服務器故障&分析：
VMware虛擬化，vmfs文件系統，共3塊磁盤。工作人員誤操作將VMware虛擬化重裝系統，服務器崩潰。
正常情況下，重裝系統會導致文件系統元文件被覆蓋。要恢復數據須找到重裝系統前的文件系統殘留信息并提取出來，根據提取出來的元文件信息來拼接&恢復虛擬磁盤，然后提取&恢復服務器數據。

服務器數據恢復過程：
1、將故障服務器中所有磁盤編號后取出，硬件工程師檢測后沒有發現有硬盤存在硬件故障，以只讀方式將所有磁盤做扇區級的鏡像。鏡像完成后將所有磁盤按照編號還原到原服務器中。后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。
基于鏡像文件分析底層數據，計算原始分區信息。
通過底層數據分析服務器上其他盤上的LVM信息，計算出被重裝系統的PV原始分區起始位置及大小等信息。

北亞企安數據恢復——VMware數據恢復

2、由于LVM信息被破壞，北亞企安數據恢復工程師根據各個元文件entry標志把重裝系統前文件系統內的所有殘留的元文件信息手動全部找到并提取出來，才能進行重組并解析文件系統。

北亞企安數據恢復——VMware數據恢復

北亞企安數據恢復——VMware數據恢復

3、提取pbc中所有類型為3的子塊。

北亞企安數據恢復——VMware數據恢復 北亞企安數據恢復——VMware數據恢復

4、掃描&解析fdc元文件中的有效節點，提取虛擬機。

北亞企安數據恢復——VMware數據恢復 北亞企安數據恢復——VMware數據恢復

5、提取pbc元文件中類型為1的指針塊，掃描指針并記錄位置，根據文件系統的連續性拼接虛擬機。

北亞企安數據恢復——VMware數據恢復 北亞企安數據恢復——VMware數據恢復

北亞企安數據恢復——VMware數據恢復

6、對拼接后的虛擬機進行文件系統驗證，確認無誤后掛載虛擬磁盤并重啟，即恢復虛擬機。
7、用戶方對恢復出來的服務器數據進行驗證后，確認恢復數據完整有效。本次數據恢復工作完成。

審核編輯 黃宇