ext4 的 journal 日志记录了元数据变更，即使文件被删除，仍可通过分析日志与残留 inode 恢复文件名、时间戳与部分数据块。
一、使用 debugfs 提取已删除 inode
bash
# 查看文件系统日志与 inode 状态
debugfs -R "lsdel" /dev/sdb1
# 导出指定已删除 inode 的内容
debugfs -R "dump <12345> /tmp/recovered.bin" /dev/sdb1
# 结合日志分析元数据变更时间线
debugfs -R "logdump -i <12345>" /dev/sdb1