← retour aux snippets

lsof: récupérer un fichier supprimé encore ouvert

Retrouver un fichier effacé mais tenu par un process et le restaurer depuis /proc.

bash filesystem #lsof#deleted#recover

objectif

Récupérer un log ou binaire supprimé par erreur tant que le process le garde ouvert.

code minimal

sudo lsof | grep '(deleted)' | head -5

utilisation

# copier le contenu vers un nouveau fichier (ex: fd 4 du PID 1234)
sudo cp /proc/1234/fd/4 /var/log/restored.log

variante(s) utile(s)

# arrêter proprement le process après récupération
sudo kill -TERM 1234

notes

  • fonctionne tant que le process est vivant.
  • permissions requises pour lire le fd.