服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境&故障：
一臺(tái)由16塊硬盤組成的raid6磁盤陣列。磁盤陣列中有一塊硬盤因?yàn)槲锢砉收系艟€，導(dǎo)致服務(wù)器上層虛擬機(jī)無法正常使用，部分分區(qū)丟失，重啟物理服務(wù)器后發(fā)現(xiàn)數(shù)據(jù)丟失。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、將故障服務(wù)器上所有磁盤編號(hào)后取出，以只讀方式將所有磁盤進(jìn)行全盤鏡像，鏡像完成后將所有磁盤根據(jù)編號(hào)按照原樣還原到原服務(wù)器中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。基于鏡像文件分析服務(wù)器上層數(shù)據(jù)，發(fā)現(xiàn)硬盤掉線導(dǎo)致了上層虛擬機(jī)文件系統(tǒng)被破壞，北亞企安數(shù)據(jù)恢復(fù)工程師分析后決定通過拼接文件碎片的方式恢復(fù)數(shù)據(jù)。
2、按照數(shù)據(jù)恢復(fù)工程師的數(shù)據(jù)恢復(fù)思路，需要對(duì)服務(wù)內(nèi)現(xiàn)有的文件碎片進(jìn)行拼接。拼接原理是通過fbb源文件的位圖信息中的512M位圖信息進(jìn)行拼接。服務(wù)器上層虛擬機(jī)損壞的元文件指針類型不同會(huì)導(dǎo)致最終指向的數(shù)據(jù)索引位置也不同。本案例中虛擬機(jī)的元文件已經(jīng)損壞，通過服務(wù)器現(xiàn)有數(shù)據(jù)是無法確認(rèn)指針類型和指向。如果指針最終指向的位置不是fbb元文件區(qū)域，則通過此方案無法恢復(fù)數(shù)據(jù)。
3、北亞企安數(shù)據(jù)恢復(fù)工程師嘗試逆向驗(yàn)證，假設(shè)上層虛擬機(jī)的損壞元文件指針確實(shí)指向fbb中的512M位圖。按照這一思路掃描和拼接服務(wù)器底層數(shù)據(jù)，并在拼接的過程中不斷檢驗(yàn)數(shù)據(jù)。
4、在拼接數(shù)據(jù)時(shí)發(fā)現(xiàn)了兩個(gè)目錄。經(jīng)過驗(yàn)證發(fā)現(xiàn)這兩個(gè)目錄十分相似，數(shù)據(jù)恢復(fù)工程師詳細(xì)對(duì)比了這2個(gè)目錄中的目錄、文件、底層數(shù)據(jù)，發(fā)現(xiàn)兩個(gè)目錄中的數(shù)據(jù)完全一致，確認(rèn)其中一個(gè)目錄為備份數(shù)據(jù)。因此只需恢復(fù)任意一個(gè)目錄中的數(shù)據(jù)即可完整恢復(fù)數(shù)據(jù)了。
5、在嘗試拼接目錄一的過程中發(fā)現(xiàn)文件系統(tǒng)被嚴(yán)重破壞，所有的文件都無法正常打開和使用。數(shù)據(jù)恢復(fù)工程師只能嘗試拼接和恢復(fù)目錄二。經(jīng)過拼接和驗(yàn)證，目錄二中大部分文件可以正常使用。
6、服務(wù)器數(shù)據(jù)恢復(fù)工程師繼續(xù)對(duì)不完整的數(shù)據(jù)部分進(jìn)行提取、拼接、手動(dòng)修復(fù)，最終恢復(fù)出服務(wù)器內(nèi)的所有數(shù)據(jù)。經(jīng)用戶方工程師的驗(yàn)證，確認(rèn)服務(wù)器上層虛擬機(jī)可以正常使用，數(shù)據(jù)完整，本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇