-4006-505-646

华为存储数据丢失恢复案例


一、故障环境描述

客户设备为华为OceanStor S5600T存储,同时支持SAN和NAS存储协议。

客户发现存储上一个NAS卷中的数据丢失(卷大小为2T)之后客户关闭系统应用,因该数据没有备份,故向我司求助,尝试恢复数据。丢失数据主要类型为Microsoft office文件,PDF文档文件,图片文件(JPG、JPEG、PNG等),视频文件(MP4、AVI等),音频文件(MP3等)。

二、备份数据

1、准备好备份空间及备份服务器,将备份服务器连接至客户的存储环境中;

2、查看存储管理界面,找到2T卷所对应的存储LUN,经查看,改卷对应两个存储LUN;

3、将对应的存储LUN映射至备份服务器,使用winhex对LUN进行镜像备份。

三、数据恢复过程

1、分析存储LUN 的结构,解析两个LUN之间的对应关系;

图片1.png

图1  LUN1

图片2.png

图2   LUN2

2、分析2T的NAS卷在两个存储LUN中的分布情况,将2T卷虚拟重组出来;

3、分析2T卷的存储结构,获取文件系统类型、超级块、节点等结构;

4、分析该2T卷中的超级块、节点等结构,获取节点、目录项、数据区之间的索引关系;

图片3.png

图3   超级块

图片4.png

图4   节点

5、编写程序,解析目录项、节点,提取数据。

四、数据恢复结果

1、对2T卷的全部空间进行扫描,发现文件系统的目录项还在,但是节点已经全部丢失,查看文件系统的日志中也没有找到有效的节点

图为找到的部分目录项及其对应节点:

图片5.png

图5    目录项

图片6.png

图6   节点

2、尝试按类型直接恢复数据文件,然后根据目录在卷中的偏移位置,数据文件在卷中的偏移位置,及客户提供的对应文件类型、文件大小去匹配目录项和数据文件。

五、数据恢复结论

最终客户验证数据没有问题,本次数据恢复成功。


北京北亚数据恢复中心:4006-505-646

官方网址:www.frombyte.com

地址:北京市海淀区中关村创客小镇16号楼221

4006-505-646