NetApp存儲數據恢復環境：
NetApp FAS某型號存儲，該NetApp存儲中有96塊扇區大小是520字節的SAS硬盤。存儲中的lun都映射給小型機使用，存放Oracle數據庫文件，采用ASM裸設備存儲方式。

NetApp存儲故障：
工作人員誤操作刪除了該NetApp存儲上所有lun。
和工作人員溝通后得知：由于業務需要，需要重新規劃該NetApp存儲的存儲空間，工作人員直接把存儲卷全部刪除并重新分配。在完成卷的刪除但還沒有重新分配的時候，上層業務宕機。運維工程師緊急排查故障情況，發現跑業務的服務器上的磁盤都“消失”了，無法訪問數據。

NetApp存儲數據恢復過程：
1、北亞企安數據恢復工程師到達現場后將該NetApp存儲中每塊磁盤編號后取出，由硬件工程師初步檢測沒有發現有硬盤存在明顯硬件故障，都可以正常讀取。于是以只讀方式將每塊磁盤做扇區級全盤鏡像，鏡像完成后按照編號將所有磁盤還原到該NetApp存儲中。后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。
2、分析Netapp存儲的存儲過程。
a、分析盤序和LVM的組成方式。
b、掃描硬盤內的所有節點，一般只掃描MBFI（用戶節點）。
c、在節點掃描結果中找到文件大小符合需求的節點，提取此節點并判斷索引根；
d、根據索引根內的第一級數據指針提取本文件的所有直接數據指針（需要參考節點中0x03位置的MAP深度，為0x00時直接從節點內提取數據，0x01時需要提取一次MAP，0x02時需要提取兩次MAP......）。指針提取完畢后開始提取文件數據。
3、在硬盤靠前扇區的位置找到超級塊相關信息，從超級塊相關信息中獲取磁盤組名字、磁盤組邏輯起始塊號、總塊數、磁盤組中raid的編號。
netapp超級塊：

北亞企安數據恢復——Netapp數據恢復

4、每個數據塊占8個扇區，數據塊后附加64字節數據塊的描述信息。根據這些信息可以判斷出作為校驗盤的磁盤（提取數據需剔除校驗盤）。
校驗塊描述信息樣例：

北亞企安數據恢復——Netapp數據恢復

5、根據每塊磁盤8號扇區的磁盤信息以及磁盤末尾的RAID盤序表確定盤序。首先確定各個磁盤所屬aggr組，然后再判斷組內盤序。數據指針跳轉時不考慮校驗盤，所以只需要取得數據盤的盤序即可。
netapp盤序表：

北亞企安數據恢復——Netapp數據恢復

6、Netapp的節點分布在數量眾多的數據塊內，數據塊內節點被統一組織為節點組。每個節點組的前半部分字節記錄一些系統數據，后半部分字節記錄各個文件節點。根據用戶級別可將文件節點分為兩類：“MBFP”系統文件節點和“MBFI”用戶文件節點，在數據恢復時一般只需要MBFI節點組即可。
netapp節點樣例圖：

北亞企安數據恢復——Netapp數據恢復

7、獲取目錄項，并根據其節點編號找到對應節點。
目錄項信息：

北亞企安數據恢復——Netapp數據恢復

8、完成對NetApp存儲的存儲結構的分析后，使用北亞企安自主開發的NetApp解析程序提取數據， 解析asm文件系統并提取出數據庫文件。

北亞企安數據恢復——Netapp數據恢復

9、搭建小機環境，安裝oracle數據庫，檢測數據庫文件和備份文件。
a、通過提取出的數據庫文件啟動數據庫，數據庫可以正常啟動。
b、檢測數據庫備份文件，篩選出最新的數據庫備份文件，使用篩選出的備份文件還原數據庫。經過用戶驗證后，確認恢復出來的數據庫文件無誤，本次數據恢復工作完成。

審核編輯 黃宇