服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
Windows Server操作系統(tǒng)服務(wù)器，部署Hyper-V虛擬化環(huán)境，虛擬機(jī)的硬盤文件和配置文件存放在某品牌MD3200存儲(chǔ)中，MD3200存儲(chǔ)中有一組由4塊硬盤組成的raid5陣列，存放虛擬機(jī)的數(shù)據(jù)文件；另外還有一塊硬盤存放虛擬機(jī)數(shù)據(jù)文件的備份。

服務(wù)器故障&檢測(cè)：
由于MD3200存儲(chǔ)中虛擬機(jī)的數(shù)據(jù)文件丟失，導(dǎo)致整個(gè)Hyper-V服務(wù)癱瘓，虛擬機(jī)無(wú)法使用。
1、將M3200存儲(chǔ)中所有硬盤編號(hào)取出，對(duì)MD3200存儲(chǔ)中所有硬盤進(jìn)行物理故障檢測(cè)，經(jīng)過(guò)檢測(cè)發(fā)現(xiàn)所有硬盤均可以正常讀取，不存在明顯物理故障。
2、操作系統(tǒng)工作狀態(tài)正常，未發(fā)現(xiàn)有問(wèn)題的進(jìn)程，排除操作系統(tǒng)問(wèn)題。
3、丟失數(shù)據(jù)硬盤的文件系統(tǒng)可以正常打開，殺毒軟件檢測(cè)后沒有發(fā)現(xiàn)問(wèn)題。經(jīng)過(guò)檢測(cè)發(fā)現(xiàn)文件系統(tǒng)的元文件創(chuàng)建時(shí)間與數(shù)據(jù)丟失的時(shí)間相同，這意味著文件系統(tǒng)被人為重寫了，即分區(qū)被格式化了。
4、數(shù)據(jù)丟失之前和數(shù)據(jù)丟失當(dāng)天的系統(tǒng)日志已被清空，審核日志和服務(wù)日志卻還在。格式化分區(qū)的操作只會(huì)記錄在系統(tǒng)日志中，符合人為破壞的特征。
5、需要恢復(fù)的系統(tǒng)日志被新的日志記錄覆蓋，無(wú)法恢復(fù)。
6、只有兩個(gè)分區(qū)的文件系統(tǒng)被重寫。格式化兩個(gè)分區(qū)需要兩個(gè)獨(dú)立的過(guò)程，這種針對(duì)性的操作只能是人為的。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
1、之前檢測(cè)沒有發(fā)現(xiàn)硬盤存在物理故障，直接將所有硬盤以只讀方式做全盤鏡像，鏡像完成后將所有磁盤按照編號(hào)還原到原存儲(chǔ)中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。

北亞企安數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

2、基于鏡像文件分析底層數(shù)據(jù)，獲取RAID5陣列的盤序、條帶大小、條帶走向等信息。根據(jù)這些信息重組raid5陣列。
重組RAID：

北亞企安數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

打開陣列：

北亞企安數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

3、基于鏡像文件分析底層數(shù)據(jù)，發(fā)現(xiàn)許多以前文件系統(tǒng)的目錄項(xiàng)及文件索引的殘留數(shù)據(jù)。經(jīng)過(guò)核對(duì)發(fā)現(xiàn)這些文件索引指向的數(shù)據(jù)都是用失的文件內(nèi)容。北亞企安數(shù)據(jù)恢復(fù)工程師編寫了一個(gè)提取文件索引項(xiàng)的小程序掃描&提取所有文件索引項(xiàng)。
4、分析提取出來(lái)的文件索引項(xiàng)，發(fā)現(xiàn)其索引項(xiàng)都是不連續(xù)的，并且大多都是以16K或8K對(duì)齊的。正常情況下，文件索引項(xiàng)是連續(xù)的，大小為固定的1K，每個(gè)文件索引項(xiàng)對(duì)應(yīng)一個(gè)文件或目錄。不連續(xù)且不完整的文件索引項(xiàng)無(wú)法正常索引到文件的內(nèi)容，北亞企安數(shù)據(jù)恢復(fù)工程師對(duì)掃描出來(lái)的不連續(xù)的文件索引項(xiàng)進(jìn)行加工處理。
文件索引項(xiàng)截圖：

北亞企安數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

5、處理好所有的文件索引項(xiàng)后，根據(jù)文件索引項(xiàng)編號(hào)將文件索引項(xiàng)拼接成完整目錄項(xiàng)結(jié)構(gòu)。由于部分文件索引項(xiàng)被破壞，只能找到大部分文件索引項(xiàng)，所幸這些找到的文件索引項(xiàng)足以拼接成完整目錄結(jié)構(gòu)。
掃描到的文件索引項(xiàng)碎片：

北亞企安數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

6、將重建好的目錄結(jié)構(gòu)替換現(xiàn)有文件系統(tǒng)中的目錄結(jié)構(gòu)，然后由北亞企安數(shù)據(jù)恢復(fù)工程師手動(dòng)修改部分校驗(yàn)值并解釋這個(gè)目錄結(jié)構(gòu)，即可看到丟失的數(shù)據(jù)了。
目錄結(jié)構(gòu)：

北亞企安數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

將其中一個(gè)最新的VHD文件恢復(fù)出來(lái)后拷貝到一臺(tái)支持附加VHD的服務(wù)器上，嘗試附加此VHD，附加成功。檢查VHD中最新的數(shù)據(jù)的完整性，沒有發(fā)現(xiàn)問(wèn)題。將所有數(shù)據(jù)恢復(fù)到一塊硬盤中。
恢復(fù)出來(lái)的所有虛擬機(jī)數(shù)據(jù)文件：

北亞企安數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

7、在一臺(tái)測(cè)試服務(wù)器上搭建Hyper-V的環(huán)境，將恢復(fù)出來(lái)的虛擬機(jī)文件連接到這臺(tái)測(cè)試服務(wù)器上。通過(guò)導(dǎo)入虛擬機(jī)的方式將恢復(fù)出來(lái)的數(shù)據(jù)遷移到新的Hyper-V環(huán)境，讓用戶方來(lái)驗(yàn)證虛擬機(jī)&虛擬機(jī)數(shù)據(jù)的完整性，經(jīng)過(guò)驗(yàn)證用戶方確認(rèn)恢復(fù)出來(lái)的數(shù)據(jù)完整有效。
虛擬機(jī)導(dǎo)入的過(guò)程：

北亞企安數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

8、將所有恢復(fù)出來(lái)的數(shù)據(jù)拷貝至用戶方準(zhǔn)備好的服務(wù)器中，然后將虛擬機(jī)導(dǎo)入到用戶方準(zhǔn)備好的的Hyper-V環(huán)境中，導(dǎo)入后沒有報(bào)錯(cuò)，嘗試啟動(dòng)所有虛擬機(jī)，所有虛擬機(jī)啟動(dòng)都沒問(wèn)題。本次服務(wù)器數(shù)據(jù)恢復(fù)工作完成。

北亞企安數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——Hyper-V數(shù)據(jù)恢復(fù)

審核編輯 黃宇