Linux下重裝系統后分區發生改變的數據恢復案例

服務器數據恢復環境：

MD1200磁盤柜+RAID卡創建的RAID5磁盤陣列，分配了一個LUN，LUN被劃分為sdc1和sdc2兩個分區。通過LVM擴容的方式，將sdc1分區加入到了root_lv中。sdc2分區被格式化為XFS文件系統。

服務器故障：

用戶對服務器進行了重裝系統的操作后，發現sdc磁盤分區改變，sdc2分區丟失，無法訪問。

服務器數據恢復過程：

1、以只讀方式對故障服務器上所有硬盤做鏡像備份，后續的數據分析和數據恢復操作都基于鏡像文件進行，避免誤操作對原始數據造成二次破壞。

2、基于鏡像文件分析故障服務器中raid5的盤序、條帶大小等RAID相關信息。利用獲取到的RAID相關信息虛擬重組raid。

3、定位到xfs文件系統的分區起始位置，校驗xfs文件系統的完整性及正確性。

4、修復xfs文件系統的超級塊結構。

修復完成的超級塊：

北亞企安數據恢復——Linux數據恢復

5、修復xfs文件系統中丟失的節點及目錄項。

修復完成的根節點：

北亞企安數據恢復——Linux數據恢復

重做的目錄項：

北亞企安數據恢復——Linux數據恢復

6、修復完成后北亞企安數據恢復工程師編寫程序解析xfs文件系統并提取其中的數據。

對丟失的sdc2分區的xfs文件系統進行檢測后發現，xfs文件系統頭部的超級塊及部分節點、目錄項丟失。根據超級塊備份及文件系統中的目錄樹結構，北亞企安數據恢復工程師對超級塊進行了修復還原，修補和重構丟失的節點、目錄項后，xfs文件系統中的數據得以完整恢復。

修復完成的目錄結構：

北亞企安數據恢復——Linux數據恢復

服務器數據恢復結論：

經過數據恢復工程師和用戶親自驗證后，恢復出來的sdc2分區數據完整有效。之所以數據得以完整恢復，是因為數據丟失之后用戶未做任何寫入的破壞性操作。

審核編輯：湯梓紅