服务器数据恢复- Ext4文件系统下执行fsck导致分区无法挂载的的数据恢复案例

Ext4文件系统故障&初检&分析：
某公司服务器Ext4文件系统umount失败，管理员执行fsck操作检查一致性，导致Ext4文件系统mount不上并报错，报错信息：“mount:wrong fs type,bad option,bad superblock”。

服务器数据恢复过程：
1、将故障服务器上硬盘取出，检测后没有发现硬件故障。以只读方式将磁盘做全盘镜像，镜像完成后按照原样将磁盘还原到原服务器中。后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。
2、用工具打开Ext4文件系统，可以看到0-23扇区的数据被日志记录覆盖。
在journal日志中将超级块的备份查找出来，通过工具查找超级块信息。
3、由于原文件系统超级块损坏，所以恢复文件时，要把这部分超级块信息粘贴回去，放在2号扇区开始，或1024字节处。做完以上操作，超级块备份某些地方与实际的超级块数值可能不一致，需要通过工具进行修改。对超级块所在的块组进行了修改，超级块在第0个块组里。
4、由于部分块组描述表被破坏，所以需要在.journal日志文件里找到所有的块组描述表并把它们粘贴回去。.journal日志文件里的块组描述符表存储在超级块的后面，要找块组描述表可以先找到超级块，找到后将块组描述符表内容粘贴到4096字节处。
5、以恢复某个文件夹比如kyproc文件夹里的数据为例，
根据所在块号可以定位kyproc目录相应节点的位置。打开.journal日志文件，从里面找到其节点信息，把相应的信息粘贴回去。
6、通过上述方法重建目录后开始重建目录里的文件。重建目录里的文件也是使用同样的方法：从.journal日志文件里找到相应的文件的节点信息，找到后粘贴回原来的位置，达到重建文件的目的。