服務(wù)器存儲(chǔ)數(shù)據(jù)恢復(fù)環(huán)境：
一臺(tái)服務(wù)器上部署esxi虛擬化平臺(tái)。上層采用通過(guò)FreeNAS構(gòu)建的iSCSI方式FCSAN功能，F(xiàn)reeNAS層采用UFS2文件系統(tǒng)。
esxi虛擬化系統(tǒng)有3臺(tái)虛擬機(jī)。其中一臺(tái)虛擬機(jī)采用FreeBSD系統(tǒng)，存儲(chǔ)的是數(shù)據(jù)庫(kù)文件；另外一臺(tái)臺(tái)虛擬機(jī)存儲(chǔ)網(wǎng)站數(shù)據(jù)；第三臺(tái)虛擬機(jī)安裝的Windows server操作系統(tǒng)，存儲(chǔ)的是數(shù)據(jù)庫(kù)數(shù)據(jù)和工作程序代碼。

服務(wù)器存儲(chǔ)故障：
機(jī)房供電不穩(wěn)定導(dǎo)致設(shè)備非正常關(guān)機(jī)，重啟后發(fā)現(xiàn)ESXI系統(tǒng)無(wú)法連接存儲(chǔ)。服務(wù)器管理員對(duì)服務(wù)器進(jìn)行故障排查，發(fā)現(xiàn)FreeNAS的UFS2文件系統(tǒng)出現(xiàn)故障。服務(wù)器管理員對(duì)文件系統(tǒng)進(jìn)行fsck修復(fù)并將ESXI系統(tǒng)連接到服務(wù)器存儲(chǔ)上。
管理員對(duì)上層文件系統(tǒng)及數(shù)據(jù)進(jìn)行檢查，發(fā)現(xiàn)原服務(wù)器上的文件系統(tǒng)和存儲(chǔ)數(shù)據(jù)都無(wú)法識(shí)別，于是對(duì)vmfs進(jìn)行了格式化等操作，導(dǎo)致數(shù)據(jù)丟失。

服務(wù)器存儲(chǔ)數(shù)據(jù)恢復(fù)過(guò)程：
1、對(duì)FreeNAS層進(jìn)行鏡像。鏡像完成后基于鏡像文件對(duì)底層數(shù)據(jù)分析。北亞企安數(shù)據(jù)恢復(fù)工程師在存儲(chǔ)內(nèi)發(fā)現(xiàn)了一個(gè)文件名稱(chēng)為iscsidata的大文件。繼續(xù)分析文件系統(tǒng)結(jié)構(gòu)，根據(jù)UFS2文件系統(tǒng)的存儲(chǔ)結(jié)構(gòu)定位到這個(gè)大文件的iNode數(shù)據(jù)查看。查看后發(fā)現(xiàn)該文件此前被重建過(guò)，iNode指針?biāo)赶虻臄?shù)據(jù)量非常少。在這種情況下，進(jìn)入到vmfs文件系統(tǒng)層進(jìn)行數(shù)據(jù)分析和恢復(fù)需要先分析出FreeNAS層面的必要信息和數(shù)據(jù)。服務(wù)器數(shù)據(jù)恢復(fù)工程師通過(guò)分析獲取到相關(guān)信息：UFS2文件系統(tǒng)塊大小、segment大小、柱面組大小、每數(shù)據(jù)指針大小、每個(gè)塊可容納數(shù)據(jù)指針數(shù)量。
根據(jù)上述信息計(jì)算出一個(gè)二級(jí)指針塊可存儲(chǔ)的數(shù)據(jù)量以及一個(gè)三級(jí)指針塊可存儲(chǔ)的數(shù)據(jù)量。
2、服務(wù)器數(shù)據(jù)恢復(fù)工程師計(jì)劃通過(guò)iscsidata文件的三級(jí)指針塊來(lái)恢復(fù)FreeNAS層的數(shù)據(jù)。由于該文件曾經(jīng)被重建，部分指針被重建的數(shù)據(jù)所覆蓋，原文件的iNode和重建后的文件iNode所在的位置完全一致，也沒(méi)有其他可用于數(shù)據(jù)恢復(fù)iNode數(shù)據(jù)。北亞企安服務(wù)器數(shù)據(jù)恢復(fù)工程師根據(jù)實(shí)際數(shù)據(jù)情況編寫(xiě)小程序收集有用的指針塊，收集到了大量二級(jí)指針塊和三級(jí)指針塊。
3、分析三級(jí)指針塊，發(fā)現(xiàn)這些指針塊都是無(wú)效的。繼續(xù)分析二級(jí)指針塊，對(duì)有大量的二級(jí)指針塊的指向數(shù)據(jù)進(jìn)行DUMP，然后再?gòu)拇疟P(pán)中的數(shù)據(jù)定位到二級(jí)指針。通過(guò)這種方式得到大量DUMP的數(shù)據(jù)。
4、服務(wù)器數(shù)據(jù)恢復(fù)工程師運(yùn)用以前研究出來(lái)的NTFS和UFS2文件系統(tǒng)結(jié)構(gòu)定位到vmfs層，繼而定位到DUMP出的單個(gè)64GB文件，進(jìn)行數(shù)據(jù)組合。
5、經(jīng)過(guò)復(fù)雜的查詢(xún)和重組操作，最終成功恢復(fù)出了3臺(tái)虛擬機(jī)及虛擬機(jī)內(nèi)的全部數(shù)據(jù)。
6、服務(wù)器數(shù)據(jù)恢復(fù)工程師將恢復(fù)出來(lái)的數(shù)據(jù)上傳到新構(gòu)建出來(lái)的系統(tǒng)中進(jìn)行驗(yàn)證。經(jīng)過(guò)用戶(hù)方管理員驗(yàn)證，確認(rèn)所有數(shù)據(jù)恢復(fù)成功。

審核編輯 黃宇