beiya123的博客

进一步分析发现，该存储原有两个分区：主分区占总容量约80%，第二分区为第一分区的扩展分区，NTFS分区格式化与分区删除操作，仅影响了第一组分区，未波及第二分区，且第一组分区核心结构信息完整，具备数据恢复条件。在此提醒运维人员，将存储接入其他服务器时，务必严格管控存储分配与读写权限，避免因系统冲突造成数据丢失。按照数据恢复标准流程，硬件工程师先对存储内所有硬盘进行检测，确认硬盘均无物理故障，状态正常。经分析判定，故障原因为新增接入的Windows系统服务器对存储进行独占式操作，导致存储VMFS卷损坏。

管理员检查后发现，阵列中有两块硬盘状态灯亮起红灯（若日常定期巡检，在第一块硬盘故障时及时更换，可避免后续严重故障）。镜像过程中，硬件数据恢复工程师同步检测硬盘硬件状态，若存在物理故障，先进行硬件修复，再安全提取底层数据。而该服务器具备阵列自检功能，重启后原本离线的硬盘自动上线并启动数据同步。3、校验结果显示，部分数据已出现损坏，核心原因是重启后硬盘自动同步，导致阵列数据一致性被破坏，出现数据缺失、错乱问题。7、经过长时间的分析、拼接与聚合，北亚数据恢复工程师成功恢复出完整数据，经校验确认数据无异常。

但恢复效果仍受故障后后续操作影响，在此提醒：存储出现此类故障后，切勿盲目重建阵列、反复强制上线或尝试非法重建，应尽量保持故障现场，及时联系专业数据恢复机构进行检测与恢复，最大限度保障数据安全。但在同步过程中，阵列内又一块硬盘出现离线，导致数据重建被迫中断，RAID阵列直接失效，逻辑卷无法挂载，最终造成存储整体崩溃。4、在用户方的配合下准备一台正常可用的存储设备，数据恢复工程师将恢复好的数据LUN一对一迁移至新存储的新建LUN中，再次核验数据无误，确认所有数据完整可用，数据完整恢复。

经双方沟通，客户选定现场数据恢复服务，由北亚数据恢复中心北京总部指派专业工程师，携带专用数据恢复设备赶赴客户现场开展恢复工作。针对此情况，工程师采用数据库碎片重组技术开展精细化恢复：先定位数据库文件起始位置，逐片扫描匹配数据库页特征的碎片数据，再按逻辑顺序拼接整合，最终重构出完整的 MDF 数据库文件，并完成文件完整性校验。校验通过后，工程师搭建全新数据库环境，将恢复完成的 MDF 文件进行附加挂载，随后对数据库内各业务表进行数据核查，确认所有数据完整可用，最新业务记录无缺失。

北亚数据恢复工程师检测后发现，3块离线硬盘中有2块离线时间较早，盘内数据已无恢复价值，只能依靠第二重校验算法对最后一块离线硬盘进行数据重组与提取。某企业一台Web服务器采用6盘位RAID6磁盘阵列，运行过程中出现3块硬盘先后离线，导致阵列直接崩溃，服务器无法正常上线，内部MySQL数据库全部丢失，业务被迫中断。1、北亚数据恢复工程师抵达现场后，首先按盘序将所有硬盘取出，逐一完整镜像至数据恢复专用安全存储环境，完成后将原盘原样归还给客户，后续仅使用镜像文件进行底层分析与恢复操作，避免对原始数据造成二次损坏。

经排查，该虚拟机存在两个快照文件，数据恢复工程师先将两份快照进行合并，再以磁盘模式挂载虚拟机镜像文件开展底层分析。5、客户到场进行数据核验，确认仅约3%的非核心数据未能恢复，业务所需的重要数据库信息均完整找回。因未恢复部分为次要数据，客户对本次恢复结果高度认可，本次虚拟机及数据库数据恢复工作圆满完成。本次故障由服务器异常断电引发，导致虚拟机无法正常启动。4、北亚数据恢复工程师重新搭建虚拟机环境并对恢复数据进行校验，校验后发现仍有少量数据存在损坏，判断为系统表空间异常所致，该部分数据经确认已不具备修复条件。

北京某国企客户在业务运维过程中，误执行TRUNCATE TABLE CM_CHECK_ITEM_HIS操作，导致该表数据被清空，业务查询该表时出现报错。同时客户发现现有数据库备份不可用，无法通过常规备份方式恢复数据，表内数据无法正常访问与查询。通过对system01.dbf及业务表对应数据文件的底层解析，成功定位并提取出被TRUNCATE的全部数据，并将数据重新插入数据库。针对目标表对应的数据文件进行底层扫描与解析，根据数据块结构、行记录格式，提取出未被物理覆盖的有效数据记录。3、数据回写与重建。

镜像过程中发现，此前在服务器中离线的3块硬盘，镜像速度异常缓慢。服务器数据恢复工程师通过调整镜像策略，跳过坏扇区，最终完成所有硬盘的完整镜像。5、服务器数据恢复工程师立即重新深度分析RAID结构，进一步评估ext3文件系统损坏程度，经过数小时精细化解析与重组，重新提取出完整的dmp文件及dbf原始数据文件。3、镜像完成后，服务器数据恢复工程师利用专业服务器数据恢复工具，对镜像文件进行底层结构解析。检测结果显示，所有硬盘均可正常识别，无严重物理损坏，无需进行硬件维修，有效规避了因物理故障无法恢复的风险。

该服务器运行MySQL数据库，同时存储大量业务文件，客户此前委托某数据恢复公司处理，仍有近一个月的文件损坏、缺失，MySQL数据库也严重损坏，后经运维人员推荐，客户联系到北亚数据恢复中心进行数据恢复。镜像完成后，北亚数据恢复工程师通过底层数据分析工具，结合ext3文件系统逆向解析，确定硬盘盘序与阵列校验信息，完成RAID重组。随后北亚数据恢复工程师重新进入阵列管理工具，先将此前强制上线的硬盘手动标记为Fail，再将另一块故障硬盘设置为OnLine，重启后服务器成功进入系统，系统与数据库均运行正常。

1、 故障盘专项备份：对故障RAID5的6块成员盘逐一编号、拔盘，接入独立备份平台，使用WinHex进行全盘镜像备份；b、 元数据-数据卷索引解析：深入分析Meta_LUN的节点信息、目录项结构，破解“单Meta_LUN管理多Data_LUN”的核心索引算法，建立元数据与用户数据的一一对应关系，为后续数据提取奠定基础。2、 数据智能提取：北亚企安数据恢复工程师开发文件提取程序，读取数据库信息，结合LUN聚合算法，精准遍历故障RAID及关联卷，自动筛选有效数据、屏蔽坏道干扰，完成用户文件的批量提取。

通过LVM扩容的方式将sdc1分区加入到了root_lv中，剩余的sdc2分区格式化为XFS文件系统。8、对丢失的xfs文件系统（sdc2分区）进行检测后发现，文件系统头部的超级块及部分节点、目录项丢失。根据超级块备份及文件系统中的目录树结构修复还原超级块，对丢失的节点、目录项进行修补、重构之后，文件系统中99%以上的数据恢复。7、修复完成后，北亚企安数据恢复工程师编写程序解析xfs文件系统，提取其中的数据。6、修复xfs文件系统中丢失的节点及目录项；5、修复xfs文件系统的超级块结构；

北亚数据恢复中心最近接到很多服务器数据恢复的案子，这些案子有：服务器断电数据丢失、意外断电导致服务器无法启动、服务器可以启动但是虚拟机丢失、服务器断电后多块硬盘出现故障离线.....。找到lvm信息就意味着数据还在，以lvm信息为基础分析查找虚拟磁盘的分区数据，但是发现虚拟磁盘被破坏，这是非常罕见的现象。Tips：正常情况下rar压缩包的第一个扇区记录的是文件名，可以根据文件名反向分析压缩包的数据起始位置，然后把这个相应的压缩包底层数据提取出来并重命名。不幸的是，本案例中提取出来的压缩包解压时报错。

虚拟机技术作为虚拟化技术的一种，在现代信息技术领域扮演着重要角色。虚拟化技术的核心是将事物从一种形式转变为另一种形式，它在多个方面都有广泛应用。

查看winhex生成的日志发现，在服务器管理工具和硬盘SMART状态中均未报错的1号盘也存在坏道，10号和13号盘存在大量不规律的坏道分布。北亚企安数据恢复工程师通过对ext3文件系统的逆向分析以及日志文件的研究，确定了16块FC盘在存储中的盘序、RAID的块大小、RAID的校验走向和方式等信息。镜像过程中发现，6号磁盘的镜像速度极慢。于是，调整6号盘的拷贝策略，修改遇到坏道跳过扇区数和响应等待时间等参数，继续进行镜像操作，同时关注剩余硬盘在Windows环境下使用winhex镜像的情况。

通常，数据恢复采用第一种校验方法即可，但经过北亚企安数据恢复工程师分析，发现阵列中前两块硬盘很早就已掉线，不具备数据恢复条件，第一种校验方式不再适用。结果，当第三块硬盘离线后，RAID崩溃，服务器瘫痪，业务被迫停滞。RAID本质上是一种存储方式，它有个很厉害的特点，就像通讯领域的纠错码一样，允许一部分数据缺失，却不影响全部数据的正常使用。针对服务器阵列多块硬盘掉线的数据恢复原理就是分析硬盘离线的先后顺序，修复最后离线的硬盘故障，提取其数据，再根据RAID的存储结构分析出一些基础参数后重组RAID。

对收集到的所有三级指针块进行分析，均为无效块，未发现iscsidata文件使用的三级指针块。服务器数据恢复工程师推测在新建iscsidata文件时被新数据覆盖（新的iscsidata文件在挂载到ESXi5.0后有个VMFS格式化过程，而ESXi5.0使用GUID Partition Table分区，GUID Partition Table分区会在磁盘最后写入冗余的GUID Partition Table头和分区表信息数据，从而使用了iscsidata文件的三级指针块）。所幸虚拟机均无快照，数据仍可恢复。

本案例中，服务器进入RAID管理界面即出现死机，初步判断为RAID卡硬件故障，后续经原厂售后技术人员检测验证，确认RAID卡已出现硬件损坏。校验通过后，对用户关键目录与文件进行完整性预验证，确保数据可正常读取。北亚企安硬件工程师首先对服务器内全部6块SAS硬盘进行全面物理健康检测，排查坏道、磁头、电机等硬件故障，检测结果显示所有物理硬盘均可正常读写。此类服务器数据丢失故障，大多由意外断电引发RAID控制模块异常导致，具体包括RAID配置信息丢失、错乱，以及RAID卡硬件损坏等情况。5、客户验证与数据迁移。

RSS间为JBOD模式，VRAID5单条带固定5块PV，VRAID6固定6块PV，以此均衡IO。在EVA Command View的fieldservice模式下强制激活，易引发脏数据、数据块结构错乱，且仅能屏蔽坏道修复，效果有限。该系列搭载的454414-001型号1T FATA磁盘，为希捷7200.11 FC改版，存在设计缺陷，运行2-3年易批量损坏，修复难度极高。EVA存储所用FC磁盘本质为SAS盘转接实现，加之虚拟化存储持续数据迁移、业务负载高，磁盘易故障掉线，最终突破冗余保护导致存储崩溃。

接着，北亚企安数据恢复工程师重组ASM存储空间，导出其中的数据库文件，再对导出的文件进行检测与恢复。通过重组ASM存储空间、对ASM磁盘底层解析，导出恢复后的数据库文件，并进一步对这些文件进行底层解析，再按用户要求将数据导入新数据库。北亚企安数据恢复工程师抽查数据表验证恢复数据，未发现异常，随后通知用户方进行全面数据验证，结果显示数据恢复完整，本次Oracle数据库数据恢复成功。4、利用北亚自主开发的oracle数据库解析工具，解析所有数据文件中的数据记录，然后按用户需求导入到新数据库中。

管理员尝试恢复时，删除了原虚拟机内的xxx-flat.vmdk，新建了一个虚拟机，分配了200GB精简模式和160GB快照数据盘，然而原虚拟机数据未恢复。7、检查备份文件，丢失的两个文件仍不存在，只有部分增量备份文件。在北亚企安数据恢复安全设备中搭建原始环境，将恢复的数据导入，用户方验证数据库完整性，所有数据完整无缺失，数据库挂载成功，上层应用运行正常，本次虚拟机数据恢复成功。3、北亚企安数据恢复工程师分析底层数据，在自由空间排查被删虚拟机磁盘区域，扫描出大量碎片并重组，但仍缺失部分碎片文件，只能留空。

5、数据恢复工程师将恢复出来的数据移交给用户方验证，经过用户方验证后确定恢复出来的数据完整无误。3、服务器数据恢复工程师基于镜像文件分析故障服务器中原raid结构，获取到原raid盘序、阵列校验方式、硬盘数据块大小等重组阵列的必需数据。2、服务器数据恢复工程师将所有硬盘数据完整镜像到北亚企安数据恢复专用存储内，后续的数据恢复工作将在数据恢复存储内进行。4、服务器数据恢复工程师根据这些信息在数据恢复存储设备中重组raid并进行逻辑校验，逻辑校验通过，所有参数正确无误。

如果服务器由于未知原因出现崩溃、无法启动导致数据丢失问题，切忌非专业人士在非洁净空间内拆卸服务器硬盘和更换磁头。基于镜像分析数据，找出原阵列中的结构参数，重建阵列并进行逻辑校验，通过校验后即可导出服务器数据。4、服务器数据恢复工程师使用穷举法将最早掉线的硬盘剔除后重组磁盘阵列，将生成的数据和服务器内的另一组完好raid同时挂载到原服务器上进行校验。一旦服务器出现故障导致了数据丢失，首先应该将故障服务器内所有运行正常的非热备盘进行镜像备份。某法院的一台服务器由于硬盘出现故障导致服务器无法工作。

摘要：某品牌服务器存储因多块硬盘故障导致业务中断，北亚企安数据恢复团队通过专业检测发现6号、10号、13号硬盘存在损坏。工程师对16块FC硬盘进行扇区级镜像，调整拷贝策略处理坏道，成功重组RAID并修复受损的ext3文件系统。在恢复Oracle数据库时，发现控制文件与数据文件不一致，通过重建控制文件、介质恢复等操作最终成功启动数据库。经全面验证，所有数据恢复完整，业务系统恢复正常运行。（149字）

该存储设备已经过保，无法申请售后（即使没有过保，存储设备厂商的售后也只为硬件提供质保，对存储设备中的数据安全负责）。由于该存储设备厂商与北亚数据恢复中心（北亚企安科技（北京）有限公司）是战略合作伙伴关系，于是向该用户推荐了北亚数据恢复中心。镜像完成后将所有硬盘按照原样还原到原存储设备中，后续的数据分析和数据恢复操作都基于镜像完成，避免对原始磁盘数据造成二次破坏。经过北亚企安数据恢复工程师的分析和重组，最终将故障存储上所有数据完整恢复，经用户方验证，确认恢复出来的数据完整有效。以下是据恢复过程中部分截图。

该案例中的LUN中的磁盘阵列都是RAID5阵列，只需要将一个LUN的RAID条目通过RAID5的校验算法算出校验值，再和原有的校验值作比较就可以判断这个条目中是否有掉线盘。由于恢复的是LUN，无法看到里面的文件，因此需要人工的核对哪些LUN是存放Vmware的数据，哪些LUN是存放HP-UX的裸设备。数据恢复工程师于是换一种验证方式：将所有符合vmware虚拟机的LUN里面的虚拟机文件都生成出来，然后通过NFS共享的方式挂载到虚拟主机上，然后将虚拟机一个一个的添加到清单。本次数据恢复工作完成。

服务器数据恢复工程师到达现场后发现有一台机柜未开机，经过沟通得知机房天花板渗水导致这台机柜上层的两台服务器存储设备受到影响，其中一台检修后可以正常工作，但是最上层的服务器存储设备完全损坏。3、基于镜像文件分析所有硬盘底层数据，获取到了原服务器存储内的阵列盘序、块大小，条带大小等重组raid所必需的信息并虚拟重组阵列。5、用户方工程师重新搭建环境，北亚企安数据恢复工程师协助用户方将恢复出来的数据迁移到新搭建的环境上。4、经过用户方工程师的验证，确认恢复的数据完整有效，认可本次数据恢复结果。

北亚企安数据恢复工程师首先会对离线的硬盘进行物理故障检测，排查硬盘物理故障。这里所说的物理修复并不是将故障硬盘修复成完全正常的硬盘，而是将故障硬盘修复到可以在专业数据恢复设备上做镜像的程度。这时，北亚企安数据恢复工程师只需要借助专业工具将故障硬盘内可以识别的部分数据镜像出来，无法识别的部分数据只能暂时放弃。服务器内的一块硬盘离线，在更换磁盘的过程中其他硬盘掉线导致服务器崩溃。导致服务器出现这些故障的原因是磁盘阵列内离线的硬盘数量超过了磁盘阵列的冗余数量，导致服务器数据丢失。3、分析raid信息。

服务器管理员在进行常规维护时误操作删除了其中一个lun上的虚拟机，这台被误删除的虚拟机上存储了SqlServer2000数据库和一些其他格式的数据。1、服务器数据恢复工程师将服务器中所有数据以只读方式进行完整镜像，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始数据造成二次破坏。3、使用北亚数据恢复中心自主研发的Frombyte recovery for ESX工具扫描虚拟磁盘，发现两个虚拟磁盘可能属于删除掉的虚拟机。虚拟磁盘恢复完成后将数据导入到本地服务器上，挂载到虚拟机后可以正常启动。

2、北亚企安数据恢复工程师编写程序扫描镜像数据所有组件信息，获取到每个组件信息中记录的组件ID和该组件所隶属的对象ID等信息。根据组件中的runlist追溯到每一数据块在所隶属的组件内的逻辑位置，然后借助北亚企安自主研发的工具重组和提取完整的组件。3、取到所有组件信息后，服务器数据恢复工程师根据描述信息中记录的每个组件在服务器内的逻辑位置并进行组合，拼接出一个完整的vmdk文件。4、整体分析扫描到的所有数据，将服务器内所有vmdk文件的快照和父盘进行合并后再次解析，提取其中的数据备份文件。

Tips：故障服务器使用EXT4文件系统，该文件系统中的文件丢失后其节点信息也会被清除，所以不能通过节点信息恢复数据，而应该通过将丢失的文件目录项节点号和lost+found目录下的文件名称进行匹配的方法恢复数据。1、服务器数据恢复工程师到达现场后将故障服务器以只读模式映射到北亚企安备份服务器上，然后将故障服务器上的数据完整镜像到备份服务器上。根据服务器磁盘中的文件系统信息整合&匹配统计的目录项和节点号，然后和lost+found目录下的文件记录号进行匹配，恢复服务器内丢失的数据。本次数据恢复工作完成。

交由用户方验证，数据完整有效。2、镜像完所有硬盘后，基于镜像文件分析所有硬盘的底层数据（raid阵列的条带大小、数据走向、硬盘顺序、热备盘、数据库的分布规律等），根据分析获取到的raid信息重组raid。6、数据库工程师验证数据库文件后发现部分数据库文件及日志文件异常，表空间内存在大量坏块，所有控制文件被破坏，undotbs02丢失、数据库数据恢复工程师对数据库文件进行修复。服务器raid5阵列中一块硬盘离线，热备盘激活后开始同步数据，在同步数据过程中又有一块硬盘离线，服务器数据丢失，上层应用崩溃。

2、基于镜像数据分析所有硬盘的底层数据，获取raid阵列条带大小、盘序等重组raid的关键信息。将服务器内所有硬盘按照mdisk组进行分类，然后分析mdisk组获取所有硬盘的阵列组信息，继而重组raid，提取阵列中数据。1、服务器数据恢复工程师将服务器内所有硬盘以只读方式进行扇区级完整镜像，镜像完成之后，将所有硬盘按照原样还原到原服务器上。管理员查看后重启服务器，掉线的硬盘重新上线并同步数据。重新扫描故障服务器内的数据碎片并提取。硬件工程师对故障服务器中的所有硬盘进行物理故障检测，检测后排除物理故障。

提取ZVOL卷头部信息，按照XenStore卷存储结构进行分析，发现该vhd在整个卷的尾部，计算得到其起始位置后从此位置开始提取数据。2、基于镜像文件分析所有磁盘的底层数据，北亚企安数据恢复工程师发现所有磁盘是通过ZFS进行管理，磁盘内记录系统元信息的NVLIST较为混乱。6、经过分析，数据恢复工程师发现在此存储中的ZFS版本与开源版本有较大差别，无法使用以前开发的解析程序解析，所以北亚企安数据恢复工程师重新编写了数据提取程序提取数据。ZPOOL的子设备可以有很多种类：块设备、文件、磁盘等。

存储故障：管理员对一台存储设备内的文件进行迁移操作时，数据突然无法读取，管理界面出现报错。管理员查看数据时发现其中一个lun的数据丢失。

Vsan是一种可扩展的分布式存储架构，这种存储架构区别于其他存储架构的地方在于由vsan进行管理和控制的vsan存储层。另外vsan分布式存储还提供有安全容灾机制，如果单台主机故障不会影响整个存储，所以一旦vsan存储故障数据丢失，也就说明至少有2台主机同时损坏，只能通过数据恢复方式恢复数据。4、Vmdk文件合并完成后继续分析vmdk文件，提取服务器中的数据库备份文件并还原数据库，验证数据库文件完整性。2、数据恢复工程师分析和重组镜像文件，利用北亚企安自主开发的工具进行扫描，提取被破坏的数据文件。

各节点创建两个磁盘组，每组用1块SSD作缓存盘、2块机械硬盘作容量盘，共6个磁盘组构成VSAN存储空间存储虚拟机文件。Vsan是基于vSphere内核开发的可扩展分布式存储架构，通过在vSphere集群主机安装闪存和硬盘构建存储层，由vsan控制管理，形成统一共享存储层供集群使用。3、VSAN文件以对象存于系统，对象分割为多组件，北亚企安数据恢复工程师编写程序扫描组件信息，记录组件ID与所属对象ID。4、北亚企安数据恢复工程师编写程序，据组件信息定位数据块及逻辑位置，提取完整组件。

2、对另一块未开盘的硬盘进行检测和开盘，开盘后发现该硬盘的磁头损坏，在盘片上检测到极微小的划痕。可以通过更换磁头、盘片处理等方式恢复数据，经过北亚企安数据恢复工程师的一番努力，终于将损坏的硬盘数据完整提取。1、检测已经开过盘的硬盘，发现硬盘盘面有规则的同心圆状划痕，属于典型的磁头故障导致盘片划伤，数据无法恢复。3、服务器数据恢复工程师收集了故障服务器存储上的日志信息，根据获取到的相关信息虚拟重组raid。4、通过位图信息在虚拟重组出来的raid中提取lun信息，导出数据并进行验证。

Netapp的节点分布在数量众多的数据块内，在数据块内的节点又被统一组织为节点组。b、筛选出最新的数据库备份文件，使用筛选出的备份文件还原数据库。经过一一尝试，筛选出最新的可用的数据库备份，还原数据库环境。8、分析好存储结构之后，使用北亚企安自主开发的NetApp解析程序提取数据， 解析asm文件系统，提取出数据库文件。d、根据索引根内的第一级数据指针提取本文件的所有直接数据指针，在指针提取完毕后开始提取文件数据。7、获取目录项，并根据其节点编号，找到对应节点。b、扫描硬盘内的所有节点。

2、在所有提取出来的文件索引项中搜索“VHD”文件记录，将与之连续的文件索引项提取出来。正常情况下，服务器的文件索引项固定为1KB，呈连续分布状态，每个文件索引项对应一个相应的目录（或文件）。但是数据恢复工程师对提取出来的文件索引项进行分析，发现这些文件索引项多数以16或8KB对齐，呈不连续且无规律状态分布。对底层数据进行扫描，找到大量未被覆盖的文件索引、文件系统目录项等信息。服务器数据恢复工程师在恢复出的数据中随机拷贝出一个VHD文件，在数据恢复专用服务器上附加此VHD文件，检查VHD中的数据完整性。

服务器管理员在修复和检查过程中还写入了一部分的新数据到服务器，导致损坏的目录项没有被成功修复，而是以节点号命名后存放到了lost+found文件夹内，对应的数据区索引也被自动清除。4、根据文件系统的结构信息，在底层空间的相对应位置扫描&提取符合丢失目录结构条件的信息，再与目录项节点号整合，将扫描到的目录项节点号记录到数据库。北亚企安服务器数据恢复工程师提取出lost+found文件夹下的文件名称，根据丢失文件的文件目录项节点号进行匹配，分析出丢失的目录结构。某品牌服务器+存储，安装的linux操作系统。