虛擬化環(huán)境：
某品牌720服務(wù)器中有一組通過型號(hào)為H710P的RAID卡+4塊STAT硬盤組建的RAID10，上層部署Xen Server服務(wù)器虛擬化平臺(tái)。虛擬機(jī)安裝的Windows Server系統(tǒng)，運(yùn)行Web服務(wù)器。有系統(tǒng)盤 + 數(shù)據(jù)盤兩個(gè)虛擬機(jī)磁盤。

虛擬化故障：
機(jī)房斷電導(dǎo)致XenServer服務(wù)器中一臺(tái)VPS（XenServer虛擬機(jī)）不可用，虛擬磁盤文件丟失。

虛擬化數(shù)據(jù)恢復(fù)過程：
1、將故障服務(wù)器中的硬盤編號(hào)后取出，掛接到準(zhǔn)備好的數(shù)據(jù)恢復(fù)服務(wù)器上。以只讀方式將所有硬盤做完整鏡像，鏡像完成后將所有硬盤根據(jù)編號(hào)按照原樣還原到原服務(wù)器上。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有硬盤底層數(shù)據(jù)，發(fā)現(xiàn)服務(wù)器中虛擬機(jī)的磁盤是通過LVM來管理的，即每個(gè)虛擬機(jī)的虛擬磁盤都是一個(gè)LV，虛擬磁盤采用精簡(jiǎn)模式。LVM的相關(guān)信息記載在Xen Server中，查看LVM的相關(guān)信息發(fā)現(xiàn)并沒有存在損壞的虛擬磁盤信息，因此可以斷定LVM的信息已經(jīng)被更新了。接著分析底層看能否找到未被更新的LVM信息，果不其然在底層發(fā)現(xiàn)了還未更新的LVM信息。

北亞企安數(shù)據(jù)恢復(fù)—XenServer數(shù)據(jù)恢復(fù)

3、北亞企安數(shù)據(jù)恢復(fù)工程師根據(jù)未被更新的LVM信息找到虛擬磁盤的數(shù)據(jù)區(qū)域，發(fā)現(xiàn)該區(qū)域的數(shù)據(jù)已被破壞。分析后發(fā)現(xiàn)虛擬機(jī)的虛擬磁盤被破壞導(dǎo)致虛擬機(jī)中的操作系統(tǒng)和數(shù)據(jù)丟失。仔細(xì)核對(duì)這片區(qū)域后發(fā)現(xiàn)很多數(shù)據(jù)庫(kù)的頁(yè)碎片。
經(jīng)過會(huì)診，北亞企安數(shù)據(jù)恢復(fù)工程師確定了2套數(shù)據(jù)恢復(fù)方案。
4、數(shù)據(jù)恢復(fù)方案一：
根據(jù)RAR壓縮包的結(jié)構(gòu)找到壓縮包的數(shù)據(jù)開始位置，RAR壓縮包文件的第一個(gè)扇區(qū)中會(huì)記錄此RAR的文件名。根據(jù)從用戶方獲取到的備份數(shù)據(jù)庫(kù)的壓縮包文件名和找到的壓縮包的文件名相匹配，即可找到備份數(shù)據(jù)庫(kù)壓縮包的開始位置。找到壓縮包的位置后仔細(xì)分析這片區(qū)域的數(shù)據(jù)，然后將此區(qū)域的數(shù)據(jù)恢復(fù)出來重命名為一個(gè)RAR格式的壓縮文件。嘗試解壓此壓縮包，結(jié)果報(bào)錯(cuò)。

北亞企安數(shù)據(jù)恢復(fù)—XenServer數(shù)據(jù)恢復(fù)

仔細(xì)分析恢復(fù)出來的壓縮包，發(fā)現(xiàn)中部分?jǐn)?shù)據(jù)被破壞了，因此解壓報(bào)錯(cuò)。嘗試使用RAR修復(fù)工具進(jìn)行修復(fù)。修復(fù)完成之后解壓，解壓的數(shù)據(jù)中只發(fā)現(xiàn)網(wǎng)站的部分代碼，并沒有發(fā)現(xiàn)數(shù)據(jù)庫(kù)。可以判斷備份文件損壞。
解壓出來的部分網(wǎng)站代碼：

北亞企安數(shù)據(jù)恢復(fù)—XenServer數(shù)據(jù)恢復(fù)

5、數(shù)據(jù)恢復(fù)方案二：
由于方案一無法將數(shù)據(jù)庫(kù)恢復(fù)出來，因此采用方案二恢復(fù)數(shù)據(jù)。
根據(jù)SQL Server數(shù)據(jù)庫(kù)的結(jié)構(gòu)去底層分析數(shù)據(jù)庫(kù)的開始位置。在SQL Server數(shù)據(jù)庫(kù)的結(jié)構(gòu)中，第9個(gè)頁(yè)會(huì)記錄本數(shù)據(jù)庫(kù)的數(shù)據(jù)庫(kù)名。因此，獲取到數(shù)據(jù)庫(kù)的名稱之后，通過分析底層找到數(shù)據(jù)庫(kù)的開始位置。
在SQL Server數(shù)據(jù)庫(kù)的每個(gè)頁(yè)中都會(huì)記錄數(shù)據(jù)庫(kù)頁(yè)編號(hào)以及文件號(hào)。北亞企安數(shù)據(jù)恢復(fù)工程師根據(jù)SQL Server數(shù)據(jù)庫(kù)的這些特征編寫程序在底層掃描符合數(shù)據(jù)庫(kù)頁(yè)的數(shù)據(jù)。
將掃描出來的碎片按順序重組成一個(gè)完整MDF文件。通過MDF校驗(yàn)程序檢測(cè)MDF文件的完整性。
重建的MDF文件：

北亞企安數(shù)據(jù)恢復(fù)—XenServer數(shù)據(jù)恢復(fù)

6、檢測(cè)沒有問題后，搭建數(shù)據(jù)庫(kù)環(huán)境，并將重組后的數(shù)據(jù)庫(kù)附加到搭建好的數(shù)據(jù)庫(kù)環(huán)境中。查詢相關(guān)表數(shù)據(jù)是否正常，以及最新數(shù)據(jù)是否存在。

北亞企安數(shù)據(jù)恢復(fù)—XenServer數(shù)據(jù)恢復(fù)

7、由于需要結(jié)合網(wǎng)站代碼才能更好的驗(yàn)證數(shù)據(jù)庫(kù)的完整性。搭建好了網(wǎng)站之后，將恢復(fù)出來的數(shù)據(jù)庫(kù)發(fā)給用戶方。經(jīng)過用戶驗(yàn)證后，數(shù)據(jù)庫(kù)沒有問題。數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇