NTFS文件系統(tǒng)下格式化在理論上不會(huì)對(duì)數(shù)據(jù)造成太大影響，但有可能造成部分文件目錄結(jié)構(gòu)丟失的情況。下面介紹一個(gè)人為誤操作導(dǎo)致服務(wù)器磁盤陣列中的NTFS文件系統(tǒng)分區(qū)被格式化后的服務(wù)器數(shù)據(jù)恢復(fù)案例。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、將故障服務(wù)器連接到一臺(tái)備份用的服務(wù)器上，將故障服務(wù)器的所有硬盤設(shè)置為脫機(jī)狀態(tài)，然后使用專業(yè)工具備份磁盤。
2、通過備份文件查看數(shù)據(jù)的0-2扇區(qū)，搞清楚額這臺(tái)這臺(tái)服務(wù)器的分區(qū)大小以扇區(qū)數(shù)。
3、按照RAID5的計(jì)算模式，用扇區(qū)數(shù)除以服務(wù)器內(nèi)的實(shí)際硬盤數(shù)量（除去校驗(yàn)盤外），得到一個(gè)扇區(qū)數(shù)。
4、跳轉(zhuǎn)到該扇區(qū)，在這個(gè)扇區(qū)的附近可以查找到另一個(gè)GPT分區(qū)表，這樣就可以查看分區(qū)的大小了。

北亞企安數(shù)據(jù)恢復(fù)—服務(wù)器數(shù)據(jù)恢復(fù)

說明：GPT分區(qū)表項(xiàng)底層表現(xiàn)，標(biāo)記項(xiàng)前8個(gè)字節(jié)為分區(qū)起始扇區(qū)，之后8個(gè)字節(jié)為分區(qū)結(jié)束扇區(qū)，單位512字節(jié)/扇區(qū)，64bit。
5、通常只需要分析出raid成員盤數(shù)量和raid走向就可以重組raid5陣列。NTFS文件系統(tǒng)下恢復(fù)數(shù)據(jù)只需要找到分區(qū)的文件記錄項(xiàng)，然后根據(jù)NTFS文件系統(tǒng)中的MFT順序查看到raid5的條帶大小和raid走向。

北亞企安數(shù)據(jù)恢復(fù)—服務(wù)器數(shù)據(jù)恢復(fù)

6、北亞企安數(shù)據(jù)恢復(fù)工程師根據(jù)分析出來的RAID結(jié)構(gòu)重組RAID，這個(gè)時(shí)候已經(jīng)可以看到該分區(qū)中被格式化的數(shù)據(jù)了。正常情況下目錄結(jié)構(gòu)可以保留，但是也有可能會(huì)遇到文件目錄結(jié)構(gòu)丟失的情況。好在數(shù)據(jù)可以恢復(fù)出來了。
文件目錄丟失情況：

北亞企安數(shù)據(jù)恢復(fù)—服務(wù)器數(shù)據(jù)恢復(fù)

審核編輯 黃宇