服务器数据恢复环境： 某品牌X系列服务器，4块SAS硬盘组建了一组RAID5阵列，还有1块磁盘作为热备盘使用。服务器上层安装的linux操作系统，操作系统上部署了一个基于oracle数据库的OA（oracle已经不再为该OA系统提供后续服务支持）。 服务器故障： raid5中一块磁盘离线，热备盘未自动激活rebuild（原因不明）。服务器在运行一段时间后，另一块磁盘离线，RAID5阵列崩溃。用户方要求尽可能恢复服务器操作系统和服务器中的数据。 将故障服务器中所有磁盘编号后取出，硬件工程师检测后没有发现有磁盘（包括离线的2块磁盘和热备盘）存在明显的物理故障。热备盘完全没有启用，无明显同步表现。...

服务器数据恢复环境： 一台服务器上搭建了一组由5块硬盘组建的raid5阵列，服务器上层存放单位重要数据，无备份文件。 服务器故障&分析： 服务器上raid5有一块硬盘掉线，外聘运维人员在没有了解服务器具体情况下，将服务器上raid5阵列中4块正常硬盘（除去掉线的那块磁盘）重建为一组新的raid5阵列，导致服务器中的原始数据全部丢失。 本案例中导致服务器数据丢失的原因就是在缺一块盘的情况下使用原raid5中其他成员盘新建raid5的操作。服务器上原阵列是raid5，根据raid5的特性，一块硬盘掉线不会影响服务器的使用和数据的完整性。但运维人员在不知情的情况下使用没有掉线的4块硬盘新建...

mysql数据库数据恢复环境： 本地服务器，windowsserver操作系统，部署有mysql单实例，数据库引擎类型为innodb，独立表空间，无数据库备份，未开启binlog。 mysql数据库故障： 工作人员使用Delete命令删除数据时未添加where子句进行筛选，导致全表数据被删除，删除后未对该表进行任何操作。 针对mysql数据库（innodb引擎）误删除表记录的数据恢复方案一般有以下3种： a、备份还原； b、binlog还原； c、记录深度解析。 前2种方案不适用本案例的故障情况，只能通过记录深度解析的方案恢复数据库中的数据。记录深度解析方案的原理：模拟innodb引擎记录管...

SQLServer数据库故障： 某公司服务器上的SQLServer数据库被加密，无法使用。被加密的数据库有2个，数据库的MDF、LDF、log文件名字被篡改。 数据库被加密截图： 数据库备份被加密，文件名字被篡改： SQLServer数据库数据恢复过程： 1、将故障数据库内的数据备份至北亚企安数据恢复中心的专用存储池中。后续的数据分析和数据恢复操作都基于备份文件进行，避免对原始数据造成二次破坏。 2、基于备份文件分析SQLServer数据库底层数据，发现数据库的头部已被破坏。 3、SQLServer数据库页大小8K，按8K大小切块向下查找，北亚企安数据恢复工程师经过分析，发现数据...

VSAN数据恢复环境： 4个节点服务器组建vsan集群。每个节点服务器上有2组分别由6块硬盘组建的raid阵列，上层是虚拟机文件。 VSAN故障情况： vsan集群某一个节点服务器上的一组raid阵列中的一块硬盘离线，安全机制启动，开始进行数据的重构及迁移。在数据迁移过程中机房断电导致数据迁移重构失败。服务器重启之后另一组磁盘阵列中有2块硬盘出现故障离线，导致整个vsan分布式存储不可用，上层所有虚拟机无法访问。 VSAN数据恢复过程： 1、将VSAN集群上所有节点上的硬盘编号后取出，经过硬件工程师检测没有发现有硬盘存在硬件故障。以只读方式将所有硬盘进行扇区级的全盘镜像，镜像完成后将所有磁...

服务器故障： 由于工作人员的误操作，将Ext4文件系统误装入到存储中Ocfs2文件系统数据卷上，导致原Ocfs2文件系统被格式化为Ext4文件系统。 由于Ext4文件系统每隔几百兆就会写入文件系统的原始信息，原Ocfs2文件系统数据会遭受一定程度的破坏，但破坏的应该不太多。 服务器数据恢复过程： 1、将存储以只读模式映射到北亚企安的备份服务器，将映射到备份服务器中的数据全部做镜像。做完镜像后将所有存储配置及链路还原至初始状态，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始数据造成二次破坏。 2、基于镜像文件分析底层数据，找到ocfs2文件系统的超级块。过分析超级块获取ocfs...

服务器数据恢复环境： 服务器使用磁盘柜+RAID卡搭建了一组riad5磁盘阵列。服务器上层分配了一个LUN，划分了两个分区：sdc1分区和sdc2分区。通过LVM扩容的方式，将sdc1分区加入到了root_lv中；sdc2分区格式化为XFS文件系统。服务器安装的Linux系统。 服务器故障： 服务器重装操作系统后sdc磁盘分区发生改变，原sdc2分区丢失，无法访问。 服务器数据恢复过程： 1、将故障服务器中所有磁盘编号后取出，经过硬件工程师的检测没有发现磁盘存在硬件故障。以只读方式将所有磁盘进行扇区级的全盘镜像。镜像完成后将所有磁盘按照编号还原到原服务器，后续的数据分析和数据恢复操作都基于...

服务器存储数据恢复环境： EMC某型号存储，8块组建一组raid5磁盘阵列。上层操作系统采用zfs文件系统。 服务器存储故障&分析： raid5阵列中有2块硬盘未知原因离线，raid5阵列崩溃，上层应用无法正常使用。 服务器数据恢复过程： 1、将故障服务器存储内的所有硬盘编号后取出，由硬件工程师检测所有磁盘是否存在硬件故障，经过检测没有发现有硬盘（包括两块掉线硬盘）存在物理故障。将所有磁盘以只读方式进行扇区级别的全盘镜像，镜像完成后将所有磁盘按照编号还原到原存储中。后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。 2、基于镜像文件分析底层数据，通过计...

vSAN故障： 一台存储采用了VSAN分布式存储架构，存储内共有24块硬盘存储数据。 这台vSAN存储设备关机重启。经过数据恢复工程师的检测，发现vSAN逻辑架构出现故障，上层虚拟机瘫痪，存储内的数据丢失。 vsan数据恢复过程： 1、将故障存储内所有磁盘编号后取出，经过硬件工程师检测后没有发现存在硬件故障。以只读方式将所有磁盘进行扇区级别的全盘镜像备份。备份完成后将所有磁盘按照编号还原到原存储中。后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。 2、基于镜像文件分析底层数据，经过分析北亚企安数据恢复工程师发现vSAN存储上层的虚拟机组件信息有部分被破坏，但是...

hbase+hive分布式存储数据恢复环境： 16台某品牌R730XD服务器节点，每台物理服务器节点上有数台虚拟机，虚拟机上配置的分布式，上层部署hbase数据库和hive数据仓库。 hbase+hive分布式存储故障&初检： 数据库文件被误删除，数据库无法使用。 通过现场对该分布式环境的初步检测，发现虚拟机还可以正常启动，虚拟机里面的数据库块文件丢失。好在块文件丢失之后没有对集群环境写入数据，底层数据损坏可能性比较小。   hbase+hive分布式存储数据恢复方案： 1、备份。 A、从物理服务器底层做备份，将设备断电、关机。将所有磁盘编号后从服务器/存储中取出。 B、从...

MongoDB数据库数据恢复环境： 一台WindowsServer操作系统的虚拟机，虚拟机上部署有MongoDB数据库。 MongoDB数据库故障&检测： 在未关闭MongoDB服务的情况下，工作人员将MongoDB数据库文件拷贝到其他分区，然后将原数据库文件所在分区进行了格式化的操作，格式化完成后将数据库文件拷回原分区，重新启动MongoDB服务，发现MongoDB服务无法启动并报错。 在MongoDB服务没有关闭的情况下，对MongoDB数据库文件进行拷贝的操作会导致mongod.lock文件以及WiredTiger.lock文件拷贝出现错误。这种情况下只需要在拷贝出来的文件...

SQLserver数据库数据恢复环境&故障： 一台服务器上的SQLserver数据库被勒索加密，无法正常使用。该服务器上部署有多个SQLserver数据库，其中有2个数据库及备份文件被加密，文件名被篡改，数据库无法使用。 SQLserver数据库数据恢复过程： 1、将故障服务器上所有磁盘编号后取出，经过硬件工程师检测没有发现有硬盘存在物理故障。将所有磁盘以只读方式进行扇区级的全盘镜像备份，备份完成后将所有磁盘按照编号还原到原服务器中，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。 2、在镜像文件中使用工具打开SQLserver数据库，经过检查发现...

服务器数据恢复环境： IBM某型号存储，6块sas硬盘组建一组raid5，划分一个lun分配给Linux服务器并格式化为OCFS2文件系统，共享给虚拟化使用，存放的数据包括24台liunx和windows虚拟机、压缩包文件和配置文件。 服务器故障： raid5阵列中成员盘坏了多块，阵列失效，数据丢失。  服务器数据恢复过程： 1、将故障服务器中所有磁盘编号后取出，由硬件工程师检测硬件故障情况，发现有4块盘存在坏道。将完好的磁盘以只读方式做扇区级别的镜像备份，针对有坏道的磁盘使用专门工具处理后做镜像。所有磁盘做完镜像后，按照编号将磁盘还原到原服务器中，后续的数据分析和数据恢复操作都...

NTFS是windows操作系统服务器应用最为广泛的文件系统之一。理论上，NTFS文件系统格式化操作虽然不会对数据造成太大的影响，但是有可能会出现部分文件目录结构丢失的情况。下面介绍一台服务器误操作导致raid5阵列上层的NTFS分区被格式化后如何逆向操作恢复服务器数据的案例。 服务器数据恢复过程： 1、将故障服务器所有硬盘编号后取出，由硬件工程师检测排除硬盘存在硬件故障的情况，以只读方式将所有磁盘做扇区级的镜像备份，备份完成后按照编号将所有磁盘还原到原服务器中，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。 2、基于镜像文件分析底层数据。通过查看数据的0-...

服务器数据恢复环境： 某品牌服务器中有一组16块SAS接口硬盘组建的raid5磁盘阵列。 服务器故障&检测： 服务器raid5阵列中有2块硬盘掉线，上层服务器应用崩溃，导致服务器数据丢失。丢失的数据主要是4个1.5TB大小的卷中的数据，文件类型为虚拟机文件。 将故障服务器中的16块磁盘编号后取出，由硬件工程师对这16块硬盘进行了物理故障检测，经过检测发现2块掉线的硬盘存在大量物理坏道，SMART的错误冗余级别已经超过阀值。其他14块硬盘没有发现有硬件故障。 服务器数据恢复过程： 1、由硬件工程师物理修复两块离线硬盘，修复完成后以只读方式将这2块盘做全盘镜像。以只读方式将其他正常硬盘...

服务器故障&分析： VMware虚拟化，vmfs文件系统，共3块磁盘。工作人员误操作将VMware虚拟化重装系统，服务器崩溃。 正常情况下，重装系统会导致文件系统元文件被覆盖。要恢复数据须找到重装系统前的文件系统残留信息并提取出来，根据提取出来的元文件信息来拼接&恢复虚拟磁盘，然后提取&恢复服务器数据。 服务器数据恢复过程： 1、将故障服务器中所有磁盘编号后取出，硬件工程师检测后没有发现有硬盘存在硬件故障，以只读方式将所有磁盘做扇区级的镜像。镜像完成后将所有磁盘按照编号还原到原服务器中。后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。 ...

服务器数据恢复环境&故障： 某品牌DL380服务器中有一组由三块SAS硬盘组建的RAID5阵列。数据库存放在D分区，数据库备份存放在E分区。 服务器上有一块硬盘的状态灯显示红色，D分区无法识别，E分区可识别，但是拷贝文件报错。管理员重启服务器，离线的硬盘上线，同步了一段时间但是还没有完成同步时候，管理员将服务器强制关机，之后就没有动过服务器。 服务器数据恢复过程： 1、将故障服务器中所有磁盘编号后取出，先由硬件工程师对磁盘进行硬件故障检测，经过检测发现三块磁盘都可以正常读取，没有发现存在硬件故障和坏道。以只读方式将3块磁盘做扇区级别的镜像备份，备份完成后将所有磁盘按照编号还原到原服务...

服务器数据恢复环境： 某单位一台服务器上有一组raid5阵列，该raid5阵列有15块成员盘。上层是一个xfs裸分区，起始位置是0扇区。 服务器故障&检测： 服务器raid5阵列中有硬盘性能表现不稳定，但是由于管理员长时间没有关注服务器的运行状态，没有及时发现这个问题，终于有磁盘出现故障掉线。raid5阵列上的热备盘替换掉线硬盘，在上线同步数据的过程中又有其他硬盘掉线，数据同步过程中断，raid5阵列崩溃，导致服务器数据丢失。 北亚企安数据恢复工程师将故障服务器中所有磁盘编号后取出，由硬件工程师对每块磁盘进行硬件故障检测，发现先离线的硬盘中存在大量的坏道，后掉线的硬盘中也存在少量坏道...

服务器故障&分析： 一台nas存储中有一组由十几块硬盘组建的raid6磁盘阵列。 nas存储中的raid6阵列成员盘出现故障离线，磁盘阵列崩溃，nas存储无法正常访问。 北亚企安数据恢复工程师将nas存储内的所有硬盘编号后取出，经过硬件工程师检测后，发现所有硬盘（包括离线的硬盘）都不存在物理故障。将所有磁盘以只读方式做全盘镜像，做完镜像后按照编号将所有磁盘还原到原nas存储中，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。 基于镜像文件进行底层数据检测，经过检测发现虽然该nas存储中的磁盘阵列失效，但thin-lvm结构及thin-lv尚未破坏，数据...

服务器故障&分析： 某公司一台服务器，共2块磁盘组建了一组raid0磁盘阵列。RAID0阵列中有1块硬盘出现故障离线，导致服务器崩溃。 通过和用户方的沟通，北亚企安数据恢复工程师初步判断：故障服务器中出现故障离线的硬盘在出厂时存在物理缺陷，经过长时间的运行后，这块硬盘非正常老化，加上外力磕碰等情况导致磁头损坏，硬盘掉线。 服务器采用的是raid0磁盘阵列，一块硬盘掉线就会导致服务器崩溃。要恢复服务器数据，物理修复掉线硬盘是关键。 服务器数据恢复过程： 1、经过与用户方的沟通，了解故障服务器的配置和故障情况后。用户方将故障服务器带到北亚企安数据恢复中心。 2、接到服务器后，将故障服务器...