服務(wù)器存儲數(shù)據(jù)恢復(fù)環(huán)境：
一臺服務(wù)器上部署esxi虛擬化平臺。上層采用通過FreeNAS構(gòu)建的iSCSI方式FCSAN功能，F(xiàn)reeNAS層采用UFS2文件系統(tǒng)。
esxi虛擬化系統(tǒng)有3臺虛擬機。其中一臺虛擬機采用FreeBSD系統(tǒng)，存儲的是數(shù)據(jù)庫文件；另外一臺臺虛擬機存儲網(wǎng)站數(shù)據(jù)；第三臺虛擬機安裝的Windows server操作系統(tǒng)，存儲的是數(shù)據(jù)庫數(shù)據(jù)和工作程序代碼。

服務(wù)器存儲故障：
機房供電不穩(wěn)定導(dǎo)致設(shè)備非正常關(guān)機，重啟后發(fā)現(xiàn)ESXI系統(tǒng)無法連接存儲。服務(wù)器管理員對服務(wù)器進行故障排查，發(fā)現(xiàn)FreeNAS的UFS2文件系統(tǒng)出現(xiàn)故障。服務(wù)器管理員對文件系統(tǒng)進行fsck修復(fù)并將ESXI系統(tǒng)連接到服務(wù)器存儲上。
管理員對上層文件系統(tǒng)及數(shù)據(jù)進行檢查，發(fā)現(xiàn)原服務(wù)器上的文件系統(tǒng)和存儲數(shù)據(jù)都無法識別，于是對vmfs進行了格式化等操作，導(dǎo)致數(shù)據(jù)丟失。

服務(wù)器存儲數(shù)據(jù)恢復(fù)過程：
1、對FreeNAS層進行鏡像。鏡像完成后基于鏡像文件對底層數(shù)據(jù)分析。北亞企安數(shù)據(jù)恢復(fù)工程師在存儲內(nèi)發(fā)現(xiàn)了一個文件名稱為iscsidata的大文件。繼續(xù)分析文件系統(tǒng)結(jié)構(gòu)，根據(jù)UFS2文件系統(tǒng)的存儲結(jié)構(gòu)定位到這個大文件的iNode數(shù)據(jù)查看。查看后發(fā)現(xiàn)該文件此前被重建過，iNode指針?biāo)赶虻臄?shù)據(jù)量非常少。在這種情況下，進入到vmfs文件系統(tǒng)層進行數(shù)據(jù)分析和恢復(fù)需要先分析出FreeNAS層面的必要信息和數(shù)據(jù)。服務(wù)器數(shù)據(jù)恢復(fù)工程師通過分析獲取到相關(guān)信息：UFS2文件系統(tǒng)塊大小、segment大小、柱面組大小、每數(shù)據(jù)指針大小、每個塊可容納數(shù)據(jù)指針數(shù)量。
根據(jù)上述信息計算出一個二級指針塊可存儲的數(shù)據(jù)量以及一個三級指針塊可存儲的數(shù)據(jù)量。
2、服務(wù)器數(shù)據(jù)恢復(fù)工程師計劃通過iscsidata文件的三級指針塊來恢復(fù)FreeNAS層的數(shù)據(jù)。由于該文件曾經(jīng)被重建，部分指針被重建的數(shù)據(jù)所覆蓋，原文件的iNode和重建后的文件iNode所在的位置完全一致，也沒有其他可用于數(shù)據(jù)恢復(fù)iNode數(shù)據(jù)。北亞企安服務(wù)器數(shù)據(jù)恢復(fù)工程師根據(jù)實際數(shù)據(jù)情況編寫小程序收集有用的指針塊，收集到了大量二級指針塊和三級指針塊。
3、分析三級指針塊，發(fā)現(xiàn)這些指針塊都是無效的。繼續(xù)分析二級指針塊，對有大量的二級指針塊的指向數(shù)據(jù)進行DUMP，然后再從磁盤中的數(shù)據(jù)定位到二級指針。通過這種方式得到大量DUMP的數(shù)據(jù)。
4、服務(wù)器數(shù)據(jù)恢復(fù)工程師運用以前研究出來的NTFS和UFS2文件系統(tǒng)結(jié)構(gòu)定位到vmfs層，繼而定位到DUMP出的單個64GB文件，進行數(shù)據(jù)組合。
5、經(jīng)過復(fù)雜的查詢和重組操作，最終成功恢復(fù)出了3臺虛擬機及虛擬機內(nèi)的全部數(shù)據(jù)。
6、服務(wù)器數(shù)據(jù)恢復(fù)工程師將恢復(fù)出來的數(shù)據(jù)上傳到新構(gòu)建出來的系統(tǒng)中進行驗證。經(jīng)過用戶方管理員驗證，確認所有數(shù)據(jù)恢復(fù)成功。

審核編輯 黃宇