文章內(nèi)容

企業(yè)級Linux誤刪除數(shù)據(jù)恢復(fù)技術(shù)

發(fā)布時間: 2012/8/13 16:16:55

為了更好的確保數(shù)據(jù)安全，企業(yè)級數(shù)據(jù)一般都存儲在安全性及穩(wěn)定性更高的Linux及Unix內(nèi)核系統(tǒng)的存儲設(shè)備上。據(jù)知名數(shù)據(jù)恢復(fù)品牌科技統(tǒng)計，企業(yè)級數(shù)據(jù)恢復(fù)案例較多的集中在Windows內(nèi)核的服務(wù)器。不過，Windows內(nèi)核的數(shù)據(jù)恢復(fù)技術(shù)難度不大，而Linux及Unix出故障的概率比較小，但是一旦出現(xiàn)問題，數(shù)據(jù)恢復(fù)難度非常大，數(shù)據(jù)恢復(fù)公司經(jīng)過多年的艱苦研究，終于在Unix（IBM AIX，HP-Unix）及Linux系統(tǒng)下的各種文件系統(tǒng)（如：EXT3、JFS2、ReiserFS等）的數(shù)據(jù)恢復(fù)取得了突破性進(jìn)展。

　　下面，我們看一個比較典型的Ext3文件系統(tǒng)誤刪除的成功案例，這在數(shù)據(jù)恢復(fù)眾多的案例中比較典型。

　　客戶：日本某全球500強(qiáng)公司

　　服務(wù)器環(huán)境：浪潮服務(wù)器，3塊硬盤做的Raid5。

　　文件系統(tǒng)：EXT3

　　發(fā)生故障時間：2010年3月18 上午10點左右

　　工程師誤操作：維護(hù)工程師停掉Oracle服務(wù)，打算把oracle做一個冷備份，然后把Oracle庫文件備份到windows PC Server上，再用CuteFTP的客戶端下載。在下載過程中，發(fā)現(xiàn)下載速度特別慢，想刪除下載任務(wù)，結(jié)果誤操作，把要下載的oracle實例文件夾整個都刪除了， oracle庫文件、控制文件、日志文件全部刪除。

　　數(shù)據(jù)恢復(fù)：EXT3文件系統(tǒng)誤刪除數(shù)據(jù)恢復(fù)技術(shù)介紹

　　實際上，Linux操作系統(tǒng)的EXT3文件系統(tǒng)并沒有預(yù)留反刪除的功能。在EXT3文件系統(tǒng)中，每個文件都是通過Inode來描述其數(shù)據(jù)存放的具體位置，當(dāng)文件被刪除以后，Inode的數(shù)據(jù)指針部分被清零，文件目錄區(qū)沒有太多變化。文件的讀寫都是通過Inode來實現(xiàn)，當(dāng)Inode數(shù)據(jù)指針被清零以后，即便文件內(nèi)容還在，也沒有辦法把文件內(nèi)容組合出來。

　　EXT3文件系統(tǒng)是一種帶日志功能的文件系統(tǒng)，Inode的變化會在日志文件.journal中有記錄，.journal文件比較小，一般是32MB。當(dāng)EXT3文件系統(tǒng)中的metadata數(shù)據(jù)發(fā)生變化時，相應(yīng)的metadata在.journal文件會有一份COPY。比如一個文件被刪除了，它的Inode信息會在.journal文件中先保存一份，然后把要刪除文件inode相關(guān)信息清零。這個.journal文件是循環(huán)使用的，當(dāng)操作過多時，刪除的文件的inode日志記錄會被新的數(shù)據(jù)替換，這就徹底喪失了根據(jù)inode找回數(shù)據(jù)的機(jī)會了。如果是大量文件的刪除，這個.journal文件會被反復(fù)循環(huán)利用多次，只留給最后刪除的那些文件的恢復(fù)機(jī)會。

　　數(shù)據(jù)恢復(fù)專家上門服務(wù) 3天Oracle數(shù)據(jù)庫奇跡般成功恢復(fù)！

　　客戶在北京咨詢了五六家數(shù)據(jù)恢復(fù)公司，最終決定請數(shù)據(jù)恢復(fù)專家上門服務(wù)。數(shù)據(jù)修復(fù)專家開車抵達(dá)位于順義區(qū)天竺的客戶數(shù)據(jù)中心現(xiàn)場。

　　客戶要恢復(fù)的是Oracle數(shù)據(jù)庫，oracle數(shù)據(jù)庫文件被刪除以后，只要是數(shù)據(jù)內(nèi)容沒有被覆蓋，數(shù)據(jù)恢復(fù)技術(shù)是可以把文件單獨提取出來。DST專家經(jīng)過深入分析，在.journal文件沒有找到刪除過的oracle數(shù)據(jù)文件，原因是用戶刪除數(shù)據(jù)以后，系統(tǒng)還在開機(jī)運行，同時嘗試啟動過oracle實例，oracle產(chǎn)生一些日志文件，這些日志文件數(shù)量比較多，而要恢復(fù)的刪除過的文件數(shù)量只有16個，在.journal文件中已經(jīng)沒有了刪除文件的inode信息。最終，數(shù)據(jù)恢復(fù)的思路只有兩條：

　　第一種：根據(jù)Oracle數(shù)據(jù)文件內(nèi)部結(jié)構(gòu)，對全盤進(jìn)行搜索，符合oracle數(shù)據(jù)頁面的數(shù)據(jù)都提取出來，然后按照oracle數(shù)據(jù)文件的ID號進(jìn)行重新組合。

　　第二種：根據(jù)Oracle數(shù)據(jù)文件分布規(guī)律，精確定位oracle文件的數(shù)據(jù)指針地址，包括一級間接地址、二級間接地址和三級間接地址，重新構(gòu)造出該文件的inode信息，然后把數(shù)據(jù)讀取出來。

　　數(shù)據(jù)恢復(fù)專家最終恢復(fù)的效果非常好。第二天下午，由于工作量比較大，研發(fā)部的程序員在現(xiàn)場編寫了腳本，以提高Oracle數(shù)據(jù)庫組合進(jìn)度。第三天，oracle能正常啟動。工程師把數(shù)據(jù)全部備份出來，最后發(fā)現(xiàn)有兩個表數(shù)據(jù)少了一些記錄，經(jīng)查明，原因就是刪除文件以后，一些日志文件的寫入該分區(qū)，破壞了oracle數(shù)據(jù)文件的一些數(shù)據(jù)頁面，幸好這兩張表數(shù)據(jù)對用戶來說不是很重要，客戶接受數(shù)據(jù)恢復(fù)結(jié)果。

　　數(shù)據(jù)恢復(fù)專家提示：

　　在Linux/UINX下誤刪除了文件，當(dāng)發(fā)現(xiàn)數(shù)據(jù)丟失以后，不要進(jìn)行任何操作，馬上關(guān)機(jī)，保留現(xiàn)場。如果條件不允許關(guān)機(jī)，就要想辦法把數(shù)據(jù)丟失的文件系統(tǒng)經(jīng)過DD鏡像到另外的存儲空間上作為最原始的備份，以便數(shù)據(jù)恢復(fù)專家現(xiàn)場診斷。

本文出自：億恩科技【www.artduck.net】