MongoDB数据库数据恢复环境：

一台Windows Server操作系统的虚拟机，虚拟机上部署有MongoDB数据库。

MongoDB数据库故障&检测：

在未关闭MongoDB服务的情况下，工作人员将MongoDB数据库文件拷贝到其他分区，然后将原数据库文件所在分区进行了格式化的操作，格式化完成后将数据库文件拷回原分区，重新启动MongoDB服务，发现MongoDB服务无法启动并报错。

在MongoDB服务没有关闭的情况下，对MongoDB数据库文件进行拷贝的操作会导致mongod.lock文件以及WiredTiger.lock文件拷贝出现错误。这种情况下只需要在拷贝出来的文件中删除这两个文件，然后再次启动MongoDB服务，由MongoDB自行重新生成即可。

北亚企安数据恢复工程师检测拷贝出的数据库文件后发现_mdb_catalog.wt文件丢失。

_mdb_catalog.wt文件存储了MongoDB中所有集合的元数据，数据库启动时需要从这个文件中读取相关的信息。_mdb_catalog.wt文件丢失导致数据库无法获取数据库中集合对应的WT table名字、集合的创建选项、集合的索引信息等元数据，所以数据库无法启动。

MongoDB数据库数据恢复过程：

1、将MongoDB数据库涉及到的虚拟机进行镜像备份，后续的数据分析和数据恢复都基于镜像文件进行，避免对原始数据造成二次破坏。

2、尝试从文件系统的角度恢复_mdb_catalog.wt文件。使用工具对数据库所在分区进行扫描，扫描结果中并没有找到_mdb_catalog.wt文件的信息。根据MongoDB数据库中数据文件的特征值再次扫描数据库分区，也没有发现_mdb_catalog.wt相关的数据区域。由此可以判断，_mdb_catalog.wt文件已经被彻底覆盖破坏掉，无法恢复。只能从数据库的层面恢复数据。

3、本案例部署的MongoDB数据库是基于WiredTiger存储引擎的数据库系统，可以使用WiredTiger实用工具包提取数据库中的数据。

a、下载WiredTiger实用工具包，在windows环境下编译出可执行的wt工具。

b、完成wt工具的编译后，使用编译出来的wt工具对数据库的集合文件中的数据进行清洗回写。完成清洗回写操作后，直接读取文件中的数据并写入到一个.dump文件中。这时数据库的各个集合文件中的全部可用数据都提取出来了。

4、重新创建一个MongoDB数据库，根据提取出来的集合文件创建对应数量的空集合，然后使用编译好的wt工具将提取出来的.dump文件一一写入到新创建的空集合中。这个时候可以通过查询集合中的数据确认这些集合与元数据库中集合的对应关系。

5、修改集合名称，重建索引信息。由于该MongoDB数据库中存在Gridfs存储的大字段（文件）集合，所以通过查询集合中的记录确定记录类型。确定fs.files和fs.chunks集合的位置后，修改这两个集合名称为xxx.files和xxx.chunks，重建集合索引，Gridfs集合恢复完成，这时可以正常查看到其中数据：

6、协助用户方将全部集合重建索引后，由用户方对数据库整体进行查询验证，经过反复验证后确认数据无误，本次数据恢复工作完成。