服务器数据恢复Windows服务器对VMFS改写的数据恢复案例

服务器数据恢复环境：

某公司信息管理平台，若干台VMware虚拟机共享一台存储设备，供内部使用，该存储设备中存放了公司大量重要数据。

北亚企安数据恢复——ESX SERVER数据恢复

服务器故障：

该存储设备运行时，管理员在存储网络中连接了一台Windows服务器，这台存储设备突然无法正常使用。管理员对该存储设备进行初步检查后发现该存储设备中的虚拟磁盘丢失，分区表丢失，重启该存储设备后故障依旧。由于该存储设备中的数据十分重要且没有备份，管理员不敢擅自进行操作。

北亚企安数据恢复——ESX SERVER数据恢复

服务器数据恢复过程：

1、通过管理员的描述，数据恢复工程师初步判断该存储设备崩溃并非是硬件故障导致的。按照正规数据恢复流程和谨慎考虑，硬件工程师还是对故障存储设备中的所有硬盘进行了物理故障检测，检测结果和初步判断一致：所有硬盘都可以正常读取，没有发现任何物理故障。

2、将故障存储中所有硬盘编号后取出，以只读方式将所有硬盘完整镜像备份，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始数据造成二次破坏。

3、经过初步分析，数据恢复工程师基本上可以确定该存储设备崩溃的原因就是管理员连接的那台Windows服务器对故障存储的storage的独享操作破坏了存储的VMFS卷。

4、对存储的底层数据进行分析后，数据恢复工程师发现：分区表被清零，但是分区表有55AA的有效结束标志，有硬盘ID标志。

5、继续分析发现存储中有一个没有任何数据的NTFS卷，继续分析该卷的BITMAP后发现其大小与存储的全部空间大小相差无几，在卷的几个不同位置都有部分的占用，但所有占用的总空间很小。

6、经过和管理员沟通和对底层数据的分析，发现故障存储实际上有两个分区，第一个分区占总空间大小的80%，第二个分区是第一个分区的扩展分区，在ntfs分区对数据进行破坏时并没有涉及到第二个分区。所以数据恢复的关键在第一个分区，经过分析与查询发现第一个分区的重要信息都还在。

7、连接故障存储的两个VMFS分区，按照分区的组织方式直接提取vmdk文件和配置文件。

8、提取出文件后通过nfs回迁数据的方式进行数据恢复。恢复完成后对结果进行校检，检测无误后交由用户方工程师来现场进行结果验证，验证没有问题后移交数据。

北亚企安数据恢复——ESX SERVER数据恢复

服务器数据恢复总结：

这个数据丢失的原因十分简单，就是因为光纤环境互斥不当导致了卷在Windows系统下重新做了分区并且执行了NTFS格式化和删除分区的操作。由于esx vmfs的互斥是独立于硬件层面而只依赖于操作系统驱动层的，所以将存储接入其他服务器时一定要注意存储的分配权限，避免造成数据丢失。