服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
dell某型號服務(wù)器中有一組通過raid卡組建的raid10，該raid陣列中一共有4塊磁盤。上層部署XenServer虛擬化平臺，作為網(wǎng)站服務(wù)器使用。

北亞企安數(shù)據(jù)恢復(fù)——服務(wù)器數(shù)據(jù)恢復(fù)

服務(wù)器故障：
服務(wù)器異常斷電導(dǎo)致服務(wù)器上的一臺虛擬機不可用。需要恢復(fù)這臺虛擬機上的數(shù)據(jù)庫數(shù)據(jù)。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、將故障服務(wù)器中所有磁盤編號后取出，由硬件工程師檢測沒有發(fā)現(xiàn)有磁盤存在明顯的物理故障。將所有磁盤以只讀方式做扇區(qū)級別的全盤鏡像。鏡像完成后將所有磁盤按照編號還原到原服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進行，避免對原始數(shù)據(jù)造成二次破壞。
2、基于鏡像文件對底層數(shù)據(jù)進行分析，經(jīng)過分析發(fā)現(xiàn)服務(wù)器中磁盤通過LVM來管理。進入到“/etc/lvm/backup/”目錄下查詢是否有損壞的虛擬磁盤信息，如果查詢有損壞的虛擬磁盤信息就說明LVM信息尚未更新；如果查詢沒有損壞的虛擬磁盤信息就說明LVM信息已經(jīng)被更新，只能通過底層數(shù)據(jù)查找尚未更新的lvm信息。本案例就是從底層數(shù)據(jù)中查詢到尚未更新的lvm信息。

北亞企安數(shù)據(jù)恢復(fù)——服務(wù)器數(shù)據(jù)恢復(fù)

3、找到尚未更新的lvm信息就說明數(shù)據(jù)還在，可以基于lvm信息分析&查找虛擬磁盤的分區(qū)數(shù)據(jù)，但是經(jīng)過數(shù)據(jù)恢復(fù)工程師分析發(fā)現(xiàn)虛擬磁盤被破壞。經(jīng)過服務(wù)器數(shù)據(jù)恢復(fù)工程師的進一步查找和分析后確認該區(qū)域的數(shù)據(jù)已經(jīng)被破壞，只發(fā)現(xiàn)一些數(shù)據(jù)庫頁碎片。
4、數(shù)據(jù)恢復(fù)工程師試圖通過拼接碎片來恢復(fù)數(shù)據(jù)。正常情況下rar壓縮包的第一個扇區(qū)記錄文件名，可以根據(jù)文件名反向分析壓縮包的數(shù)據(jù)起始位置，將相應(yīng)的壓縮包底層數(shù)據(jù)提取出來并重命名。但是本案例中提取出來的壓縮包解壓時報錯。

北亞企安數(shù)據(jù)恢復(fù)——服務(wù)器數(shù)據(jù)恢復(fù)

數(shù)據(jù)恢復(fù)工程師嘗試使用rar修復(fù)工具并設(shè)置為忽略錯誤繼續(xù)解壓部分數(shù)據(jù)，但是仍然解壓失敗。
5、在數(shù)據(jù)庫層面分析數(shù)據(jù)庫的開始位置（數(shù)據(jù)庫第九頁是當(dāng)前數(shù)據(jù)庫名稱，通過數(shù)據(jù)庫名稱反推數(shù)據(jù)庫的開始位置），分析出數(shù)據(jù)庫開始位置后，北亞企安數(shù)據(jù)恢復(fù)工程師根據(jù)每個數(shù)據(jù)庫頁的編號和文件號去底層數(shù)據(jù)掃描符合這個數(shù)據(jù)庫頁的所有數(shù)據(jù)，將所有掃描出來的數(shù)據(jù)重組為一個mdf文件。

北亞企安數(shù)據(jù)恢復(fù)——服務(wù)器數(shù)據(jù)恢復(fù)

6、通過校驗程序檢測重組出來的mdf文件，檢測沒有問題后提取數(shù)據(jù)。經(jīng)過數(shù)據(jù)恢復(fù)工程師們的分析和重組最終提取出服務(wù)器內(nèi)的所有數(shù)據(jù)并通過了初步驗證。
7、數(shù)據(jù)恢復(fù)工程師搭建數(shù)據(jù)庫環(huán)境，將恢復(fù)出來的數(shù)據(jù)庫數(shù)據(jù)附加進去進行查詢，查詢結(jié)果一切正常，本次服務(wù)器數(shù)據(jù)恢復(fù)工作完成。

北亞企安數(shù)據(jù)恢復(fù)——服務(wù)器數(shù)據(jù)恢復(fù)

審核編輯 黃宇