Независимо от того, какой способ вы выберете, первое, что нужно сделать - отключить файловую систему, содержащую удаленные файлы. Я настоятельно рекомендую вам не пытаться работать с подключенной файловой системой. Отключение файловой системы должно быть произведено, как можно скорее, после того, как вы удалили файлы; чем скорее вы это сделаете, тем меньше шансов, что данные будут перезаписаны.
Простейший способ сделать это (предполагаем, что удаленные файлы находились в файловой системе /usr) - дать команду
# umount /usr |
Если вы хотите оставить доступ к файловой системе /usr, перемонтируйте ее только для чтения:
# mount -o ro,remount /usr |
Если удаленные файлы находились в корневой файловой системе, то вам понадобится ключ -n для предотвращения попытки mount записать информацию в файл /etc/mtab:
# mount -n -o ro,remount / |
Возможно, какой-то процесс использует эту файловую систему (что вызовет, при попытке отключения, ошибку `Resource busy' (ресурс занят)). Есть программа, посылающая сигналы любому процессу, использующему указанный файл или точку монтирования - это: fuser. Для раздела /usr попробуйте следующую команду:
# fuser -v -m /usr |
Она выведет список процессов. Предполагая, что ни один из них не является жизненно необходимым, дайте команду
# fuser -k -v -m /usr |
которая пошлет сигнал SIGKILL (что гарантировано завершит процесс), или команду
# fuser -k -TERM -v -m /usr |
которая пошлет сигнал SIGTERM (что обычно приводит к нормальному (чистому) завершению работы процесса).