beiya123的博客

2、北亚企安数据恢复工程师编写程序扫描镜像数据所有组件信息，获取到每个组件信息中记录的组件ID和该组件所隶属的对象ID等信息。根据组件中的runlist追溯到每一数据块在所隶属的组件内的逻辑位置，然后借助北亚企安自主研发的工具重组和提取完整的组件。3、取到所有组件信息后，服务器数据恢复工程师根据描述信息中记录的每个组件在服务器内的逻辑位置并进行组合，拼接出一个完整的vmdk文件。4、整体分析扫描到的所有数据，将服务器内所有vmdk文件的快照和父盘进行合并后再次解析，提取其中的数据备份文件。

提取ZVOL卷头部信息，按照XenStore卷存储结构进行分析，发现该vhd在整个卷的尾部，计算得到其起始位置后从此位置开始提取数据。2、基于镜像文件分析所有磁盘的底层数据，北亚企安数据恢复工程师发现所有磁盘是通过ZFS进行管理，磁盘内记录系统元信息的NVLIST较为混乱。6、经过分析，数据恢复工程师发现在此存储中的ZFS版本与开源版本有较大差别，无法使用以前开发的解析程序解析，所以北亚企安数据恢复工程师重新编写了数据提取程序提取数据。ZPOOL的子设备可以有很多种类：块设备、文件、磁盘等。

存储故障：管理员对一台存储设备内的文件进行迁移操作时，数据突然无法读取，管理界面出现报错。管理员查看数据时发现其中一个lun的数据丢失。

Netapp的节点分布在数量众多的数据块内，在数据块内的节点又被统一组织为节点组。b、筛选出最新的数据库备份文件，使用筛选出的备份文件还原数据库。经过一一尝试，筛选出最新的可用的数据库备份，还原数据库环境。8、分析好存储结构之后，使用北亚企安自主开发的NetApp解析程序提取数据， 解析asm文件系统，提取出数据库文件。d、根据索引根内的第一级数据指针提取本文件的所有直接数据指针，在指针提取完毕后开始提取文件数据。7、获取目录项，并根据其节点编号，找到对应节点。b、扫描硬盘内的所有节点。

检查到坏道停止时，记录进度数值，如22%，若硬盘容量2GB，坏道起始位置约在440MB处（2GB * 22%）。相比较物理坏道来说，逻辑坏道的修复非常简单，借助Windows系统的磁盘扫描工具，在资源管理器中选中盘符后单击鼠标右键，在弹出的驱动器属性对话框中依次选择“工具”——“开始检查”。坏道分散时，程序产生多个分散可用分区，但主分区仅4个，程序自动选最大4个设为可用，其余隐藏。5、磁盘自动扫描：每次系统开机时，都会自动运行Scandisk扫描磁盘错误，这不仅增加了开机时间，也反映出硬盘存在潜在问题。

1、将故障服务器存储上的所有硬盘做好标记后取出，硬件工程师对所有硬盘进行检测。所有硬盘镜像完成后，将所有硬盘根据标记按照原样还原到原存储中。2、基于镜像文件分析存储使用的的RAID6算法，按照算法对12块硬盘做共66【C(12，2)】种可能的缺2盘的情况组合。故障服务器内有3块硬盘先后出现故障时，管理员将先离线的硬盘进行了上线操作，所有数据进行了同步，无法正常读取数据。3、通过北亚企安自主开发的软件虚拟重组RAID6阵列，按照分析出的缺盘状态、盘序、块大小、校验方向、RAID6算法构建进行附加。

1、以只读方式将所有正常的硬盘镜像，镜像过程中观察硬盘状态。对于2块存在物理故障的硬盘，先由硬件工程师处理后再做镜像。所有硬盘镜像完成后根据编号将所有硬盘按照原样还原到原存储设备中。在热备盘同步数据的过程中，raid5阵列又有一块硬盘由于未知原因掉线，raid同步过程中断。2、基于镜像文件，北亚企安数据恢复工程师分析所有硬盘的底层数据。获取到原raid阵列的raid结构、块大小、校验信息等重组raid所必需的信息。硬件工程师对故障存储进行检测，发现热备盘同步失败，且阵列中有两块硬盘存在物理故障。

StorNext文件系统中包含2个Data卷，每一个完整的Data卷都是由多组RAID中的LUN组成的。2、服务器数据恢复工程师对镜像后的数据进行分析，获取原raid5阵列内的raid信息，根据这些信息虚拟重组raid阵列。6、分析Meta卷中的节点信息和目录项信息，Meta卷和Data卷之间的对应关系进行，针对一个Meta卷管理多个Data卷的情况，研究得到Meta卷到Data卷的索引算法。3、在分析数据的过程中发现后离线的硬盘存在有大量的坏道，虽然镜像了数据，但坏道仍然对恢复结果产生一定的影响。

硬件工程师对故障raid5阵列中的27块硬盘进行硬件故障检测，发现其中2块硬盘存在坏道，SMART错误冗余级别已经超过阈值。以只读方式对其中的25块完好的硬盘进行全盘镜像，对2块存在坏道的硬盘进行处理并生成镜像文件。分析收集到的日志信息，获取两块硬盘的掉线时间，使用数据较新的硬盘恢复数据。某单位的一台某品牌存储设备，该系统由1个机头+4个扩展柜组成，一共有50块硬盘组建了两组RAID5阵列。3、同步完成后发现上层的卷直接可以使用，所有数据都可见，上层应用也能正常使用。服务器不可用，已经过保。

1、将故障存储中所有硬盘做好标记后取出，以只读方式进行全盘镜像（包括2块故障硬盘），在镜像过程中观察硬盘状态。5、将卷里的文件拷贝出来，通过网络共享的方式验证恢复出来的虚拟机，虚拟机都可以正常启动。硬件工程师对16块硬盘做硬件故障检测，经过检测发现raid5阵列中2块硬盘存在坏道、SMART的错误冗余级别已经超过阈值。通过对日志信息的分析搞清楚两块硬盘的掉线时间，使用数据较新的硬盘来恢复数据。2、基于镜像文件分析所有硬盘的底层数据，获取重组raid所需的raid相关信息。利用这些信息虚拟重组RAID。

将所有镜像文件全部发开，根据对ext3文件系统的逆向以及日志文件的分析，获取到16块FC盘在存储中的盘序，RAID的块大小，RAID的校验走向和方式等信息。对该硬盘进行坏道镜像操作，在镜像过程中同时观察镜像的速度和稳定性，发现该盘的坏道并不多，但是存在大量的读取响应时间长的不稳定扇区。对备份的控制文件进行查看修改，取得其中的重建控制文件命令。3、虽然镜像速度很慢的那块盘镜像完成，但是拷贝策略导致现在的镜像是不完整的，调整拷贝策略，继续镜像被跳过的扇区，直到该盘所有扇区全部镜像完毕。全库备份完成，没有报错。

要恢复服务器内的数据，需分析掉线的硬盘。通过对比5盘raid阵列和4盘raid5阵列的差异，利用掉线硬盘里的数据对每一块硬盘中被破坏的原始数据进行补缺，然后重组raid；按照服务器内的5盘raid5阵列结构虚拟重组raid5阵列，生成一组重组后的镜像文件。条带换校验次数也为16。服务器一块硬盘掉线，运维人员在没有完全了解服务器的具体情况下，使用服务器上的另外4块正常硬盘重建了一组新的raid5阵列，导致服务器原有数据丢失。4、提取掉线硬盘内的数据，补全虚拟重组的raid5阵列数据，修正文件系统错误。

由于EMC存储的控制器针对磁盘的检查策略比较严格，一旦检测到某些磁盘性能不稳定，EMC存储上的控制器就很大可能性将这些磁盘识别为坏盘，并踢出RAID。本案例中基于RAID的LUN只有一个，分配给SUN小机使用，上层文件系统为ZFS。分析其他10块硬盘，分析数据在硬盘中分布的规律、RAID条带的大小、盘序等重组raid所需的raid相关信息。分析每一块硬盘中的数据，发现有一块硬盘在同一个条带上的数据和其他硬盘明显不一样，因此初步判断此硬盘是先掉线的，通过RAID校验程序校验这个条带，确定先掉线的硬盘。

1、将存储中的所有硬盘标记后取出，对所有硬盘进行物理故障检测后未发现有硬盘存在坏道等其他故障。经过解析发现部分文件系统的元文件被破坏，北亚企安数据恢复工程师手动修复这些被破坏的文件，直至zfs文件系统能被正常解析。2、基于镜像文件分析所有硬盘的底层数据，获取重组raid需要的所有信息，在分析过程中发现该存储原始阵列中的两块热备盘均未写入任何数据。5、解析&导出存储中的文件节点、目录结构，数据恢复工程师验证导出的数据，未发现异常。3、重组完成后分析LUN在RAID中的分配信息，以及LUN分配的数据块MAP。

1、将所有节点服务器上的编号后取出硬盘以只读模式进行镜像，备份完成后将所有硬盘按照原样还原到原服务器上。2、基于镜像文件分析所有磁盘的底层数据，分析虚拟机所在磁盘位置的数据分布情况。针对vsan架构下的虚拟化数据恢复，北亚企安数据恢复工程师开发了一个程序对分析出来的数据进行准确性验证。再次分析每个节点服务器上的两个磁盘组，搞清楚每个磁盘组内部的硬盘对应关系。每块硬盘都有一个唯一标识进行磁盘间的对应，根据硬盘的ID信息读取磁盘组中硬盘ID信息。4、根据每个磁盘组中的容量盘的组件信息获取此容量盘的组件信息。

在一台采用VsSAN分布式文件系统的存储设备因未知原因重启后，管理员发现虚拟机不可用且数据丢失。数据恢复过程包括：首先，断电并取出硬盘进行扇区级镜像备份，确保原始数据不受二次破坏。接着，基于镜像文件分析底层数据，确认虚拟机组件信息虽受损但关键信息完整。随后，编写专用工具扫描并重组数据碎片，提取组件及对象ID，追溯并提取所有数据碎片。重组这些碎片生成完整的vmdk文件，并进一步分析合并快照父盘，提取可用数据。最后，搭建验证环境，用户方确认所有数据成功恢复。整个恢复过程严谨，确保了数据的完整性和可用性。

镜像完成后将所有磁盘按照编号还原到原服务器中，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。7、数据恢复工程师对提取出来的文件进行验证，经过验证所有文件正常。raid块排列顺序等。3、在重组出的raid上定位分区起始位置，提取出整个xfs文件系统的数据。并对提取出的数据进行完整性和准确性的验证。管理员将服务器的操作系统重装后，发现服务器上的分区发生了改变：一个分区消失，其他分区不可访问。6、修复完成后，北亚企安数据恢复工程师编写程序解析xfs文件系统，提取其中的数据。

1、将故障存储上的16块硬盘做好标记后取出。硬件工程师对所有硬盘做硬件故障检测，发现其中2块硬盘存在坏道，SMART的错误冗余级别已经超过阙值。所有硬盘镜像完成后根据标记按照原样还原到原存储中，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。分析收集到的日志信息，找到两块硬盘的掉线时间，用数据较新的硬盘恢复数据。北亚企安数据恢复工程师编写程序，根据位图信息从重组出来的RAID中将4个lun的数据全部提取出来。4、分析底层结构，将4个VMFS进行跨区卷组合，并导出数据。

NAS数据恢复环境：QNAP TS-532X NAS设备中有两块1T的SSD固态硬盘和3块5T的机械硬盘。三块机械硬盘组建了一组RAID5阵列，两块固态硬盘组建RAID1阵列。划分了一个存储池，并通过精简LVM划分了7个lv。NAS故障：硬盘故障导致无法正常进入系统，7个lv分区丢失。

重组RAID后发现数据不是最新的。假设某个磁盘是掉线的，踢掉磁盘后重组RAID，但不是生成全部的数据，而是只生成前面几G的数据，然后查看这个索引表的位图的信息是否正确，就可以判断此RAID是否正确。其中会有两块磁盘前面的一部分数据相同，旧的硬盘数据量没有新的硬盘多。这样的磁盘有3对，通过这个思路排除旧的磁盘，即可以排除所有旧的磁盘。一台服务器上共有10块硬盘，其中的7块硬盘组建了一组raid5磁盘阵列，另外3块硬盘是没有拔掉的掉线磁盘。7、如果RAID正确，生成此RAID的数据即可完成RAID的重组。

准备一台用来恢复数据的服务器，以只读方式挂载故障服务器上的硬盘，进行扇区级别的完整备份。北亚企安数据恢复工程师到现场进行检测，发现虚拟机可以正常启动，虚拟机上的数据库块文件丢失。5、校验提取出的Block文件的完整性及正确性，然后将提取出来的Block文件导入到hbase和hive数据库中。4、根据Block文件的key信息提取文件片段。拼接Block文件的片段并校验拼接后的Block文件的正确性。2、分析每个虚拟机磁盘的块文件、文件底层的聚合方式、每个磁盘中数据的分布情况、Block文件key。

在恢复数据的过程中，通过对镜像数据进行逐块扫描与逻辑重组，力求还原出丢失的数据节点信息。2、虽然成功恢复部分用户数据，但受逻辑卷底层数据损坏的限制，部分数据存在缺失和逻辑紊乱的情况。1、根目录丢失：由于数据复写，导致根目录被修改，存在交叉的目录索引表及重复的节点结构，无法根据目录结构解析出需要的数据节点。3、北亚企安数据恢复工程师编写脚本程序，遍历每个LUN的底层数据，生成逻辑卷的映射关系表，并梳理卷组信息。4、通过逻辑卷映射关系表，结合用户方提供的逻辑卷名称，重构丢失的两个逻辑卷。

恢复工作完成后，经过检测，所有虚拟机都可以全部启动，虚拟机中部署的业务应用也能成功启动。根据用户方提供的文件信息列表编写脚本，读取数据库并重构文件的目录树，优先恢复着急的虚拟机。针对目录树完整的文件，重构完整目录树。北亚企安数据恢复工程师编写程序扫描lun，读取ocfs2文件系统的节点，目录信息，并把扫描到的所有信息插入数据库。2、北亚企安数据恢复工程师根据研究出来的该型号存储的算法和文件系统底层结构分析故障存储中raid5阵列的结构。B、根据文件系统的结构，北亚企安数据恢复工程师编写相应的程序提取数据。

虚拟化数据恢复环境&故障：vmfs文件系统，存储的数据是SqlServer数据库及其他办公文件。工作人员误将快照还原，导致了SqlServer数据库数据的丢失，需要恢复原来的SqlServer数据库文件。

服务器数据恢复环境&故障：一台zfs文件系统的服务器，管理员误操作删除了服务器上的数据。

EMC Unity 400存储连接了2台硬盘柜。2台硬盘柜上一共有21块硬盘（520字节）。21块盘组建了2组RAID6：一组有11块硬盘，一组有10块硬盘。在存储运行过程中，管理员误操作删除了 2组POOL上的部分数据卷。

一台服务器上的8块硬盘组建了一组raid5磁盘阵列。上层安装windows server操作系统，部署了oracle数据库。raid5阵列中有2块硬盘的硬盘指示灯显示异常报警。服务器操作系统无法启动，ORACLE数据库也无法启动。

一块硬盘上存放的SqlServer数据库，windows server操作系统+NTFS文件系统。由于误操作导致分区损坏，需要恢复硬盘里的SqlServer数据库数据。

异常断电导致vSAN存储上层虚拟机无法启动。

4、通过分析thin-lvm结构获取&解读lvm配置信息。根据获取到的lvm相关信息重组lvm结构，获取和thin-pool相关的meta-lv和data-lv并校验相关性。经过校验，发现获取到的meta-lv和data-lv完整且正确。5、通过分析meta-lv获取&解读meta-lv中的原信息，从而获取到完整的thin-lv信息。6、获取到所有thin-lv信息后校检文件系统的完整性和正确性，经过校验没有发现问题。3、通过底层数据的分析获取到重组磁盘阵列的必需信息，根据这些信息重组raid6磁盘阵列。

Netapp数据恢复数据恢复环境&故障：一台Netapp存储中有72块SAS硬盘，管理员误操作删除了12个lun。

华为OceanStor T系列某型号存储中有一组由24块机械硬盘组建的一组RAID5阵列。运行过程中该存储设备RAID5阵列上多块硬盘出现故障离线，阵列失效，存储中数据无法访问。

4、虽然存储系统在格式化后，大部分节点和目录块信息保留完整，但是仍然有少量的节点和目录块被系统重置，导致部分文件或目录信息丢失。目录信息的丢失造成部分文件的目录结构断开，无法重构完整的目录树和提取文件。进一步分析节点和目录块的信息，重构修复部分断开的目录树。根据提供的一些目录信息编写脚本，读取数据库并重构完整目录树，针对目录进行子文件或子目录的完整提取恢复。提取数据库中剩余未提取的全部文件。根据用户方提供的文件列表，北亚企安数据恢复工程师编写脚本，读取数据库并重构文件的目录树，批量提取恢复列表中的文件。

5台节点服务器，每台节点服务器上有一组RAID5阵列。每组RAID5阵列上有6块硬盘（其中1块硬盘设置为热备盘，其他5块硬盘为数据盘）。上层系统环境为Lustre分布式文件系统。机房天花板漏水导致这5台节点服务器进水，每台服务器都有至少2块硬盘出现故障。每台服务器中的RAID5阵列短时间内同时掉线2块或以上数量的硬盘，导致RAID崩溃，服务器中数据无法正常读取。

NetApp数据恢复环境：NetApp某型号存储阵列，包含2个机头+1个扩展柜，72块SAS接口的520字节硬盘组建了3组raid。NetApp故障：工作人员误操作删除11个lun。

服务器存储数据恢复环境：一台V7000存储上共12块SAS机械硬盘（其中1块是热备盘），组建了2组Mdisk，创建了一个pool。挂载在小型机上作为逻辑盘使用，小型机上安装的AIX+Sybase。服务器存储故障：V7000存储中磁盘出现故障，管理员发现问题后立即更换磁盘。新更换的硬盘在上线同步数据的时候，存储上另一块磁盘也出现问题，导致逻辑盘无法挂接在小型机上，业务暂时中断。V7000存储的管理界面上显示两块硬盘故障脱机。pool无法加载，其中三个通用卷均无法挂载。

服务器存储数据恢复环境：ZFS Storage 7320存储阵列中有32块硬盘。32块硬盘分为4组，每组8块硬盘，共组建了3组RAIDZ，每组raid都配置了热备盘。服务器存储故障：服务器存储运行过程中突然崩溃，排除人为误操作、断电、进水和其他机房不稳定因素。管理员重启服务器存储，系统无法进入，需要恢复服务器存储中的数据。

硬盘故障：硬盘电路板损坏。硬盘电路板损坏的典型表现：1、硬盘加电无任何反应。2、硬盘电路芯片等模块损坏或缺失。

硬盘故障：硬盘存在物理坏道。硬盘存在物理坏道的典型表现：1、若硬盘为系统盘，故障表现通常为：操作系统异常缓慢、蓝屏，重启系统后引导失败并报告硬盘读取出错、系统自动反复重启。2、若硬盘为移动硬盘，故障表现通常为：电脑无法加载盘符、提示硬盘需要格式化、频繁提示需要运行chkdsk来检查和修复磁盘、数据读取缓慢、死机。

ESX SERVER常见故障：1、因光纤存储设备接入了非ESX系统，共享未互斥，对存储进行了改写(重装系统，WINDOWS初始化，格式化等)，导致存储结构损坏。2、升级或者变更卷时分区表或VMFS卷结构异常。3、误删除VMFS存储中的VMDK。4、VMFS格式化。