服務(wù)器存儲(chǔ)數(shù)據(jù)恢復(fù)環(huán)境：
一臺(tái)掛載在Windows server服務(wù)器上的v7000存儲(chǔ)。存儲(chǔ)空間劃分了一個(gè)分區(qū)，采用NTFS文件系統(tǒng)，存放oracle數(shù)據(jù)庫(kù)。

服務(wù)器存儲(chǔ)故障：
服務(wù)器在運(yùn)行過(guò)程中宕機(jī)，于是管理員重啟服務(wù)器。服務(wù)器進(jìn)入系統(tǒng)自動(dòng)進(jìn)行磁盤掃描修復(fù)時(shí)，管理員強(qiáng)制關(guān)機(jī)并斷開(kāi)了存儲(chǔ)和服務(wù)器之間的連接，導(dǎo)致這臺(tái)存儲(chǔ)上的文件系統(tǒng)損壞，報(bào)錯(cuò)“文件或目錄損壞且無(wú)法讀取”。

服務(wù)器存儲(chǔ)數(shù)據(jù)恢復(fù)過(guò)程：
1、將故障服務(wù)器存儲(chǔ)上的磁盤標(biāo)記后取出，硬件工程師檢測(cè)后沒(méi)有發(fā)現(xiàn)有硬盤存在物理故障和壞道。以只讀方式將所有磁盤進(jìn)行扇區(qū)級(jí)全盤鏡像，鏡像完成后將所有磁盤按照原樣還原到存儲(chǔ)中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤底層數(shù)據(jù)。經(jīng)過(guò)對(duì)底層數(shù)據(jù)的分析，數(shù)據(jù)恢復(fù)工程師發(fā)現(xiàn)出現(xiàn)故障的原因是MFT表自身的文件記錄的80屬性DATARUNS在操作系統(tǒng)自檢時(shí)被截?cái)?。分區(qū)內(nèi)多達(dá)數(shù)千萬(wàn)個(gè)文件中就有數(shù)十GB的MFT文件，并且有大量碎片。

北亞企安數(shù)據(jù)恢復(fù)—V7000存儲(chǔ)數(shù)據(jù)恢復(fù)

3、使用常規(guī)數(shù)據(jù)恢復(fù)工具進(jìn)行掃描，掃描出來(lái)的數(shù)據(jù)量只有丟失數(shù)據(jù)量的三分之一左右且目錄結(jié)構(gòu)混亂。北亞企安數(shù)據(jù)恢復(fù)工程師只能采用手工分析的方式來(lái)恢復(fù)數(shù)據(jù)。
4、收集分析所有MFT表碎片信息，然后根據(jù)這些信息改寫80屬性DATARUNS。手工分析的工作量十分繁雜，但結(jié)果可觀。
5、數(shù)據(jù)恢復(fù)工程師通過(guò)手工分析的方式盡量將數(shù)據(jù)恢復(fù)出來(lái)?；謴?fù)完成后分區(qū)可以正常打開(kāi)，恢復(fù)出來(lái)的數(shù)據(jù)量和丟失的數(shù)據(jù)量基本一致，目錄結(jié)構(gòu)完整。
6、經(jīng)過(guò)用戶方的仔細(xì)檢測(cè)后，確認(rèn)恢復(fù)出來(lái)的數(shù)據(jù)完整有效，認(rèn)可數(shù)據(jù)恢復(fù)結(jié)果。

審核編輯 黃宇