写在前面：首先简单介绍文件描述符，然后记录一个用lsof命令恢复被删除文件的案例（涉及文件描述符）
一.文件描述符
1.每个文件进程控制块中都有一份文件描述符表（可以把它看成是一个数组，里面的元素是指向file结构体指针类型），这个数组的下标就是文件描述符。
2.file结构体中有打开文件的权限，当前读写位置，引用计数等属性。每个file结构体都指向一个file_operations结构体，这个结构体的成员都是函数指针，指向实现各种文件操作的内核函数。
3.每个file结构体都有一个指向dentry结构体的指针。为了减少读盘次数，内核缓存了目录的树状结构，称为dentry cache，其中每个节点是一个dentry结构体
4.每个dentry结构体都有一个指针指向inode结构体。
5.inode结构体中保存着从磁盘分区的inode读上来信息，例如所有者、文件大小、文件类型和权限位等。
6.每个inode结构体都有一个指向inode_operations结构体的指针。
7.inode_operations是一组函数指针指向一些完成文件目录操作的内核函数。属于同一文件系统的各inode结构体可以指向同一个inode_operations结构体。
8.inode结构体有一个指向super_block结构体的指针。
9.super_block结构体保存着从磁盘分区的超级块读上来的信息。
二.使用lsof命令恢复被删除文件
当系统中的某个文件被意外删除了，只要这个时候系统中有进程正在访问这个文件，那么可以通过lsof 从/proc目录下恢复文件的内容
假如/var/log/messages文件被删了，恢复这个文件的方法：
首先使用lsof 查看当前是否有进程打开/var/log/messages文件，
#lsof |grep /var/log/messages
[root@localhost ~]# rm /var/log/messages
rm：是否删除普通文件 "/var/log/messages"？y
[root@localhost ~]# lsof |grep /var/log/messages
rsyslogd 5925 root 1w REG 8,2 4369 266184 /var/log/messages (deleted)
文件描述符为第四列，初始打开每个应用程序时，都具有三个文件描述符，从0到2，分别表示标准输入、输出和错误流。因此，大多数应用程序
所打开的FD都是从3开始。这个例子中，fd为1，即是标准输出，其中u表示该文件被打开处于读取写入模式，而不是只读或只写模式；
r 只读 ； w 只写 ；W表示该应用程序具有对整个文件的写锁（确保每次只能打开一次应用程序实例。
从上面的信息可以看到PID 5925（syslogd)打开文件的文件描述符为1，同时发现/var/log/messages已经被删除了。
因此可以通过/var/log/messages文件描述符来查看文件信息。
cat /pro/5925/fd/1
[root@localhost ~]# cat /proc/5925/fd/1
May 12 08:04:11 localhost kernel: hpet1: lost 3 rtc interrupts
May 12 08:04:11 localhost kernel: hpet1: lost 6 rtc interrupts
May 12 08:04:11 localhost kernel: hpet1: lost 1 rtc interrupts
May 12 09:25:33 localhost kernel: usb 2-2.1: USB disconnect, device number 10
May 12 09:25:33 localhost kernel: eth0: link down
May 12 09:25:33 localhost kernel: usb 2-2.1: new full speed USB device number 11 using uhci_hcd
May 12 09:25:33 localhost kernel: usb 2-2.1: New USB device found, idVendor=0e0f, idProduct=0008
May 12 09:25:33 localhost kernel: usb 2-2.1: New USB device strings: Mfr=1, Product=2, SerialNumber=3
May 12 09:25:33 localhost kernel: usb 2-2.1: Product: Virtual Bluetooth Adapter
May 12 09:25:33 localhost kernel: usb 2-2.1: Manufacturer: VMware
May 12 09:25:33 localhost kernel: usb 2-2.1: SerialNumber: 000650268328
May 12 09:25:33 localhost kernel: usb 2-2.1: configuration #1 chosen from 1 choice
最后通过重定向的方法恢复被删除的/var/log/messages（也可以使用cp命令拷贝回原路径）
cat /proc/5925/fd/1 >/var/log/messages
Linux 内核提供了一种通过 /proc 文件系统，在运行时访问内核内部数据结构、改变内核设置的机制。proc文件系统是一个伪文件系统，它只存在内存当中，而不占用外存空间。它以文件系统的方式为访问系统内核数据的操作提供接口。
用户和应用程序可以通过proc得到系统的信息，并可以改变内核的某些参数。由于系统的信息，如进程，是动态改变的，所以用户或应用程序读取proc文件时，proc文件系统是动态从系统内核读出所需信息并提交的。下面列出的这些文件或子文件夹，并不是都是在你的系统中存在，这取决于你的内核配置和装载的模块。另外，在/proc下还有三个很重要的目录：net，scsi和sys。 Sys目录是可写的，可以通过它来访问或修改内核的参数，而net和scsi则依赖于内核配置。例如，如果系统不支持scsi，则scsi 目录不存在。
除了以上介绍的这些，还有的是一些以数字命名的目录，它们是进程目录。系统中当前运行的每一个进程都有对应的一个目录在/proc下，以进程的 PID号为目录名，它们是读取进程信息的接口。