元素是指向file結構體指針類型），這個數組的下標就是文件描述符。
 
2.file結構體中有打開文件的權限，當前讀寫位置，引用計數等屬性。每一個file結構體都指向一個file_operations結構體，這個結構體的成員都是函數指針，指向實現各類文件操做的內核函數。
 
3.每一個file結構體都有一個指向dentry結構體的指針。爲了減小讀盤次數，內核緩存了目錄的樹狀結構，稱爲dentry cache，其中每一個節點是一個dentry結構體
 
4.每一個dentry結構體都有一個指針指向inode結構體。
 
5.inode結構體中保存着從磁盤分區的inode讀上來信息，例如全部者、文件大小、文件類型和權限位等。
 
6.每一個inode結構體都有一個指向inode_operations結構體的指針。
 
7.inode_operations是一組函數指針指向一些完成文件目錄操做的內核函數。屬於同一文件系統的各inode結構體能夠指向同一個inode_operations結構體。
 
8.inode結構體有一個指向super_block結構體的指針。
 
9.super_block結構體保存着從磁盤分區的超級塊讀上來的信息。

二.使用lsof命令恢復被刪除文件

當系統中的某個文件被意外刪除了，只要這個時候系統中有進程正在訪問這個文件，那麼能夠經過lsof 從/proc目錄下恢復文件的內容
假如/var/log/messages文件被刪了，恢復這個文件的方法：
首先使用lsof 查看當前是否有進程打開/var/log/messages文件，
#lsof |grep /var/log/messages
[root@localhost ~]# rm /var/log/messages
rm：是否刪除普通文件 "/var/log/messages"？y
[root@localhost ~]# lsof |grep /var/log/messages
rsyslogd  5925      root    1w      REG        8,2     4369     266184 /var/log/messages (deleted)

文件描述符爲第四列，初始打開每一個應用程序時，都具備三個文件描述符，從0到2，分別表示標準輸入、輸出和錯誤流。所以，大多數應用程序
所打開的FD都是從3開始。這個例子中，fd爲1，便是標準輸出，其中u表示該文件被打開處於讀取\寫入模式，而不是隻讀或只寫模式；
 r 只讀 ； w 只寫 ；W表示該應用程序具備對整個文件的寫鎖（確保每次只能打開一次應用程序實例。

從上面的信息能夠看到PID 5925（syslogd)打開文件的文件描述符爲1，同時發現/var/log/messages已經被刪除了。
所以能夠經過/var/log/messages文件描述符來查看文件信息。
cat /pro/5925/fd/1
[root@localhost ~]# cat /proc/5925/fd/1
May 12 08:04:11 localhost kernel: hpet1: lost 3 rtc interrupts
May 12 08:04:11 localhost kernel: hpet1: lost 6 rtc interrupts
May 12 08:04:11 localhost kernel: hpet1: lost 1 rtc interrupts
May 12 09:25:33 localhost kernel: usb 2-2.1: USB disconnect, device number 10
May 12 09:25:33 localhost kernel: eth0: link down
May 12 09:25:33 localhost kernel: usb 2-2.1: new full speed USB device number 11 using uhci_hcd
May 12 09:25:33 localhost kernel: usb 2-2.1: New USB device found, idVendor=0e0f, idProduct=0008
May 12 09:25:33 localhost kernel: usb 2-2.1: New USB device strings: Mfr=1, Product=2, SerialNumber=3
May 12 09:25:33 localhost kernel: usb 2-2.1: Product: Virtual Bluetooth Adapter
May 12 09:25:33 localhost kernel: usb 2-2.1: Manufacturer: VMware
May 12 09:25:33 localhost kernel: usb 2-2.1: SerialNumber: 000650268328
May 12 09:25:33 localhost kernel: usb 2-2.1: configuration #1 chosen from 1 choice
最後經過重定向的方法恢復被刪除的/var/log/messages（也可使用cp命令拷貝回原路徑）
cat /proc/5925/fd/1 >/var/log/messages
 Linux 內核提供了一種經過 /proc 文件系統，在運行時訪問內核內部數據結構、改變內核設置的機制。proc文件系統是一個僞文件系統，它只存在內存當中，而不佔用外存空間。它以文件系統的方式爲訪問系統內核數據的操做提供接口。
用戶和應用程序能夠經過proc獲得系統的信息，並能夠改變內核的某些參數。因爲系統的信息，如進程，是動態改變的，因此用戶或應用程序讀取proc文件時，proc文件系統是動態從系統內核讀出所需信息並提交的。下面列出的這些文件或子文件夾，並非都是在你的系統中存在，這取決於你的內核配置和裝載的模塊。另外，在/proc下還有三個很重要的目錄：net，scsi和sys。 Sys目錄是可寫的，能夠經過它來訪問或修改內核的參數，而net和scsi則依賴於內核配置。例如，若是系統不支持scsi，則scsi 目錄不存在。
除了以上介紹的這些，還有的是一些以數字命名的目錄，它們是進程目錄。系統中當前運行的每個進程都有對應的一個目錄在/proc下，以進程的 PID號爲目錄名，它們是讀取進程信息的接口。