Linux下重装系统后分区发生改变的数据恢复案例

服务器数据恢复环境：

MD1200磁盘柜+RAID卡创建的RAID5磁盘阵列，分配了一个LUN，LUN被划分为sdc1和sdc2两个分区。通过LVM扩容的方式，将sdc1分区加入到了root_lv中。sdc2分区被格式化为XFS文件系统。

服务器故障：

用户对服务器进行了重装系统的操作后，发现sdc磁盘分区改变，sdc2分区丢失，无法访问。

服务器数据恢复过程：

1、以只读方式对故障服务器上所有硬盘做镜像备份，后续的数据分析和数据恢复操作都基于镜像文件进行，避免误操作对原始数据造成二次破坏。

2、基于镜像文件分析故障服务器中raid5的盘序、条带大小等RAID相关信息。利用获取到的RAID相关信息虚拟重组raid。

3、定位到xfs文件系统的分区起始位置，校验xfs文件系统的完整性及正确性。

4、修复xfs文件系统的超级块结构。

修复完成的超级块：

北亚企安数据恢复——Linux数据恢复

5、修复xfs文件系统中丢失的节点及目录项。

修复完成的根节点：

北亚企安数据恢复——Linux数据恢复

重做的目录项：

北亚企安数据恢复——Linux数据恢复

6、修复完成后北亚企安数据恢复工程师编写程序解析xfs文件系统并提取其中的数据。

对丢失的sdc2分区的xfs文件系统进行检测后发现，xfs文件系统头部的超级块及部分节点、目录项丢失。根据超级块备份及文件系统中的目录树结构，北亚企安数据恢复工程师对超级块进行了修复还原，修补和重构丢失的节点、目录项后，xfs文件系统中的数据得以完整恢复。

修复完成的目录结构：

北亚企安数据恢复——Linux数据恢复

服务器数据恢复结论：

经过数据恢复工程师和用户亲自验证后，恢复出来的sdc2分区数据完整有效。之所以数据得以完整恢复，是因为数据丢失之后用户未做任何写入的破坏性操作。

审核编辑：汤梓红