服務(wù)器數(shù)據(jù)恢復(fù)故障：
工作人員不慎將一臺(tái)服務(wù)器上的卷誤刪除，服務(wù)器上有一組raid5陣列。需要恢復(fù)誤刪除的數(shù)據(jù)。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
1、將故障服務(wù)器上所有數(shù)據(jù)以只讀方式全部鏡像。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤(pán)底層數(shù)據(jù)。分析超級(jí)快信息，記錄raid5陣列起始?jí)K位置。分析raid5陣列數(shù)據(jù)，獲取到陣列的邏輯起始?jí)K位置號(hào)。
3、經(jīng)過(guò)分析，這組raid5陣列中每個(gè)數(shù)據(jù)塊大小為8扇區(qū)，每個(gè)數(shù)據(jù)塊后有一個(gè)附加的數(shù)據(jù)塊描述信息，大小為64字節(jié)。通過(guò)這個(gè)特征在底層找到0X10位置為FFFF的，就是要找的校驗(yàn)塊。

北亞企安數(shù)據(jù)恢復(fù)—服務(wù)器數(shù)據(jù)恢復(fù)

4、分析aggr盤(pán)序。由于陣列中的數(shù)據(jù)塊大小為8扇區(qū)，根據(jù)每塊磁盤(pán)的8號(hào)扇區(qū)進(jìn)行分析，確定每塊硬盤(pán)各自歸屬的組，再還原硬盤(pán)在各自的組內(nèi)的排序。
5、服務(wù)器的節(jié)點(diǎn)分布在不同的數(shù)據(jù)塊內(nèi)組成節(jié)點(diǎn)組。根據(jù)前面的分析，每64字節(jié)記錄一些系統(tǒng)數(shù)據(jù)，之后用192字節(jié)為一項(xiàng)來(lái)記錄各個(gè)文件節(jié)點(diǎn)。根據(jù)用戶級(jí)別可將文件節(jié)點(diǎn)分為兩類：“MBFP”系統(tǒng)文件節(jié)點(diǎn)和“MBFI”用戶文件節(jié)點(diǎn)?；謴?fù)數(shù)據(jù)一般只取MBFI節(jié)點(diǎn)組即可。

北亞企安數(shù)據(jù)恢復(fù)—服務(wù)器數(shù)據(jù)恢復(fù)

6、根據(jù)更新序列值獲取到最新節(jié)點(diǎn)。
7、解析節(jié)點(diǎn)中節(jié)點(diǎn)類型，邏輯塊號(hào)，文件數(shù)量，文件大小，所占?jí)K數(shù)量，及數(shù)據(jù)指針。
8、獲取節(jié)點(diǎn)在節(jié)點(diǎn)文件中的邏輯塊號(hào)，從0開(kāi)始計(jì)數(shù)。
9、獲取目錄項(xiàng)，并根據(jù)其節(jié)點(diǎn)編號(hào)找到對(duì)應(yīng)節(jié)點(diǎn)。

北亞企安數(shù)據(jù)恢復(fù)—服務(wù)器數(shù)據(jù)恢復(fù)

10、根據(jù)分析到的raid陣列信息重組raid5陣列，北亞企安數(shù)據(jù)恢復(fù)工程師編寫(xiě)小程序提取服務(wù)器內(nèi)的數(shù)據(jù)。
11、搭建了與原服務(wù)器相同的環(huán)境，在上層應(yīng)用內(nèi)驗(yàn)證數(shù)據(jù)。驗(yàn)證無(wú)誤后由用戶方對(duì)數(shù)據(jù)進(jìn)行最終驗(yàn)證。經(jīng)過(guò)用戶方驗(yàn)證，本次服務(wù)器內(nèi)的所有數(shù)據(jù)全部恢復(fù)。本次服務(wù)器數(shù)據(jù)工作完成。

審核編輯 黃宇