服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：

MYSQL數(shù)據(jù)庫(kù)服務(wù)器，2塊硬盤組建RAID1;

DATA卷存儲(chǔ)了200多個(gè)數(shù)據(jù)庫(kù);

每天將每個(gè)數(shù)據(jù)庫(kù)dump出后直接壓縮成.gz包，然后將所有重要數(shù)據(jù)庫(kù)的.gz 包放在一起壓縮成一個(gè)總的.tar.gz包，覆蓋原來的備份;

數(shù)據(jù)文件及備份文件全部存儲(chǔ)于DATA卷上。

服務(wù)器故障&分析：

在一次常規(guī)的維護(hù)中，管理員不小心將DATA卷下的所有文件全部rm，刪除后管理員馬上關(guān)閉系統(tǒng)，再未做其它操作，但在刪除那一刻有大量終端在訪問此服務(wù)器。

管理員聯(lián)系我們數(shù)據(jù)恢復(fù)中心要求恢復(fù)mysql數(shù)據(jù)庫(kù)文件(如myd、frm、myi(可重建)文件)，或者每個(gè)數(shù)據(jù)庫(kù)的.gz包，或者所有重要數(shù)據(jù)庫(kù)總的.tar.gz備份包。

理論上，在ext3文件系統(tǒng)下刪除數(shù)據(jù)會(huì)清除inode中除節(jié)點(diǎn)類型、日期外的其他屬性如文件大小、數(shù)據(jù)存儲(chǔ)地址等，這些屬性會(huì)全部清0。同時(shí)目錄表中會(huì)以目錄條目長(zhǎng)度的方式屏蔽掉已刪除的文件，但會(huì)保留節(jié)點(diǎn)編號(hào)，最后會(huì)改變BITMAP中的空間占用標(biāo)志。即使是目錄表中存在刪除文件的節(jié)點(diǎn)編號(hào)，但因節(jié)點(diǎn)內(nèi)容已經(jīng)沒有需要的東西，與數(shù)據(jù)區(qū)也是脫鉤的。

從數(shù)據(jù)角度來說，大多數(shù)文件類型都會(huì)有特定的文件頭標(biāo)志，通過文件頭標(biāo)志是有可能找到刪除文件的起始位置的。但EXT3文件系統(tǒng)以塊組為單位進(jìn)行存儲(chǔ)，同時(shí)數(shù)據(jù)與索引是混合存儲(chǔ)于數(shù)據(jù)區(qū)的，所以數(shù)據(jù)連續(xù)存儲(chǔ)的可能性非常小，所以按照文件格式進(jìn)行處理可行性不大。

唯一的方案是結(jié)合上述幾個(gè)特征，加上對(duì)日志和存儲(chǔ)過程的模擬分析，盡可能地還原真實(shí)的存儲(chǔ)結(jié)構(gòu)。

服務(wù)器數(shù)據(jù)恢復(fù)過程：

1、首先對(duì)故障服務(wù)器的所有硬盤做完整鏡像備份。

2、基于鏡像文件對(duì)總的.tar.gz進(jìn)行分析并嘗試恢復(fù)，但恢復(fù)出來的文件解壓到一半左右就報(bào)錯(cuò)，后續(xù)文件列表也無法列出。經(jīng)過數(shù)據(jù)恢復(fù)工程師的分析，發(fā)現(xiàn)出現(xiàn)這種情況是因?yàn)樵趧h除DATA卷下的所有文件時(shí)仍有數(shù)據(jù)寫入破壞了文件。

3、對(duì)每個(gè)數(shù)據(jù)庫(kù)的.gz包進(jìn)行分析并嘗試恢復(fù)，大多數(shù)數(shù)據(jù)庫(kù)的.gz包恢復(fù)成功。

4、對(duì)于未恢復(fù)成功的數(shù)據(jù)庫(kù).gz包，直接恢復(fù)其mydfrm數(shù)據(jù)文件，最終將所有數(shù)據(jù)庫(kù)的.gz包恢復(fù)成功。

5、經(jīng)過用戶親自驗(yàn)證，恢復(fù)出來的數(shù)據(jù)完整可用。

服務(wù)器數(shù)據(jù)安全Tips：

1、LINUX EXT3文件系統(tǒng)下數(shù)據(jù)刪除后應(yīng)盡快斷掉文件系統(tǒng)I/O，通常umount文件系統(tǒng)即可。

2、對(duì)故障卷做dd備份，確保數(shù)據(jù)恢復(fù)操作不會(huì)對(duì)原始數(shù)據(jù)進(jìn)行二次破壞。

審核編輯：湯梓紅