北亚数据恢复NTFS文件系统误操作导致raid5阵列中的分区被格式化的逆向操作服务器数据恢复方法

Posted 2022-02-18 宋国建

NTFS文件系统是目前使用比较广泛的文件系统格式，NTFS文件系统提供了数据的保护和恢复功能，拥有更强的安全性，基本上取代了FAT文件系统。越来越多的服务器采用这一文件系统。下面北亚数据恢复工程师分享一下NTFS文件系统下的服务器设备由于误操作导致阵列中的分区被格式化时逆向操作恢复服务器数据的方法。

1、备份数据。

为了避免对原始数据造成伤害，北亚数据恢复工程师拿到硬盘后会镜像所有原始数据。

2、分析分区大小。

在备份文件内查看数据的0-2扇区，弄清楚这台服务器的分区有多少个扇区，然后北亚数据恢复工程师按照RAID5的计算模式，用该扇区数除以服务器内实际硬盘（不包括校验盘在内）的数量，得到一个扇区数。然后直接跳转到该扇区，在这个扇区的附近可以查找到另一个GPT分区表，这样就可以查看分区的大小了。

例如：6块盘的raid5阵列，如果分区大小为1048309759扇区，计算时就应该用1048309759除以5等于209661951扇区。工作界面如下图所示(GPT分区表项底层表现，标记项前8个字节为分区起始扇区，之后8个字节为分区结束扇区，单位512字节/扇区，64bit)：

3、重组raid阵列。

由于raid5的安全级别相对较高，所以很多公司在自己的服务器上使用raid5磁盘阵列。在raid5阵列下，只要分析出raid成员盘的数量和raid走向就可以进行重组了。

本案例是NTFS文件系统下的数据恢复，因此只需要找到分区的文件记录项，然后北亚数据恢复工程师会根据NTFS文件系统中的MFT顺序找到raid5的条带大小和raid走向。下图为相似案例的截图。

北亚数据恢复工程师根据分析出来的RAID结构重组RAID，可能会遇到文件目录结构丢失的情况，文件目录丢失情况如下图所示：

小贴士：

对NTFS文件系统了解的朋友们都知道，在NTFS文件系统下重新格式化理论上是不会对数据造成太大影响，但也有可能出现部分文件目录结构丢失的情况。提醒用户不要过分依赖服务器数据恢复技术，虽然可以借助数据恢复技术对丢失的服务器数据进行恢复，但是随之伴随一定的风险和损失，平时一定要定期备份，尽可能的避免服务器数据丢失的情况发生。