MongoDB數(shù)據(jù)庫(kù)數(shù)據(jù)恢復(fù)環(huán)境：

一臺(tái)Windows Server操作系統(tǒng)的虛擬機(jī)，虛擬機(jī)上部署有MongoDB數(shù)據(jù)庫(kù)。

MongoDB數(shù)據(jù)庫(kù)故障&檢測(cè)：

在未關(guān)閉MongoDB服務(wù)的情況下，工作人員將MongoDB數(shù)據(jù)庫(kù)文件拷貝到其他分區(qū)，然后將原數(shù)據(jù)庫(kù)文件所在分區(qū)進(jìn)行了格式化的操作，格式化完成后將數(shù)據(jù)庫(kù)文件拷回原分區(qū)，重新啟動(dòng)MongoDB服務(wù)，發(fā)現(xiàn)MongoDB服務(wù)無(wú)法啟動(dòng)并報(bào)錯(cuò)。

北亞企安數(shù)據(jù)恢復(fù)——MongoDB數(shù)據(jù)庫(kù)數(shù)據(jù)恢復(fù)

在MongoDB服務(wù)沒(méi)有關(guān)閉的情況下，對(duì)MongoDB數(shù)據(jù)庫(kù)文件進(jìn)行拷貝的操作會(huì)導(dǎo)致mongod.lock文件以及WiredTiger.lock文件拷貝出現(xiàn)錯(cuò)誤。這種情況下只需要在拷貝出來(lái)的文件中刪除這兩個(gè)文件，然后再次啟動(dòng)MongoDB服務(wù)，由MongoDB自行重新生成即可。

北亞企安數(shù)據(jù)恢復(fù)工程師檢測(cè)拷貝出的數(shù)據(jù)庫(kù)文件后發(fā)現(xiàn)_mdb_catalog.wt文件丟失。

_mdb_catalog.wt文件存儲(chǔ)了MongoDB中所有集合的元數(shù)據(jù)，數(shù)據(jù)庫(kù)啟動(dòng)時(shí)需要從這個(gè)文件中讀取相關(guān)的信息。_mdb_catalog.wt文件丟失導(dǎo)致數(shù)據(jù)庫(kù)無(wú)法獲取數(shù)據(jù)庫(kù)中集合對(duì)應(yīng)的WT table名字、集合的創(chuàng)建選項(xiàng)、集合的索引信息等元數(shù)據(jù)，所以數(shù)據(jù)庫(kù)無(wú)法啟動(dòng)。

MongoDB數(shù)據(jù)庫(kù)數(shù)據(jù)恢復(fù)過(guò)程：

1、將MongoDB數(shù)據(jù)庫(kù)涉及到的虛擬機(jī)進(jìn)行鏡像備份，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)都基于鏡像文件進(jìn)行，避免對(duì)原始數(shù)據(jù)造成二次破壞。

2、嘗試從文件系統(tǒng)的角度恢復(fù)_mdb_catalog.wt文件。使用工具對(duì)數(shù)據(jù)庫(kù)所在分區(qū)進(jìn)行掃描，掃描結(jié)果中并沒(méi)有找到_mdb_catalog.wt文件的信息。根據(jù)MongoDB數(shù)據(jù)庫(kù)中數(shù)據(jù)文件的特征值再次掃描數(shù)據(jù)庫(kù)分區(qū)，也沒(méi)有發(fā)現(xiàn)_mdb_catalog.wt相關(guān)的數(shù)據(jù)區(qū)域。由此可以判斷，_mdb_catalog.wt文件已經(jīng)被徹底覆蓋破壞掉，無(wú)法恢復(fù)。只能從數(shù)據(jù)庫(kù)的層面恢復(fù)數(shù)據(jù)。

3、本案例部署的MongoDB數(shù)據(jù)庫(kù)是基于WiredTiger存儲(chǔ)引擎的數(shù)據(jù)庫(kù)系統(tǒng)，可以使用WiredTiger實(shí)用工具包提取數(shù)據(jù)庫(kù)中的數(shù)據(jù)。

a、下載WiredTiger實(shí)用工具包，在windows環(huán)境下編譯出可執(zhí)行的wt工具。

北亞企安數(shù)據(jù)恢復(fù)——MongoDB數(shù)據(jù)庫(kù)數(shù)據(jù)恢復(fù)

b、完成wt工具的編譯后，使用編譯出來(lái)的wt工具對(duì)數(shù)據(jù)庫(kù)的集合文件中的數(shù)據(jù)進(jìn)行清洗回寫。完成清洗回寫操作后，直接讀取文件中的數(shù)據(jù)并寫入到一個(gè).dump文件中。這時(shí)數(shù)據(jù)庫(kù)的各個(gè)集合文件中的全部可用數(shù)據(jù)都提取出來(lái)了。

4、重新創(chuàng)建一個(gè)MongoDB數(shù)據(jù)庫(kù)，根據(jù)提取出來(lái)的集合文件創(chuàng)建對(duì)應(yīng)數(shù)量的空集合，然后使用編譯好的wt工具將提取出來(lái)的.dump文件一一寫入到新創(chuàng)建的空集合中。這個(gè)時(shí)候可以通過(guò)查詢集合中的數(shù)據(jù)確認(rèn)這些集合與元數(shù)據(jù)庫(kù)中集合的對(duì)應(yīng)關(guān)系。

5、修改集合名稱，重建索引信息。由于該MongoDB數(shù)據(jù)庫(kù)中存在Gridfs存儲(chǔ)的大字段(文件)集合，所以通過(guò)查詢集合中的記錄確定記錄類型。確定fs.files和fs.chunks集合的位置后，修改這兩個(gè)集合名稱為xxx.files和xxx.chunks，重建集合索引，Gridfs集合恢復(fù)完成，這時(shí)可以正常查看到其中數(shù)據(jù)：

北亞企安數(shù)據(jù)恢復(fù)——MongoDB數(shù)據(jù)庫(kù)數(shù)據(jù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——MongoDB數(shù)據(jù)庫(kù)數(shù)據(jù)恢復(fù)

6、協(xié)助用戶方將全部集合重建索引后，由用戶方對(duì)數(shù)據(jù)庫(kù)整體進(jìn)行查詢驗(yàn)證，經(jīng)過(guò)反復(fù)驗(yàn)證后確認(rèn)數(shù)據(jù)無(wú)誤，本次數(shù)據(jù)恢復(fù)工作完成。