服務(wù)器誤刪除卷導致raid5陣列數據丟失的數據恢復
作者：admin????發(fā)布時(shí)間：2022-03-17 19:24 ????瀏覽次數 :
服務(wù)器故障：
用戶(hù)誤刪除了服務(wù)器上的卷，raid5磁盤(pán)陣列數據丟失，聯(lián)系速凌數據恢復中心進(jìn)行數據恢復。
服務(wù)器數據恢復過(guò)程：
經(jīng)過(guò)檢測，服務(wù)器沒(méi)有物理故障?？梢詮膔aid5磁盤(pán)陣列層面進(jìn)行數據恢復。
1、分析超級快信息，記錄raid陣列起始塊位置。
速凌數據恢復工程師對服務(wù)器raid陣列進(jìn)行數據分析，獲取到陣列的邏輯起始塊位置號。
2、去除raid陣列的校驗盤(pán)。
經(jīng)過(guò)分析，這組raid5陣列中每個(gè)數據塊大小為8扇區，每個(gè)數據塊后有一個(gè)附加的數據塊描述信息，大小為64字節，
由此在底層找到的0X10位置為FFFF的就是要找的校驗塊。
3、分析aggr盤(pán)序。
由于之前通過(guò)分析已經(jīng)獲知陣列中的數據塊大小為8扇區，所以在進(jìn)行盤(pán)序分析時(shí)也依據每塊磁盤(pán)的8號扇區進(jìn)行分析，
確定每塊硬盤(pán)各自歸屬的組，再還原硬盤(pán)在各自的組內的排序。
4、分析raid磁盤(pán)陣列節點(diǎn)信息。
服務(wù)器的節點(diǎn)分布在不同的數據塊內組成節點(diǎn)組，前面已經(jīng)分析出每64字節記錄一些系統數據，之后用192字節為一項
記錄各個(gè)文件節點(diǎn)。根據用戶(hù)級別可分為兩類(lèi)：“MBFP”系統文件節點(diǎn)和“MBFI”用戶(hù)文件節點(diǎn)，在數據恢復時(shí)一般
只取MBFI節點(diǎn)組即可。
頭部信息64字節
解析如下：（此頭部為數據文件的節點(diǎn)文件塊頭部，大小為64字節）
標志，常量（“MBFP”為元文件的節點(diǎn)標志，“MBFI”為用戶(hù)文件的節點(diǎn)標志）；
根據更新序列值獲取到最新節點(diǎn)；
解析節點(diǎn)中節點(diǎn)類(lèi)型，邏輯塊號，文件數量，文件大小，所占塊數量，及數據指針；
獲取節點(diǎn)在節點(diǎn)文件中的邏輯塊號，從0開(kāi)始計數。
5、獲取目錄項，并根據其節點(diǎn)編號，找到對應節點(diǎn)。
6、編寫(xiě)數據提取程序恢復服務(wù)器數據。
根據分析到的raid陣列信息重組raid5陣列，速凌數據恢復工程師編寫(xiě)數據恢復小程序提取服務(wù)器內的數據。
7、搭建服務(wù)器環(huán)境驗證數據。
在速凌專(zhuān)用數據恢復服務(wù)器上搭建了與原服務(wù)器相同的環(huán)境，在上層應用內對數據進(jìn)行驗證，驗證無(wú)誤后由服務(wù)器管理員
對數據進(jìn)行最終驗證，經(jīng)管理員驗證，本次服務(wù)器內的所有數據全部恢復，完整可用。
