虛擬機數(shù)據(jù)恢復環(huán)境：
某品牌服務器通過同品牌某型號的RAID卡，將4塊STAT硬盤為一組RAID10陣列。上層部署XenServer虛擬化平臺，虛擬機安裝Windows Server系統(tǒng)，每臺虛擬機有兩個虛擬機磁盤（系統(tǒng)盤 + 數(shù)據(jù)盤），虛擬機作為Web服務器使用。

虛擬機故障&分析：
機房異常斷電導致服務器中一臺VPS（XenServer虛擬機）不可用，虛擬磁盤文件丟失。
故障服務器中的XenServer虛擬機的磁盤是通過LVM管理的。每臺虛擬機的虛擬磁盤都是一個LV，且虛擬磁盤為精簡模式。LVM的相關信息在XenServer中都有記載。查看“/etc/lvm/backup/“目錄下關于LVM的相關信息，沒有發(fā)現(xiàn)損壞的虛擬磁盤的信息，因此可以判斷出LVM的信息已經(jīng)被更新。只能通過分析底層看是否能找到未被更新的LVM信息，結果還真在底層發(fā)現(xiàn)了未被更新的LVM信息。

北亞企安數(shù)據(jù)恢復—虛擬機數(shù)據(jù)恢復

根據(jù)未被更新的LVM信息定位到虛擬磁盤的數(shù)據(jù)區(qū)域，但是發(fā)現(xiàn)該區(qū)域的數(shù)據(jù)已被破壞。虛擬磁盤被破壞導致虛擬機操作系統(tǒng)和數(shù)據(jù)丟失。這類情況發(fā)生通常是由于虛擬機遭遇網(wǎng)絡攻擊或虛擬機被入侵后留下的惡意程序造成的。仔細觀察發(fā)現(xiàn)雖然該區(qū)域中很多數(shù)據(jù)被破壞，但是發(fā)現(xiàn)很多數(shù)據(jù)庫的頁碎片，因此可以嘗試將數(shù)據(jù)庫的頁碎片拼接成一個完整可用的數(shù)據(jù)庫。

虛擬機數(shù)據(jù)恢復過程：
1、分析底層，根據(jù)RAR壓縮包的結構找到很多壓縮包的數(shù)據(jù)開始位置。由于RAR壓縮包文件的第一個扇區(qū)會記錄此RAR壓縮包文件的文件名，因此可以根據(jù)用戶方提供的備份數(shù)據(jù)庫的壓縮包文件名匹配目前從壓縮包第一個扇區(qū)找到的文件名，通過這種方式可以找到備份數(shù)據(jù)庫壓縮包的開始位置。找到備份數(shù)據(jù)庫壓縮包的開始位置后，仔細分析這片區(qū)域的數(shù)據(jù)，然后將此區(qū)域的數(shù)據(jù)恢復出來重命名為一個RAR格式的壓縮文件。然后嘗試解壓此壓縮包，但是解壓報錯。

北亞企安數(shù)據(jù)恢復—虛擬機數(shù)據(jù)恢復

經(jīng)過數(shù)據(jù)恢復工程師的分析，確定解壓報錯的原因是部分數(shù)據(jù)被破壞了。嘗試使用RAR的修復工具（設置為忽略錯誤）來解壓數(shù)據(jù)。結果在解壓出來的數(shù)據(jù)中只找到網(wǎng)站的部分代碼，并沒有找到數(shù)據(jù)庫的備份文件。因此可以判斷RAR壓縮包中的數(shù)據(jù)庫備份文件是損壞的。

北亞企安數(shù)據(jù)恢復—虛擬機數(shù)據(jù)恢復

2、根據(jù)SQLServer數(shù)據(jù)庫的結構，在底層分析數(shù)據(jù)庫的開始位置。SQLServer數(shù)據(jù)庫的第9個頁會記錄本數(shù)據(jù)庫的數(shù)據(jù)庫名，因此可以通過用戶方提供的數(shù)據(jù)庫名稱在底層定位數(shù)據(jù)庫的開始位置。SQLServer數(shù)據(jù)庫的每個頁都會記錄數(shù)據(jù)庫頁編號以及文件號，因此北亞企安數(shù)據(jù)恢復工程師根據(jù)上述SQLServer數(shù)據(jù)庫特征編寫程序在底層掃描符合數(shù)據(jù)庫頁的數(shù)據(jù)。
將掃描出來的數(shù)據(jù)庫頁碎片按照順序重組成一個完整MDF文件，然后通過MDF校驗程序檢測這個MDF文件的完整性。

北亞企安數(shù)據(jù)恢復—虛擬機數(shù)據(jù)恢復

3、MDF文件檢測沒問題之后，數(shù)據(jù)恢復工程師搭建數(shù)據(jù)庫環(huán)境，將重組的數(shù)據(jù)庫附加到搭建好的數(shù)據(jù)庫環(huán)境中。查詢相關表數(shù)據(jù)是否正常以及最新數(shù)據(jù)是否存在。

北亞企安數(shù)據(jù)恢復—虛擬機數(shù)據(jù)恢復

4、使用用戶方提供的網(wǎng)站代碼搭建好環(huán)境，然后將恢復好的數(shù)據(jù)庫結合網(wǎng)站進行驗證，一切正常。用戶方認可數(shù)據(jù)恢復結果。

審核編輯 黃宇