服務器數據恢復環境：
郵件服務器中有一組由8塊盤組成的RAID5陣列, 上層是Linux操作系統+EXT3文件系統。

服務器故障：
由于誤刪除導致文件系統中的郵件數據丟失。

服務器數據恢復過程：
1、將故障服務器中所有硬盤做好標記后取出，硬件工程師檢測后沒有發現有硬盤存在硬件故障。以只讀方式將所有磁盤進行扇區級全盤鏡像備份，鏡像完成后將所有磁盤按照原樣還原到原服務器中，后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。

北亞企安數據恢復—EXT3文件系統數據恢復

2、基于鏡像文件分析所有磁盤底層數據，分析數據在硬盤中分布的規律，獲取重組raid所需要的相關信息（起始扇區、盤序、條帶大小、校驗方向、數據走向等）。根據上述獲取到的信息重組RAID。

北亞企安數據恢復—EXT3文件系統數據恢復

3、組建好的RAID中可以看到上層劃分的幾個EXT3分區。分析每個分區中的底層數據,，發現其中一個分區里面有大量的郵件頭，并且有nsmail目錄，因此可以確認此分區是需要恢復數據的目標分區。將此分區導出以待后用。
RAID中的所有分區：

北亞企安數據恢復—EXT3文件系統數據恢復

nsmail文件夾：

北亞企安數據恢復—EXT3文件系統數據恢復

郵件頭示例：

北亞企安數據恢復—EXT3文件系統數據恢復

4、恢復郵件數據。
由于EXT3文件系統中文件被刪除后，節點中的文件大小和塊指針都會被清零，因此很難通過常規方法恢復數據。需要針對EXT3文件系統特點和郵件文件本身的結構，確定算法。根據算法編寫程序，使用程序掃描整個文件系統。將掃描找到的郵件文件全部取出，然后根據郵件本身記錄的收件人、發件人、抄送、主題等信息進行整理，然后將數據遷移到郵件平臺上。
郵件數據恢復過程：
a、編寫郵件標識程序。
b、按照算法編寫在ext3文件系統中提取≥48k郵件和提取＜48k郵件的程序，對郵件進行提取。提取同時生成郵件索引信息庫，并且提取非自由空間和非郵件區。
c、人工分析提取的非自由空間和非郵件區，確定無遺漏的郵件。如果有遺漏的郵件，確定遺漏的原因，調整算法，重新進行掃描。直到非自由空間和非郵件區中沒有遺漏的郵件。
d、按照數據庫中解析到的收件人和發件人歸類所有提取的郵件。每個賬號一個文件夾，內含收件和發件兩個文件夾。
結果:
第一次掃描結果：導出郵件60多GB, 60多萬個文件。
第二次掃描結果：改進算法后, 導出郵件70多GB, 多了三萬多個文件。
第三次掃描結果：再次改進算法, 導出郵件80多GB, 比上次多了十多萬個文件。
總的存儲空間是600多GB, 郵件區占用80多GB，剩下的自由空間屬于全零區域，肯定沒有郵件了，非自由空間和非郵件區的垃圾數據有20多GB。
經過數次算法改進和多次細節調整，剩余的非自由空間和非郵件區經過人工驗證也無法找到新的郵件文件，只剩下一些無法拼接的郵件中間碎片和雜亂數據。
郵件中間碎片：

北亞企安數據恢復—EXT3文件系統數據恢復

垃圾數據：

北亞企安數據恢復—EXT3文件系統數據恢復

5、驗證數據。驗證數據分為兩塊：一、郵件數據量的驗證，根據幾個已知賬號的收件和發件數量進行統計，大概估算一下郵件的恢復比例。二、郵件正確性的驗證，用FoxMail打開提取出的郵件，查看內容是否正常。
幾個賬號的數量如下：

北亞企安數據恢復—EXT3文件系統數據恢復

一些郵件內容：

北亞企安數據恢復—EXT3文件系統數據恢復

北亞企安數據恢復—EXT3文件系統數據恢復

6、移交數據。將所有提取出的郵件遷移到郵件平臺。

審核編輯 黃宇