服務器數據恢復環境：
一臺Windows Server服務器，部署Hyper-V虛擬化環境，虛擬機的硬盤文件和配置文件存放在一臺DELL存儲中。該存儲中有一組由4塊硬盤組建的RAID5陣列，用來存放虛擬機的數據文件，另外還有一塊大容量硬盤用來存放虛擬機數據文件的備份。

服務器故障&檢測分析：
存儲中虛擬機的數據文件丟失，Hyper-V服務癱瘓，虛擬機無法使用。
1、對存儲進行物理故障檢測，未發現存儲存在物理故障，存儲中所有硬盤均可以正常識別。
2、服務器操作系統工作正常，未發現有出錯進程。
3、丟失數據硬盤的文件系統打開正常，殺毒軟件檢測無病毒。經過分析發現丟失數據硬盤的文件系統元文件創建時間與數據丟失的時間吻合，這種情況表明文件系統被人為重寫了，即分區被格式化了。
4、檢查系統日志發現數據丟失之前和數據丟失當天的系統日志被清空，審核日志和服務日志卻還在。此操作一般是人為的。因為格式化分區操作只記錄在系統日志中，這與人為破壞的特征相符。
5、仔細分析硬盤底層數據，發現底層中需要恢復的系統日志已被新的日志記錄覆蓋，無法恢復。
6、分析操作系統中的所有分區，發現只有存儲中的兩個分區被重新寫入文件系統。因為格式化兩個分區需要兩個獨立的過程，進一步表明數據丟失是人為造成的。

服務器數據恢復方案：
根據前面的的故障分析結果，北亞企安數據恢復工程師敲定了數據恢復方案：
備份用戶數據→重組RAID5陣列→查找原文件索引項及對應的數據區→將掃描到的文件索引項碎片拼接成完整的目錄結構→根據拼接好的目錄項去底層恢復對應的數據→核對數據沒問題后恢復所有數據。

服務器數據恢復過程：
1、將故障存儲中所有的硬盤編號取出后檢測物理故障。經過檢測沒有發現有物理硬盤存在硬件故障。將每塊硬盤以只讀方式做全盤鏡像備份，備份完成后將磁盤按照編號還原到原存儲中。后續的數據分析和數據恢復都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。
備份所有硬盤數據：

北亞企安數據恢復——Hyper-V數據恢復

2、基于鏡像文件分析條帶大小、條帶走向等RAID相關信息。根據這些RAID相關信息重組RAID5陣列。
重組RAID：

北亞企安數據恢復——Hyper-V數據恢復

硬盤陣列：

北亞企安數據恢復——Hyper-V數據恢復

3、基于鏡像文件分析硬盤底層數據，發現了許多原文件系統的目錄項及文件索引殘留。經過核對發現這些文件索引指向的數據都是用戶丟失的文件內容。北亞企安數據恢復工程師編寫提取文件索引項的小程序掃描查找所有存在的文件索引項，提取所有找到的文件索引項。
4、分析掃描到的所有文件索引項，發現索引項都是不連續的，大多是以16K或8K對齊的。正常情況下，文件索引項是連續的且大小為固定的1K，每個文件索引項對應一個文件或目錄。而掃描出來的這些不連續且不完整的文件索引項是無法正常索引到文件的內容。經過北亞企安數據恢復工程師的處理后已經能查到大多數的文件索引項片段。缺失的文件索引項片段可能被破壞，可以從數據備份盤中查找缺失的文件索引項片段。
文件索引項截圖：

北亞企安數據恢復——Hyper-V數據恢復

5、根據文件索引項的編號將找到的所有的文件索引項拼接成一個完整的目錄項結構。
掃描到的文件索引項碎片:

北亞企安數據恢復——Hyper-V數據恢復

6、將拼接好的目錄結構替換現有文件系統中的目錄結構并修改部分校驗值，解釋這個目錄結構后就可以看到丟失的數據。
解釋出來的目錄結構：

北亞企安數據恢復——Hyper-V數據恢復

北亞企安數據恢復——Hyper-V數據恢復

7、為了驗證數據是否正確，將其中一個較新的VHD文件恢復出來，將其拷貝到一臺支持附加VHD的服務器上，嘗試附加此VHD，結果附加成功。經過檢查確認該VHD數據完整，然后將所有數據恢復到一塊硬盤中。
恢復出來的所有虛擬機數據文件：

北亞企安數據恢復——Hyper-V數據恢復

8、在一臺測試服務器上搭建Hyper-V的環境。通過導入虛擬機的方式將恢復的數據遷移到Hyper-V環境。然后交由用戶驗證所有虛擬機是否完整。
導入虛擬機：

北亞企安數據恢復——Hyper-V數據恢復

北亞企安數據恢復——Hyper-V數據恢復

9、用戶驗證完所有虛擬機沒有發現問題。將所有數據拷貝至用戶準備好的服務器中，將虛擬機導入到用戶準備好的Hyper-V環境中，導入后無報錯。嘗試啟動所有虛擬機都沒有問題。

北亞企安數據恢復——Hyper-V數據恢復

北亞企安數據恢復——Hyper-V數據恢復

北亞企安數據恢復——Hyper-V數據恢復

審核編輯 黃宇