服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
某公司一臺(tái)服務(wù)器中組建一組raid5磁盤陣列；
上層操作系統(tǒng)為linux redhat，部署OA系統(tǒng)，后端數(shù)據(jù)庫(kù)為oracle。

服務(wù)器故障&初檢：
raid5中有2塊磁盤先后掉線，服務(wù)器崩潰。oracle已經(jīng)不對(duì)該OA系統(tǒng)提供后續(xù)技術(shù)支持，用戶方要求恢復(fù)數(shù)據(jù)和操作系統(tǒng)。
經(jīng)過初步檢測(cè)，發(fā)現(xiàn)熱備盤沒有啟用，硬盤無(wú)明顯的物理故障和同步表現(xiàn)。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、將故障服務(wù)器中所有硬盤做好標(biāo)記，取出后掛載至只讀環(huán)境，對(duì)所有硬盤以只讀方式做完全鏡像備份，鏡像過程中發(fā)現(xiàn)有一塊磁盤（2號(hào)盤）有少量壞扇區(qū)，其他磁盤均沒有發(fā)現(xiàn)壞道。鏡像完成后將硬盤按照編號(hào)復(fù)原至原服務(wù)器，之后的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析RAID結(jié)構(gòu)，獲取到原RAID級(jí)別，條帶規(guī)則，條帶大小，校驗(yàn)方向，META區(qū)域等RAID相關(guān)信息。分析結(jié)構(gòu)：得到的最佳結(jié)構(gòu)為0,1,2,3盤序，缺3號(hào)盤，塊大小512扇區(qū)，backward parity(Adaptec)。
raid結(jié)構(gòu)：

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

3、檢測(cè)虛擬重構(gòu)的RAID結(jié)構(gòu)是否正確，經(jīng)過檢測(cè)發(fā)現(xiàn)200M以上的最新壓縮包解壓無(wú)報(bào)錯(cuò)，確定結(jié)構(gòu)正確。直接按此結(jié)構(gòu)生成虛擬RAID到一塊單硬盤上，打開文件系統(tǒng)無(wú)明顯報(bào)錯(cuò)。
4、確定備份包安全的前提下，經(jīng)用戶方同意后，北亞企安數(shù)據(jù)恢復(fù)工程師用全新硬盤更換損壞的2號(hào)盤，然后對(duì)原盤重建RAID。將恢復(fù)好的單盤用USB方式接入故障服務(wù)器，再用linux SystemRescueCd啟動(dòng)故障服務(wù)器，之后通過dd命令進(jìn)行全盤回寫。
5、完成回寫后啟動(dòng)操作系統(tǒng)，結(jié)果發(fā)現(xiàn)無(wú)法進(jìn)入系統(tǒng)并報(bào)錯(cuò)，報(bào)錯(cuò)信息為：“/etc/rc.d/rc.sysinit:Line 1:/sbin/pidof:Permission denied”。懷疑此文件權(quán)限有問題，用SystemRescueCd重啟后檢查發(fā)現(xiàn)此文件的時(shí)間，權(quán)限，大小均有明顯錯(cuò)誤，顯然是節(jié)點(diǎn)損壞。
6、重新分析&重組數(shù)據(jù)中的根分區(qū)，定位出錯(cuò)的/sbin/pidof，發(fā)現(xiàn)問題是由2號(hào)盤壞道導(dǎo)致的。
7、通過raid中的另外3塊盤對(duì)2號(hào)盤的損壞區(qū)域進(jìn)行xor補(bǔ)齊。補(bǔ)齊后重新校驗(yàn)文件系統(tǒng)，依然有錯(cuò)誤，再次檢查inode表，發(fā)現(xiàn)2號(hào)盤損壞區(qū)域有部分節(jié)點(diǎn)表現(xiàn)為下圖中的55 55 55部分。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

8、很明顯，雖然節(jié)點(diǎn)中描述的uid還正常存在，但屬性，大小和最初的分配塊全部都是錯(cuò)誤的。按照所有的可能進(jìn)行分析后，確實(shí)沒有任何辦法能找回此損壞節(jié)點(diǎn)。只能嘗試修復(fù)此節(jié)點(diǎn)或復(fù)制一個(gè)相同的文件過來(lái)。
9、北亞企安數(shù)據(jù)恢復(fù)工程師對(duì)所有可能有錯(cuò)誤的文件通過日志確定原節(jié)點(diǎn)塊的節(jié)點(diǎn)信息并做修正。
10、修正后重新dd根分區(qū)，執(zhí)行fsck -fn /dev/sda5進(jìn)行檢測(cè)，出現(xiàn)報(bào)錯(cuò)：

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

報(bào)錯(cuò)提示在系統(tǒng)中發(fā)現(xiàn)有多個(gè)節(jié)點(diǎn)共用同樣的數(shù)據(jù)塊。按此提示進(jìn)行底層分析，發(fā)現(xiàn)因3號(hào)盤早掉線，存在節(jié)點(diǎn)信息的新舊交集。
11、按節(jié)點(diǎn)所屬的文件進(jìn)行區(qū)別，清除錯(cuò)誤節(jié)點(diǎn)后再次執(zhí)行fsck -fn /dev/sda5進(jìn)行檢測(cè)，依然有極少量的報(bào)錯(cuò)信息。根據(jù)報(bào)錯(cuò)信息的提示，發(fā)現(xiàn)這些節(jié)點(diǎn)多位于doc目錄下，不影響系統(tǒng)的啟動(dòng)，于是直接執(zhí)行fsck -fy /dev/sda5強(qiáng)行修復(fù)。
12、修復(fù)完成后重啟系統(tǒng)，成功進(jìn)入系統(tǒng)桌面。啟動(dòng)數(shù)據(jù)庫(kù)服務(wù)，啟動(dòng)OA系統(tǒng)，一切正常，無(wú)報(bào)錯(cuò)。
13、由用戶方工程師親自驗(yàn)證，經(jīng)過反復(fù)驗(yàn)證，確認(rèn)恢復(fù)結(jié)果有效。至此，本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯黃宇