此方法適用于正在使用的文件 ，且被刪除后，可以通過lsof的方式進行恢復。
演示：

[root@master ~]# less /var/log/messages

開啟另一個終端進行刪除操作

[root@master ~]# rm -rf /var/log/messages
[root@master ~]# cat /var/log/messages
cat: /var/log/messages: 沒有那個文件或目錄

這個時候不要慌，第一個終端less還是可以正常瀏覽文件的
準備進行恢復文件
如果提示沒有lsof命令就安裝

yum -y install lsof

[root@master ~]# lsof | grep deleted
rsyslogd   9420          root    6w      REG              253,0   1655588   17390930 /var/log/messages (deleted)
in:imjour  9420  9442    root    6w      REG              253,0   1655588   17390930 /var/log/messages (deleted)
rs:main    9420  9470    root    6w      REG              253,0   1655588   17390930 /var/log/messages (deleted)
less      10295          root    4r      REG              253,0   1655437   17121932 /var/log/messages (deleted)

可以清楚的看到在最后一行代表這個less正在占用這個文件但是已經被刪除了

記住這兩個數字：第一個紅框代表的是PID 第二個紅框記住這個數字就行了 不需要字母

[root@master ~]# cat /proc/10295/fd/4

你會神奇的發現著就是你剛剛刪除的文件
直接復制一份還原回去

[root@master ~]# cp /proc/10295/fd/4 /var/log/messages
[root@master ~]# ll /var/log/messages
-rw------- 1 root root 1655437 3月  31 14:58 /var/log/messages