虛擬機數(shù)據(jù)恢復(fù)環(huán)境：

一臺某品牌720服務(wù)器，4塊STAT硬盤通過RAID卡組建raid10磁盤陣列。部署的XenServer虛擬化平臺+Windows Server操作系統(tǒng)，共兩個虛擬磁盤：數(shù)據(jù)盤+系統(tǒng)盤。服務(wù)器作為Web服務(wù)器使用，上層部署ASP + SQL Server。

虛擬機故障&檢測：

機房斷電導(dǎo)致XenServer中的一臺VPS不可用，XenServer虛擬機磁盤文件丟失。

將故障服務(wù)器中所有磁盤編號后取出，以只讀方式做全盤鏡像，鏡像完成后將磁盤按照編號還原到原服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。

基于鏡像文件分析故障服務(wù)器中的磁盤數(shù)據(jù)，北亞企安數(shù)據(jù)恢復(fù)工程師發(fā)現(xiàn)故障服務(wù)器中的磁盤是通過LVM進行管理，每一個虛擬磁盤為一個lv，虛擬磁盤為精簡模式，XenServer記錄lvm的相關(guān)信息。

在/etc/lvm/backup/目錄下查找lvm相關(guān)信息，結(jié)果沒有發(fā)現(xiàn)損壞的虛擬磁盤信息，lvm信息應(yīng)該是被更新過。所以只能通過分析底層數(shù)據(jù)來嘗試查詢未被更新的lvm信息。查詢結(jié)果如下：

北亞企安數(shù)據(jù)恢復(fù)——XenServer數(shù)據(jù)恢復(fù)

數(shù)據(jù)恢復(fù)工程師通過查詢到的未被更新的lvm信息找到虛擬磁盤的數(shù)據(jù)區(qū)域，結(jié)果發(fā)現(xiàn)數(shù)據(jù)已被破壞。確定虛擬機不可用的原因：虛擬磁盤被破壞，操作系統(tǒng)和數(shù)據(jù)丟失。

虛擬機數(shù)據(jù)恢復(fù)過程：

經(jīng)過北亞企安數(shù)據(jù)恢復(fù)工程師團隊經(jīng)過會診后，敲定了2套數(shù)據(jù)恢復(fù)方案：

數(shù)據(jù)恢復(fù)方案一：

根據(jù)RAR壓縮包文件的存儲結(jié)構(gòu)規(guī)律提取數(shù)據(jù)的開始位置，將備份數(shù)據(jù)庫壓縮包文件名和現(xiàn)有壓縮包開始位置的文件名進行匹配，定位數(shù)據(jù)庫壓縮包的起始位置，恢復(fù)這片壓縮包的區(qū)域即可。

數(shù)據(jù)恢復(fù)的過程十分順利，解壓恢復(fù)出來的RAR格式文件時卻報錯“rar壓縮文件底層損壞”。使用RAR修復(fù)工具對部分數(shù)據(jù)解壓后查詢，結(jié)果發(fā)現(xiàn)除部分網(wǎng)站代碼外沒有可用的數(shù)據(jù)庫備份文件。方案一失敗。

北亞企安數(shù)據(jù)恢復(fù)——XenServer數(shù)據(jù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——XenServer數(shù)據(jù)恢復(fù)

數(shù)據(jù)恢復(fù)方案二：

SQL Server數(shù)據(jù)庫通常會在第9頁記錄數(shù)據(jù)庫庫名，在每個頁中都會記錄數(shù)據(jù)庫頁編號&文件號。可以通過底層數(shù)據(jù)分析數(shù)據(jù)庫起始位置，在底層掃描出符合數(shù)據(jù)庫頁的數(shù)據(jù)碎片，利用數(shù)據(jù)碎片重組mdf文件，mdf文件重組后通過mdf校驗程序檢測文件的完整性，整個過程沒有發(fā)現(xiàn)問題。

搭建新的數(shù)據(jù)庫環(huán)境，將恢復(fù)出來的數(shù)據(jù)附加到環(huán)境中。實施過程截圖：

北亞企安數(shù)據(jù)恢復(fù)——XenServer數(shù)據(jù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——XenServer數(shù)據(jù)恢復(fù)

附加成功后經(jīng)過數(shù)據(jù)恢復(fù)工程師和用戶方工程師的反復(fù)檢測，沒有發(fā)現(xiàn)問題，確認恢復(fù)出來的數(shù)據(jù)完成有效，本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯：湯梓紅