版权申明:本文章由天问数据恢复谭云原创,转载需保留版权!
某网站空间服务商,DELL服务器,两组RAID5,一组3块146G SAS硬盘组成RAID5,用于安装的虚拟机VMWARE ESX4.0,第二组由三块1TB硬盘组成RAID5,并构成一个分区,VMFS3文件系统,此分区里面安装了数十个windows2003操作系统。数据量约1.1TB,存放了客户网站数据库等信息。凌晨3点,值班管理员巡查时一切正常,早上7点查看时,发现第二组RAID5有两块盘掉线。无法访问里面的数据,经过与管理员沟通,表示没有对VMWARE服务器做其他任何操作。

VMWARE数据恢复分析:
一、MHDD检测三块硬盘,发现有部分损坏,读取时间小于150毫秒,不影响数据正常读取。
二、winhex打开三块盘分析,0扇区有引导记录,结束标记都正常,但是分区表所指向的VMFS3卷引导记录或者linux下的超级块,全部为00H,初步断定,VMFS3文件系统的超级快类似于RFS文件系统,有一部分的保留扇区。
三、 三块盘同时向下查找卷引导记录,没有发现任何踪迹。同时发现一号盘的0-500G之间居然全部为00,异或不通过。从大约600G的位置开始异或通过。分析出VMWARE的RAID5的盘序,块大小,数据走向,校验方向等参数,用winhex重组。winhex也不能识别这类文件系统(0xfb)。重组成功后,接下来是如何验证数据,或者提取里面的数据,方法一,利用ufs4.6.1查看里面数据,遗憾的是,不支持此类文件系统。方法二,利用linux下的vmfstools预览数据,同样也失败,安装ubuntu,下载vmfstools,只能识别该盘为RAID组建,无法识别里面的VMFS分区。

解决办法
将重组后的VMWARE RAID5恢复到一个2TB的硬盘里面,由于是从0扇区开始镜像,RAID5的LBA值大于2TB硬盘LBA,丢弃后面的部分扇区。经过一晚镜像,RAID数据全部恢复到单盘。
验证VMFS分区数据
在单盘上安装VMWARE ESX4.0,连接恢复出来的2TB硬盘,访问服务器,用VMWARE添加此硬盘,分区识别。但是验证里面的SERVER2003时,启动过程中报系统错误。执行chkdsk c: /f命令,重启后,正常进入系统。验证其他MSSQL数据库,一切正常。至此数据恢复成功!

作者:天问数据恢复    谭云     www.raiddb.com