服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
某公司一臺(tái)服務(wù)器，使用FreeNAS做iSCSI，借助另外兩臺(tái)服務(wù)器做虛擬化系統(tǒng)。此虛擬化系統(tǒng)安裝有5臺(tái)虛擬機(jī)，其中3臺(tái)虛擬機(jī)比較重要：一臺(tái)虛擬機(jī)部署了ASP.net、PHP，安裝了SqlServer和mysql數(shù)據(jù)庫(kù)；另一臺(tái)安裝的FreeBSD系統(tǒng)并部署了MySQL數(shù)據(jù)庫(kù)；一臺(tái)虛擬機(jī)存儲(chǔ)的是代碼和數(shù)據(jù)。
FreeNAS層采用的是UFS2文件系統(tǒng)；服務(wù)器建一個(gè)文件然后掛載到ESXi系統(tǒng)。

服務(wù)器故障：
服務(wù)器意外斷電后重啟，虛擬化系統(tǒng)無(wú)法連接服務(wù)器，UFS2文件系統(tǒng)出現(xiàn)問(wèn)題，管理員試圖修復(fù)文件系統(tǒng)，但是完成修復(fù)后ESXi系統(tǒng)無(wú)法識(shí)別原有的數(shù)據(jù)和文件系統(tǒng)。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
1、分析本案例的應(yīng)用構(gòu)架層次：FreeNAS(UFS2文件系統(tǒng)–> 一個(gè)大的稀疏模式的文件) –> ESXi(VMFS文件系統(tǒng)層) -> 單臺(tái)虛擬機(jī)的虛擬磁盤(pán) (windows-NTFS文件系統(tǒng)/FreeBSD-UFS2文件系統(tǒng))。
2、對(duì)FreeNAS做完整鏡像，基于鏡像文件分析整個(gè)存儲(chǔ)，在存儲(chǔ)中只發(fā)現(xiàn)一個(gè)文件名為iscsidatade的大文件。
3、根據(jù)UFS2文件系統(tǒng)的二進(jìn)制結(jié)構(gòu)定位到iscsidata文件的Inode數(shù)據(jù)，發(fā)現(xiàn)iscsidata文件被重建過(guò)，inode指針指向的數(shù)據(jù)量很少。
Tips：如果FreeNAS層問(wèn)題無(wú)法解決，就無(wú)法進(jìn)入到下一步的VMFS層分析。
UFS2文件系統(tǒng)相關(guān)信息：
塊大?。?6KB
Segment大?。?KB
柱面組大?。?88176 KB
UFS2文件系統(tǒng)的一個(gè)數(shù)據(jù)指針占用8字節(jié)，一個(gè)塊可存儲(chǔ)2048個(gè)數(shù)據(jù)指針，一個(gè)二級(jí)指針塊則可存儲(chǔ)2048*2048*16KB= 64GB的數(shù)據(jù)。一個(gè)三級(jí)指針塊則可存儲(chǔ)64GB*2048=128TB的數(shù)據(jù)。如果能找到iscsidata文件的三級(jí)指針塊就能解決FreeNAS層問(wèn)題。但iscsidata文件被重建過(guò)，估計(jì)有部分指針塊已被覆蓋。
原iscsidata文件的inode和新建的iscsidata文件的inode就在同一個(gè)位置，嘗試搜索沒(méi)有發(fā)現(xiàn)其它有用的inode。北亞企安數(shù)據(jù)恢復(fù)工程師只能編寫(xiě)程序來(lái)收集有用的指針塊：

北亞企安數(shù)據(jù)恢復(fù)——ESXi數(shù)據(jù)恢復(fù)

4、由于該iscsidata文件采用的是稀疏模式，放寬收集條件后收集到了大量的三級(jí)指針塊和二級(jí)指針塊。經(jīng)過(guò)分析后發(fā)現(xiàn)這些收集到的三級(jí)指針塊都是無(wú)效的，沒(méi)有發(fā)現(xiàn)iscsidata文件使用的三級(jí)指針塊，估計(jì)在新建iscsidata文件時(shí)被覆蓋（新的iscsidata文件掛載到ESXi后有個(gè)VMFS格式化過(guò)程，而 該ESXi版本使用的是GPT分區(qū)，GPT分區(qū)會(huì)在磁盤(pán)最后寫(xiě)入冗余的GPT頭和分區(qū)表信息數(shù)據(jù)，會(huì)使用iscsidata文件的三級(jí)指針塊）。
5、分析收集到的二級(jí)指針塊，對(duì)有大量二級(jí)指針塊的指向數(shù)據(jù)進(jìn)行DUMP，再?gòu)拇疟P(pán)中的數(shù)據(jù)定位到二級(jí)指針，通過(guò)這種方式得到大量DUMP的數(shù)據(jù)。
6、VMFS被重新格式化過(guò)，原UFS2文件系統(tǒng)的指針已丟失，所以VMFS元文件不可用。只能通過(guò)單臺(tái)虛擬機(jī)層(windows(NTFS)和FreeBSD(UFS2)系統(tǒng)的文件系統(tǒng)結(jié)構(gòu))向上定位到VMFS層，再通過(guò)VMFS層定位到DUMP出的單個(gè)64GB文件。通過(guò)多次組合，最終將三臺(tái)重要虛擬機(jī)的虛擬磁盤(pán)完全恢復(fù)。將恢復(fù)出的網(wǎng)頁(yè)數(shù)據(jù)和數(shù)據(jù)庫(kù)數(shù)據(jù)上傳到準(zhǔn)備好的環(huán)境中，起應(yīng)用后沒(méi)有發(fā)現(xiàn)問(wèn)題。

北亞企安數(shù)據(jù)恢復(fù)——ESXi數(shù)據(jù)恢復(fù)

審核編輯黃宇