服務器數(shù)據(jù)恢復環(huán)境：

一臺掛載在Windows server操作系統(tǒng)服務器上的v7000存儲，劃分了一個分區(qū)，格式化為NTFS文件系統(tǒng)，該分區(qū)存放oracle數(shù)據(jù)庫。

服務器故障：

服務器在工作過程中由于未知原因宕機，工作人員重啟服務器。在服務器操作系統(tǒng)進行磁盤掃描修復時，工作人員強制關機并斷開了存儲和服務器之間的連接，這個操作導致存儲文件系統(tǒng)損壞，報錯：“文件或目錄損壞且無法讀取”。

服務器數(shù)據(jù)恢復過程：

1、將故障存儲中所有磁盤編號后取出以只讀方式進行全盤鏡像備份，備份完成后將磁盤按編號還原到原存儲中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。

2、基于鏡像文件分析底層數(shù)據(jù)，經過分析，北亞企安數(shù)據(jù)恢復工程師發(fā)現(xiàn)故障發(fā)生的原因是MFT表自身的文件記錄的80屬性DATARUNS在操作系統(tǒng)自檢時被截斷。分區(qū)內有多達幾千萬個數(shù)據(jù)文件，其中mft文件就有20多G，并且有大量的碎片存在。

北亞企安數(shù)據(jù)恢復——存儲數(shù)據(jù)恢復

3、使用v7000數(shù)據(jù)恢復軟件進行掃描恢復，結果并不理想，掃描結果只有1/3且目錄結構混亂，

4、在軟件恢復效果不理想的情況下，北亞企安數(shù)據(jù)恢復工程師只能采用手工分析&恢復數(shù)據(jù)的方案。

a、收集&分析所有mft表碎片信息。

b、根據(jù)mft表碎片信息改寫80屬性DATARUNS。

注：雖然這種方案工作量很大，但是效果比較理想，經過一番努力，分區(qū)中原本幾個T的數(shù)據(jù)被完全恢復出來了，目錄結構也完整。

5、用戶方經過自己檢查和核對，確認恢復數(shù)據(jù)完整有效。本次數(shù)據(jù)恢復工作完成。

審核編輯：湯梓紅