NetApp FAS2240-4存储删除文件数据恢复案例介绍

故障情况简介：

需要进行数据恢复的设备是一台NetApp存储，共有24块磁盘组成。由于管理员删除文件夹，且时间比较久，删除有几个月时间。

可恢复性判断：

由于NetApp中的文件系统的特性，WAFL是“Write Anywhere File Layout”， 即“任意位置写入文件布局”的特性，所以覆盖之前的数据的可能性不大，可以进行尝试性数据恢复。

数据恢复步骤：

1，分析NetApp的数据结构，由于不同型号的WAFL文件系统版本各有不同且差距较大，所以需要根据节点的结构进行判断，比如数据块节点指针，或为8字节，或为12字节。经过人工的分析断定此次案例中的版本为WAFL7.3.4，数据块指针为8字节。

2，经过观察，该文件系统使用的blocksize为8+1扇区，其中前4个扇区为数据块，后一扇区为block标志，有的版本中，采用的将最后一个扇区内容压缩至数据扇区的最后一个扇区的最后，以节约磁盘容量。

                                                         块校验扇区

3，重要的是分析目录结构，这里面存放了文件夹，文件，以及文件系统本身的元信息。该结构存放了文件的节点，该节点唯一，父文件夹的节点，且与数据节点中的信息一致。

目录

4，分析完成这些重要的结构之后，就是进行全盘的扫描了，将我们需要的节点信息以及目录信息全部扫描出来，存放进数据库。

5，根据用户的需要，将需要的文件或文件夹的在数据库里面查找，建立我们需要的目录树，了解算法之后，根据需求编写相应的程序，提供根目录之后，后续基本就是靠程序跑出来了。

北京北亚数据恢复中心：4006-505-646