误格式化NTFS文件系统分区的数据恢复案例

服务器数据恢复环境&故障：
误操作格式化服务器RAID5磁盘阵列下的分区（NTFS文件系统）。

北亚企安数据恢复——NTFS文件系统数据恢复

服务器数据恢复过程：
1、将故障服务器连接到北亚企安备份服务器上，将故障服务器的所有硬盘设置为脱机状态，然后以只读方式对故障服务器中所有磁盘做完整备份。后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始数据造成二次破坏。
2、基于镜像文件分析出故障服务器的分区大小和扇区数量。根据RAID5的计算模式，使用扇区数除以服务器中实际硬盘（不包括校验盘）的数量得到一个扇区数。
3、定位到磁盘备份文件的扇区，在这个扇区的附近查找到另一个GPT分区表，这样就可以查看分区大小。例如：一组6盘raid5阵列的分区大小为1048309759扇区，计算时就应该用1048309759除以5等于209661951扇区。如下图所示(GPT分区表，标记项前8个字节为分区起始扇区，之后8个字节为分区结束扇区，单位512字节/扇区，64bit)：
图1

4、基于镜像文件分析raid5相关信息，以备重组raid5。
5、恢复NTFS文件系统下的数据只需要找到分区的文件记录项，根据NTFS文件系统中的MFT顺序查看raid5的条带大小和raid走向。

北亚企安数据恢复——NTFS文件系统数据恢复

6、根据上面分析出来的RAID相关信息重组RAID，重组完成后发现有部分文件目录结构丢失，不过数据可以恢复出来，文件目录丢失的情况如下图：

北亚企安数据恢复——NTFS文件系统数据恢复

服务器数据恢复总结：
NTFS文件系统的分区被格式化对数据的影响并不是很大，数据保留的比较完整，恢复的几率较大，但可能会遇到部分文件目录结构丢失的情况。NTFS文件系统的分区被格式化后虽然可以对丢失的数据进行恢复，但是也有一定的风险。强烈建议对服务器和存储设备中数据加强备份，尽可能的避免由于误操作导致服务器数据丢失的情况发生。

审核编辑黄宇