仔细换算了一下发现丢失的数据MAP项总共才包含不到1G的数据，而删除的文件全是虚拟机的vmdk文件，里面都是NTFS的文件系统，而NTFS文件系统的MFT基本都在3G的位置，也就是只需要在每个vmdk文件的头部手动伪造一个MBR和DBR就可以解释vmdk里面的数据了（真不知到是巧合呢！还是巧合呢！）。对扫描到的数据MAP做解释，并根据VCN号的顺序导出数据，没有MAP的情况保留为零。
·
经过不断的测试，先导出一个vmdk文件来看看。结果令我大吃一惊，导出的vmdk文件比实际情况要小，并且vmdk中MFT的位置也与自身描述不符。手动随机验证了几个MPA发现都能指向数据区，而程序解释MAP的方式也都没有问题。所以猜测到可能为文件稀疏！
将代码进行部分调整后重新导出刚才的vmdk，这次vmdk大小符合实际大小，且MFT的位置也在相应位置。手工伪造一个MBR，分区表以及DBR，再用文件系统解释工具（自用工具）成功解释其文件系统，导出vmdk里面的数据库及视频文件。
在验证了此vmdk中的数据库及视频文件没问题后，批量导出所有重要的vmdk文件，再手工一个一个的去修改每个vmdk文件。
【数据验收】
将客户所有重要的数据恢复完成后，由客户方安排工程师对恢复的所有数据做完整性及准确性检测，数据最终确定完全没有问题，数据恢复成功。
EMC Isilon(OneFS)存储误删除数据恢复方法【数据恢复实例】
原文地址：http://blog.51cto.com/sun510/2113539
