94    |f       |0     |0     |1075713026|1075711735|1075713026|1075713026|100755 |0       |0      |0        |0

107   |f       |0     |0     |1075713032|1075711736|1075713032|1075713032|100755 |0       |0      |0        |0

111   |f       |0     |0     |1075713040|1075711734|1075713040|1075713040|100755 |0       |0      |0        |0

Если запустить ее с опцией -о, то будет выведен только inode с номером 1.

Поле st_alloc принимает два значения; «a2» – для allocated inode и «f» – для free inode.

В первом столбце даны значения inodes удаленных, т.е. не прописанных ни в одном каталоге файлов. Теперь при помощи icat, позволяющей копировать файл, обращаясь к нему не по имени, а по номеру inodes, попробуем скопировать удаленный файл.

# ./icat

./icat: usage: ./icat [-f fstype] [-h (no holes)] [-H (keep holes)] [-vV] device inum...

# ./icat /dev/hda9 107 > /tmp/delete_file

Чтобы определить, что за файл находится перед нами, применяется утилита file, которая при помощи трех тестов (filesystem tests, magic number tests и language tests) пытается дать ответ.

Первый тест пытается выяснить, является файл двоичным (программа или данные в каком-то формате) или содержит ASCII-текст. На втором этапе при помощи системного вызова stat пытается определить тип (описаны в sys/stat.h). И наконец, пытается определить magic number, сохраненный в определенном месте файла и найти соответствующий известному типу файла (например, исполняемый elf или a.out).

 # ./file /tmp/delete_file

/tmp/delete_file: ELF 32-bit LSB executable, Intel 80386, version 1, stripped