更改文件/目录是什么意思？

debugcn 发表于 Dev

提姆

从 man ntfsundelete

查找最近两天更改的已删除文件
ntfsundelete /dev/hda1 -t 2d

我想知道更改文件/目录的含义是什么？

删除某些文件/目录是否算作更改？

例如，如果我在两天前创建了一个文件，并且直到昨天删除时才对其进行更改。该命令将能够恢复它吗？
即使某些文件/目录本身没有被更改，将某些文件/目录从一个目录下移动到另一个目录下也算作更改了吗？

我希望找到一种方法来指定和取消删除上次一次删除的目录（其中包含文件）。

谢谢！

don_crissti

我将尝试以不同的顺序回答您的问题。更改文件是什么意思？

更改意味着每当您修改和更新文件的内容时（在Linux中修改）。如果查看ntfsundelete源代码，我们可以清楚地看到作者标记为alter的内容：

ntfsundelete.h第72行：

time_t         date_a;    /*  altered */

ntfsundelete.c第1002、1045行：

name->date_a     = ntfs2timespec(attr->last_data_change_time).tv_sec;

linux / fs / ntfs / inode.c第674行也对last_data_change_time进行了说明：

      * mtime is the last change of the data within the file. Not changed
      * when only metadata is changed, e.g. a rename doesn't affect mtime.
      */
      vi->i_mtime = ntfs2utc(si->last_data_change_time);

问题nr。2：

更改目录修改时间的操作列表：

的Linux

视窗

问题1：

不，删除文件不算作更改。因此，如果您在两天前创建了文件，并且直到昨天删除该文件后才对其进行更改，则该命令将无法恢复该文件。

这是对我的NTFS分区的测试。我使用mtime拥有三个.jpg文件，如下所示：

brr.jpg 2012-05-21
IMG_2001.JPG 2012-05-21
s640x480.jpg 2011-03-18

我使用MSPaint修改了IMG_2001.JPG并保存了它，因此修改时间更改为今天：2012-08-26。然后，我删除（SHIF + DELETE）所有三个文件，并在Linux中重新启动。

在不使用--time开关的情况下运行ntfsundelete（不考虑更改的时间）会打印出一长串文件，这些文件从上述三个文件开始：

ntfsundelete /dev/sda1 -m '*.jpg'

Inode    Flags  %age  Date           Size  Filename
---------------------------------------------------------------
72801    FN..   100%  2012-05-21   1055334  brr.JPG
72822    FN..   100%  2012-08-26   1034072  IMG_2001.JPG
72826    FN..   100%  2011-03-18     52333  s640x480.jpg
.....    ....   ....  ..........   .......  ............

Files with potentially recoverable content: 1631

使用--time d1开关运行ntfsundelete（因此对于最近1天更改的文件）仅打印出一个文件，即我在删除所有三个文件之前刚刚修改的文件：

ntfsundelete /dev/sda1 -m '*.jpg' -t 1d

Inode    Flags  %age  Date           Size  Filename
---------------------------------------------------------------
72822    FN..   100%  2012-08-26   1034072  IMG_2001.JPG

Files with potentially recoverable content: 1

本文收集自互联网，转载请注明来源。

如有侵权，请联系[email protected] 删除。