【服務(wù)器數(shù)據(jù)恢復(fù)】服務(wù)器誤刪除卷的raid5數(shù)據(jù)恢復(fù)案例

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境&故障：

某品牌服務(wù)器，搭建raid5磁盤(pán)陣列。

用戶誤操作刪除服務(wù)器上的卷。

經(jīng)過(guò)檢測(cè)發(fā)現(xiàn)服務(wù)器不存在物理故障，可以從raid5磁盤(pán)陣列層面進(jìn)行數(shù)據(jù)恢復(fù)。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：

1、對(duì)故障服務(wù)器所有硬盤(pán)以只讀方式做鏡像備份，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行， 避免對(duì)原始數(shù)據(jù)造成二次破壞。

2、分析超級(jí)塊信息，獲取到raid5陣列的邏輯起始?jí)K位置號(hào)，記錄raid5陣列起始?jí)K位置。

3、去除raid5陣列的校驗(yàn)盤(pán)。經(jīng)過(guò)分析發(fā)現(xiàn)raid5陣列數(shù)據(jù)塊大小為8扇區(qū)，每個(gè)數(shù)據(jù)塊后有一個(gè)附加的大小為64字節(jié)的數(shù)據(jù)塊描述信息。所以在底層找到0X10位置為FFFF的就是要找的校驗(yàn)塊。

北亞數(shù)據(jù)恢復(fù)——服務(wù)器RAID5數(shù)據(jù)恢復(fù)

4、分析aggr盤(pán)序。已知raid5陣列中的數(shù)據(jù)塊大小為8扇區(qū)，因此按照每塊磁盤(pán)的8號(hào)扇區(qū)進(jìn)行盤(pán)序分析，確定每塊磁盤(pán)各自歸屬的組，還原磁盤(pán)在各自的組內(nèi)的排序。

5、分析raid磁盤(pán)陣列節(jié)點(diǎn)信息。服務(wù)器的節(jié)點(diǎn)分布在不同的數(shù)據(jù)塊內(nèi)并組成節(jié)點(diǎn)組，前面已經(jīng)分析出每64字節(jié)記錄一些系統(tǒng)數(shù)據(jù)，之后用192字節(jié)為一項(xiàng)來(lái)記錄各個(gè)文件節(jié)點(diǎn)。文件節(jié)點(diǎn)根據(jù)用戶級(jí)別可分為兩類(lèi)：“MBFP”系統(tǒng)文件節(jié)點(diǎn)和“MBFI”用戶文件節(jié)點(diǎn)，在恢復(fù)數(shù)據(jù)時(shí)一般只取MBFI節(jié)點(diǎn)組即可。

北亞數(shù)據(jù)恢復(fù)——服務(wù)器RAID5數(shù)據(jù)恢復(fù)

*頭部信息64字節(jié)(此頭部為數(shù)據(jù)文件的節(jié)點(diǎn)文件塊頭部，大小為64字節(jié))

*“MBFP”為元文件的節(jié)點(diǎn)標(biāo)志，“MBFI”為用戶文件的節(jié)點(diǎn)標(biāo)志

6、根據(jù)更新序列值獲取到最新節(jié)點(diǎn)。解析節(jié)點(diǎn)中節(jié)點(diǎn)類(lèi)型、邏輯塊號(hào)、文件數(shù)量、文件大小、所占?jí)K數(shù)量及數(shù)據(jù)指針。獲取節(jié)點(diǎn)在節(jié)點(diǎn)文件中的邏輯塊號(hào)，從0開(kāi)始計(jì)數(shù)。

7、獲取目錄項(xiàng)，并根據(jù)其節(jié)點(diǎn)編號(hào)，找到對(duì)應(yīng)節(jié)點(diǎn)。

北亞數(shù)據(jù)恢復(fù)——服務(wù)器RAID5數(shù)據(jù)恢復(fù)

8、根據(jù)分析獲取到的raid陣列信息重組raid5陣列，北亞數(shù)據(jù)恢復(fù)工程師編寫(xiě)小程序提取服務(wù)器內(nèi)的數(shù)據(jù)。

服務(wù)器數(shù)據(jù)驗(yàn)證：

北亞數(shù)據(jù)恢復(fù)工程師在服務(wù)器上搭建了與原始服務(wù)器相同的環(huán)境，在上層應(yīng)用內(nèi)驗(yàn)證數(shù)據(jù)無(wú)誤后交付給用戶，由用戶親自驗(yàn)證，經(jīng)過(guò)用戶反復(fù)驗(yàn)證后確認(rèn)數(shù)據(jù)完整可用。

審核編輯：湯梓紅