服务器数据恢复—异常关机导致Linux服务器目录项被破坏数据恢复案例

服务器数据恢复环境：
某品牌PowerEdge R730服务器+PowerVault MD3200存储，划分若干lun，操作系统版本是centos7，EXT4文件系统。

服务器故障&分析：
服务器在运行过程中自动关机且无法启动，服务器管理员对服务器进行修复后成功启动服务器，但服务器上原来的某个分区无法挂载。管理员将无法挂载的分区进行fsck修复&挂载，查看这个分区的数据发现部分文件丢失。
北亚企安数据恢复工程师到达机房后将故障服务器以只读模式映射到备份服务器上，将故障服务器数据完整镜像到备份服务器上。后续的数据分析和数据恢复操作都在备份服务器镜像文件上进行，避免对原服务器数据造成二次破坏。
基于镜像文件对故障服务器底层数据进行分析后，服务器数据恢复工程师初步判断是机房供电电压不稳导致服务器非正常关机，服务器出现故障。
通过分析底层数据，服务器数据恢复工程师发现电压不稳引起的非正常关机导致目录项被破坏，好在底层数据仍然存在，数据恢复工程师手工修复即可恢复数据。但是服务器管理员对文件系统进行了fsck修复，损坏的目录项在修复失败后以目录节点号命名并被存放在lost+found目录内，这些目录项所对应的数据区索引也被清除，所以管理员查看分区数据时发现部分文件丢失。

服务器数据恢复过程：
1、故障服务器使用的是EXT4文件系统，EXT4文件系统的特征是文件丢失后其节点信息也会被清除，所以无法根据节点信息恢复数据。
2、因为lost+found目录下的文件是以该文件的目录项节点号命名，可以将丢失文件的目录项节点号来匹配lost+found目录下的文件名称这种方案来恢复数据。北亚企安数据恢复工程师编写程序提取目录项节点号，将提取出来的目录节点号与lost+found目录下的文件名进行一一对应，通过这种方式来恢复服务器原始目录结构。
3、根据上述数据恢复方案，服务器数据恢复工程师基于镜像文件对底层数据进行分析&使用工具扫描底层空间目录项区域，统计和记录目录项节点号、数量等信息。根据故障服务器磁盘中的文件系统信息将统计到的目录项和节点号进行整合匹配，然后和lost+found目录下的文件记录号进行匹配，恢复服务器内丢失的数据。
4、经过一番努力，服务器数据恢复工程师终于将所有丢失文件恢复出来。经过用户方的仔细验证，确认恢复出来的文件完整可用。本次服务器数据恢复工作完成。