服務器數據恢復環境：

Linux系統，Ext4文件系統;

劃分為2個分區：1個交換分區和1個文件系統分區。

在分析實際案例之前，我們先了解一下Ext4的相關知識。

Ext4文件系統的全部空間被劃分為若干個塊組，每個塊組內的結構大致相同。

每個塊組都對應一個塊組描述符，這些塊組描述符都放在文件系統的前部，稱為塊組描述符表。每個塊組描述符大小為32字節，描述了塊位圖、i-節點位圖及i-節點表的地址等信息。

超級塊(Superblock)是用來存儲文件系統的配置參數(如塊大小、總塊數、i-節點數)和動態信息(當前空閑塊數和i-節點數)。Ext4文件系統的超級塊(Superblock)開始于1024字節處，即2號扇區。

i節點描述文件的時間信息、大小、塊指針等信息。

塊組描述符和超級塊在塊中的位置：當塊大小為2個扇區時，0號塊是引導程序或者保留塊，超級塊起始于1號塊。當塊大小為4個扇區時，引導程序或者保留塊位于0號塊的前兩個扇區，超級塊位于0號塊的后兩個扇區。當塊大小為8個扇區時，引導程序或者保留塊位于0號塊的0-1號扇區，超級塊位于0號塊的2-3號扇區。

Ext4文件系統的整體結構及第一個塊組的具體結構如下圖所示：

北亞數據恢復——Ext4文件系統數據恢復

服務器故障&分析：

某公司Ext4文件系統umount失敗，管理員執行fsck檢查一致性，結果Ext4文件mount不上(有時也表現為目錄變成了文件)，報錯信息：mount: wrong fs type, bad option,bad superblock。

因為日志和數據不一致而導致正常文件系統數據被覆蓋的情況在Ext3、Ext4文件系統中發生的頻率較高。由于journal日志文件保留著緩沖數據，數據恢復時可以通過joumal日志文件找到相關信息并重建源文件。

安裝Linux系統的硬盤第一個扇區是MBR扇區，通過觀察MBR分區表得知本案例中Linux系統分為兩個分區：交換分區和文件系統分區。北亞數據恢復工程師決定通過joumal日志文件找回丟失的數據。

經過數據恢復工程師的檢測分析，本案例Ext4文件系統相關信息如下：

1、塊大小為固定的4KB，即8個扇區。

2、超級塊(Superblock)起始位置在1024字節處，即2號扇區，大小為2個扇區。

3、塊組描述表從第一個塊開始，即從4096字節處開始。

服務器數據恢復過程：

1、首先用數據恢復工具將Ext4文件系統打開，發現0-23扇區的數據(包括超級塊和塊組描述符)被日志記錄所覆蓋。Ext3、Ext4文件系統的日志頁以C0 3B 39 98開頭。

北亞數據恢復——Ext4文件系統數據恢復

超級塊中可以找到關于塊大小的信息。從journal日志中把超級塊的備份查找出來，然后再通過數據恢復工具進行超級塊信息的查找，其標志是“53ef”。超級塊0x18-0x1B處描述塊大小，本案例塊大小為4KB。

北亞數據恢復——Ext4文件系統數據恢復

通過超級塊查看塊大小。

北亞數據恢復——Ext4文件系統數據恢復

通過數據恢復軟件的模板編輯器也可以顯示塊大小。

北亞數據恢復——Ext4文件系統數據恢復

2、重建(恢復)超級塊;由于原文件系統超級塊損壞，所以恢復文件時要把這部分超級塊信息粘貼回去，即放在2號扇區開始或1024字節處。超級塊備份的某些部分的數值可能與實際的超級塊數值不一致，這種情況下需要通過數據恢復工具的模板管理器進行修改。本案例對超級塊所在的第0個塊組做了修改。

北亞數據恢復——Ext4文件系統數據恢復

3、重建(恢復)塊組描述表;由于部分塊組描述表被破壞，所以需要先在journal日志文件里找到所有塊組描述表并把它們粘貼回去。本案例中journal日志文件里的塊組描述符表存儲在超級塊的后面，要找塊組描述表可以先找超級塊，找到后將塊組描述符表內容粘貼到4096字節處。

4、重建(恢復)目錄;當要恢復某個文件夾里的文件時，比如kyproc文件夾里的數據，這些文件夾在WinHex里是不能打開的狀態，這意味著這個目錄已經損壞(下圖1)。打開其節點信息，發現正常數據被日志填充(下圖2)。

北亞數據恢復——Ext4文件系統數據恢復

北亞數據恢復——Ext4文件系統數據恢復

找到上一級目錄var文件夾，右擊點“open”，打開后能看到var文件夾里的所有文件的目錄信息。找到要恢復的kyproc目錄的信息：12 32 EE 00是其i-節點號，10 00表示其目錄項長度，06表示其文件名稱長度，02表示其文件類型為目錄。如下圖所示。

北亞數據恢復——Ext4文件系統數據恢復

在var文件夾的目錄塊下查找kyproc目錄的位置，如下圖所示，標紅的位置是找到的結果。此位置顯示所在塊號為62399108。

北亞數據恢復——Ext4文件系統數據恢復

根據所在塊號可以定位kyproc目錄相應節點的位置。由于人工補節點比較繁瑣，可以從journal日志文件里面找到其節點信息，把相應的信息粘貼回去。

通過上述方法可以重建(恢復)目錄。恢復目錄里的文件也是通過同樣的方法從journal日志文件里找到相應的文件的節點信息，找到后粘貼回原來的位置，達到重建(恢復)文件的目的。

5、經過數據恢復工程師的努力，終于把用戶需要的數據都恢復出來，經過數據恢復工程師和用戶的核檢沒有發現問題。本次數據恢復工作完成。