誤刪除KVM虛擬機的數據恢復案例

服務器數據恢復環(huán)境：

Linux系統服務器，EXT4文件系統，部署KVM虛擬機。

服務器故障：

服務器上的KVM虛擬機被誤操作刪除，每臺虛擬機包含一個qcow2格式的磁盤文件和一個raw格式的磁盤文件，需要恢復raw格式的磁盤文件，虛擬機里面存放的是數據庫和程序代碼。

服務器數據恢復過程：

1、對服務器上所有磁盤以只讀方式進行全盤備份，后續(xù)的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始數據造成二次破壞。

2、基于鏡像文件分析EXT4文件系統，定位被刪除虛擬機磁盤文件的節(jié)點位置。

3、獲取磁盤文件殘留的索引信息，校驗殘留索引信息的正確性，北亞企安數據恢復工程師手動修復破壞不嚴重的索引。

獲取的索引等信息：

北亞企安數據恢復——KVM虛擬機數據恢復

4、索引修復完成后，解析殘留的各級索引，從虛擬機所在的卷中提取虛擬磁盤文件并校驗提取出的磁盤文件的正確性與完整性。

5、根據虛擬磁盤文件的提取情況，獲取卷中未被索引到的自由空間。

6、從自由空間中獲取有效信息，北亞企安數據恢復工程師嘗試修補虛擬磁盤文件(如節(jié)點，目錄項，數據庫頁等信息)。

提取出的自由空間：

北亞企安數據恢復——KVM虛擬機數據恢復

數據恢復結果：

1、由于索引丟失，提取出的虛擬磁盤文件并不完整，有部分數據庫文件丟失，可以從自由空間中獲取數據庫頁對數據庫文件進行修補，但由于部分頁所在區(qū)域被覆蓋占用，只能盡量多的去補頁。

2、對于存放程序代碼的服務器中文件的節(jié)點和目錄項丟失的情況，若節(jié)點或目錄項有殘留，可以嘗試補齊節(jié)點和目錄項。但如果有文件的節(jié)點和目錄項同時丟失，這種情況無法補齊。

3、程序代碼文件不具規(guī)律性，若其數據區(qū)丟失，也無法補齊。

恢復出的部分目錄結構：

北亞企安數據恢復——KVM虛擬機數據恢復

北亞企安數據恢復——KVM虛擬機數據恢復

數據驗證：

對虛擬磁盤文件及其中的數據庫文件盡最大努力修補后，交由用戶方工程師驗證。經過反復驗證，發(fā)現有小部分不重要的數據丟失，確認數據恢復結果有效。

審核編輯：湯梓紅