服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：

一臺掛載在Windows server操作系統(tǒng)服務(wù)器上的v7000存儲，劃分了一個(gè)分區(qū)，格式化為NTFS文件系統(tǒng)，該分區(qū)存放oracle數(shù)據(jù)庫。

服務(wù)器故障：

服務(wù)器在工作過程中由于未知原因宕機(jī)，工作人員重啟服務(wù)器。在服務(wù)器操作系統(tǒng)進(jìn)行磁盤掃描修復(fù)時(shí)，工作人員強(qiáng)制關(guān)機(jī)并斷開了存儲和服務(wù)器之間的連接，這個(gè)操作導(dǎo)致存儲文件系統(tǒng)損壞，報(bào)錯(cuò)：“文件或目錄損壞且無法讀取”。

服務(wù)器數(shù)據(jù)恢復(fù)過程：

1、將故障存儲中所有磁盤編號后取出以只讀方式進(jìn)行全盤鏡像備份，備份完成后將磁盤按編號還原到原存儲中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始磁盤數(shù)據(jù)造成二次破壞。

2、基于鏡像文件分析底層數(shù)據(jù)，經(jīng)過分析，北亞企安數(shù)據(jù)恢復(fù)工程師發(fā)現(xiàn)故障發(fā)生的原因是MFT表自身的文件記錄的80屬性DATARUNS在操作系統(tǒng)自檢時(shí)被截?cái)?。分區(qū)內(nèi)有多達(dá)幾千萬個(gè)數(shù)據(jù)文件，其中mft文件就有20多G，并且有大量的碎片存在。

北亞企安數(shù)據(jù)恢復(fù)——存儲數(shù)據(jù)恢復(fù)

3、使用v7000數(shù)據(jù)恢復(fù)軟件進(jìn)行掃描恢復(fù)，結(jié)果并不理想，掃描結(jié)果只有1/3且目錄結(jié)構(gòu)混亂，

4、在軟件恢復(fù)效果不理想的情況下，北亞企安數(shù)據(jù)恢復(fù)工程師只能采用手工分析&恢復(fù)數(shù)據(jù)的方案。

a、收集&分析所有mft表碎片信息。

b、根據(jù)mft表碎片信息改寫80屬性DATARUNS。

注：雖然這種方案工作量很大，但是效果比較理想，經(jīng)過一番努力，分區(qū)中原本幾個(gè)T的數(shù)據(jù)被完全恢復(fù)出來了，目錄結(jié)構(gòu)也完整。

5、用戶方經(jīng)過自己檢查和核對，確認(rèn)恢復(fù)數(shù)據(jù)完整有效。本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯：湯梓紅