虛擬化數(shù)據(jù)恢復環(huán)境：
某品牌R720服務器，4塊STAT硬盤通過H710P陣列卡組建了一組raid10磁盤陣列。服務器上部署XenServer虛擬化平臺，虛擬機安裝Windows Server系統(tǒng)，作為Web服務器使用，運行SQL Server數(shù)據(jù)庫。共有2個虛擬磁盤：數(shù)據(jù)盤+系統(tǒng)盤。

虛擬化故障：
機房斷電導致XenServer虛擬化平臺中一臺VPS不可用，XenServer虛擬機磁盤文件丟失。

虛擬化數(shù)據(jù)恢復過程：
1、將故障服務器中所有磁盤編號后取出，經(jīng)過硬件工程師檢測后沒有發(fā)現(xiàn)有硬盤存在硬件故障。以只讀方式將所有磁盤進行扇區(qū)級全盤鏡像，鏡像完成后將所有磁盤按照編號還原到原服務器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤底層數(shù)據(jù)。該服務器中的磁盤通過LVM管理，這種磁盤管理形式中每塊虛擬磁盤均為一個lv，虛擬磁盤為精簡模式，Xen Server中記載lvm的相關(guān)信息。
3、在/etc/lvm/backup/目錄中查詢lvm相關(guān)信息，沒有找到損壞的虛擬磁盤信息，lvm信息應該已經(jīng)被更新。

北亞企安數(shù)據(jù)恢復—Xen server虛擬化數(shù)據(jù)恢復

4、分析底層嘗試查找未被更新的lvm信息，結(jié)果在底層找到了未被更新的lvm信息。北亞企安數(shù)據(jù)恢復工程師順藤摸瓜找到了虛擬磁盤的數(shù)據(jù)區(qū)域，但發(fā)現(xiàn)數(shù)據(jù)已經(jīng)被破壞?，F(xiàn)在可以判斷虛擬機不可用的原因是虛擬磁盤被破壞，導致操作系統(tǒng)和數(shù)據(jù)丟失。
經(jīng)過北亞企安的虛擬化數(shù)據(jù)恢復工程師團隊的會診，敲定了2套數(shù)據(jù)恢復方案：
方案一：
根據(jù)RAR壓縮包文件的存儲規(guī)律，文件第一扇區(qū)為該文件的名稱。根據(jù)RAR壓縮包的結(jié)構(gòu)提取數(shù)據(jù)的開始位置，然后根據(jù)備份數(shù)據(jù)庫壓縮包文件名和提取壓縮包位置的文件名進行匹配，從而定位到數(shù)據(jù)庫壓縮包的起始位置，對這片壓縮包的區(qū)域進行恢復。
恢復過程十分順利，但是在解壓恢復出來的RAR文件時報錯“rar壓縮文件底層損壞”。使用RAR修復工具（設置忽略錯誤）解壓部分數(shù)據(jù)后進行查詢，發(fā)現(xiàn)除了部分網(wǎng)站代碼外并沒有找到可用的數(shù)據(jù)庫備份文件。方案一不可行。

北亞企安數(shù)據(jù)恢復—Xen server虛擬化數(shù)據(jù)恢復

北亞企安數(shù)據(jù)恢復—Xen server虛擬化數(shù)據(jù)恢復

方案二：
根據(jù)SQL Server數(shù)據(jù)庫結(jié)構(gòu)，通常會在第9頁記錄該數(shù)據(jù)庫的庫名，每個頁中都會記錄數(shù)據(jù)庫頁編號以及文件號。根據(jù)數(shù)據(jù)庫結(jié)構(gòu)在底層分析數(shù)據(jù)庫起始位置，然后在底層掃描出符合數(shù)據(jù)庫頁的數(shù)據(jù)碎片并重組mdf文件，mdf文件重組后通過mdf校驗程序檢測文件的完整性。
搭建新的數(shù)據(jù)庫環(huán)境，將數(shù)據(jù)附加到該環(huán)境中，測試一切正常。

北亞企安數(shù)據(jù)恢復—Xen server虛擬化數(shù)據(jù)恢復

北亞企安數(shù)據(jù)恢復—Xen server虛擬化數(shù)據(jù)恢復

5、經(jīng)用戶方驗證后，確認恢復出來的數(shù)據(jù)完整有效，認可數(shù)據(jù)恢復結(jié)果。

審核編輯 黃宇