NetApp存储删除文件案例分析

【服务单位】

北京某公司

【故障情况简述】

本次分享的需要进行数据恢复的设备是一台NetApp存储，共有24块磁盘组成。由于管理员误操作删除文件夹，导致数据丢失。而后使用时才发现数据丢失，联系到北亚进行数据恢复。

【数据恢复过程】

1， 分析NetApp的数据结构，由于不同型号的WAFL文件系统版本各有不同且差距较大，所以需要根据节点的结构进行判断，比如数据块节点指针，或为8字节，或为12字节。经过北亚工程师的分析断定此次案例中的版本为WAFL7.3.4，数据块指针为8字节。

2， 经过观察，该文件系统使用的blocksize为8+1扇区，其中前4个扇区为数据块，后一扇区为block标志，有的版本中，采用的将最后一个扇区内容压缩至数据扇区的最后一个扇区的最后，以节约磁盘容量。

块校验扇区

3， 重要的是分析目录结构，这里面存放了文件夹，文件，以及文件系统本身的元信息。该结构存放了文件的节点，该节点唯一，父文件夹的节点，且与数据节点中的信息一致。

4， 分析完成这些重要的结构之后，就是进行全盘的扫描了，将我们需要的节点信息以及目录信息全部扫描出来，存放进数据库。

5， 根据用户的需要，将需要的文件或文件夹的在数据库里面查找，建立我们需要的目录树，了解算法之后，根据需求编写相应的程序，提供根目录之后，后续基本就是靠程序跑出来了。

【北亚小贴士】

由于NetApp中的文件系统的特性，WAFL任意位置写入文件布局的特性，所以覆盖之前的数据的可能性不大，可以进行尝试性数据恢复。尽管数据恢复业务已较为完善，但还是会出现不可控的情况，建议在后期使用时出现问题要尽早联系专业的数据恢复部门进行操作，切勿自行盲目操作哦。