今天的一套题，顺便解决了之前的一套不太会的题目，快哉！
分享一下hadoop取证过程中遇到的问题！
1、拿到服务器镜像，第一时间去看历史命令，因为历史命令可以清楚地看到嫌疑人之前在计算机上干过什么事情，
这里我们发现在data.E01这台机子上存在docker容器，容器里面很明显是一个hadoop的集群
2、确定大致的目标后，我们启动docker
这里用docker ps -a先查看下启动过的容器，发现是三台机子，92的是master，其他两台是slave
3、启动！这里真的是吃了大亏，前前后后搞了七八次，因为如果这边启动集群的顺序有不同，后面的hbase无法启动，真的是服了，不过也学到了！哈哈！
一定要先启动master，然后是slave1，最后是2，这里也可以看出在集群里master节点的重要性！
4、后面就比较简单了，按照历史命令一一进入，即可还原hadoop，得到hbase中的数据了
先进入master节点
然后启动hadoop，最后启动hbase即可
5、取数据
list列出所有的表，发现有两个表
scan可以看出表里的数据
6、再补充点小知识cat /tmp/hadoop-root/dfs/name/current/VERSION存在该节点信息
标签：启动,Hadoop,hadoop,master,集群,hbase,docker From： https://www.cnblogs.com/zyToJH/p/18097425