服務(wù)器數(shù)據(jù)恢復(fù)-XenServer虛擬機(jī)磁盤文件數(shù)據(jù)恢復(fù)案例

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
某單位一臺(tái)Dell服務(wù)器上使用RAID卡搭建了一組由4盤RAID10。
服務(wù)器安裝的XenServer虛擬化操作系統(tǒng)，虛擬機(jī)采用的Windows Server操作系統(tǒng)。
共系統(tǒng)盤和數(shù)據(jù)盤兩個(gè)虛擬機(jī)磁盤，上層部署的是Web服務(wù)器（ASP + SQLServer架構(gòu)）。

服務(wù)器故障&分析：
由于服務(wù)器突然斷電，服務(wù)器中一臺(tái)VPS（XenServer虛擬機(jī)）不可用，虛擬磁盤文件丟失。
1、將故障服務(wù)器中磁盤編號(hào)后取出，以只讀方式將所有磁盤鏡像備份。備份完成后將所有磁盤按照編號(hào)還原到原服務(wù)器中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始數(shù)據(jù)造成二次破壞。
2、XenServer虛擬機(jī)磁盤都是以LVM的結(jié)構(gòu)組織的（每個(gè)虛擬機(jī)的虛擬磁盤都是一個(gè)LV，并且虛擬磁盤的模式為精簡模式）。LVM的相關(guān)信息記錄在XenServer中。北亞企安數(shù)據(jù)恢復(fù)工程師查看“/etc/lvm/backup/“下LVM相關(guān)信息，但是沒有發(fā)現(xiàn)損壞的虛擬磁盤的信息，判斷LVM的信息已經(jīng)更新，繼續(xù)分析底層查找到未被更新的LVM信息。

北亞企安數(shù)據(jù)恢復(fù)——XenServer虛擬機(jī)數(shù)據(jù)恢復(fù)

3、根據(jù)未被更新的LVM信息找到虛擬磁盤的數(shù)據(jù)區(qū)域，但該區(qū)域的數(shù)據(jù)已破壞。經(jīng)過分析確認(rèn)導(dǎo)致虛擬機(jī)不可用的原因：虛擬機(jī)的虛擬磁盤被破壞導(dǎo)致虛擬機(jī)中的操作系統(tǒng)和數(shù)據(jù)丟失。這種情況可能是由虛擬機(jī)遭遇網(wǎng)絡(luò)攻擊或惡意程序造成的。
4、核對這片區(qū)域后，北亞企安數(shù)據(jù)恢復(fù)工程師發(fā)現(xiàn)雖然有很多數(shù)據(jù)被破壞，但存在很多數(shù)據(jù)庫的頁碎片，可以嘗試將數(shù)據(jù)庫的頁碎片拼接成一個(gè)可用的數(shù)據(jù)庫。

服務(wù)器數(shù)據(jù)恢復(fù)方案：
1、根據(jù)RAR壓縮包的結(jié)構(gòu)可以找出壓縮包的數(shù)據(jù)開始位置。因?yàn)镽AR壓縮包文件的第一個(gè)扇區(qū)中會(huì)記錄此RAR的文件名，所以通過將備份數(shù)據(jù)庫的壓縮包文件名和目前找到的壓縮包位置的文件名進(jìn)行匹配的方法找到備份數(shù)據(jù)庫壓縮包的開始位置。
2、找到壓縮包的位置后分析這片區(qū)域的數(shù)據(jù)，然后將此區(qū)域的數(shù)據(jù)找出來重命名為一個(gè)RAR格式的壓縮文件。然后嘗試解壓此壓縮包，發(fā)現(xiàn)解壓報(bào)錯(cuò)。

北亞企安數(shù)據(jù)恢復(fù)——XenServer虛擬機(jī)數(shù)據(jù)恢復(fù)

解壓報(bào)錯(cuò)的原因是部分?jǐn)?shù)據(jù)被破壞。嘗試使用RAR修復(fù)工具處理后解壓部分?jǐn)?shù)據(jù)，結(jié)果修復(fù)完成后解壓出來的的數(shù)據(jù)只包含網(wǎng)站的部分代碼，并沒有數(shù)據(jù)庫備份文件，可以初步判斷RAR壓縮包中的數(shù)據(jù)庫備份文件已經(jīng)損壞。

北亞企安數(shù)據(jù)恢復(fù)——XenServer虛擬機(jī)數(shù)據(jù)恢復(fù)

3、根據(jù)SQL Server數(shù)據(jù)庫的結(jié)構(gòu)在底層分析數(shù)據(jù)庫的開始位置。在SQL Server數(shù)據(jù)庫的結(jié)構(gòu)中，通常第9個(gè)頁會(huì)記錄數(shù)據(jù)庫名。因此在知道數(shù)據(jù)庫的前提下去分析底層找到此數(shù)據(jù)庫的開始位置。SQL Server數(shù)據(jù)庫的每個(gè)頁中都會(huì)記錄數(shù)據(jù)庫頁編號(hào)和文件號(hào)。北亞企安數(shù)據(jù)恢復(fù)工程師根據(jù)這些SQL Server數(shù)據(jù)庫特征編寫程序在底層掃描符合數(shù)據(jù)庫頁的數(shù)據(jù)。
4、將掃描出來的碎片按順序重組成一個(gè)完整MDF文件，通過MDF校驗(yàn)程序檢測整個(gè)MDF文件的完整性。

北亞企安數(shù)據(jù)恢復(fù)——XenServer虛擬機(jī)數(shù)據(jù)恢復(fù)

5、檢測沒有發(fā)現(xiàn)問題后搭建數(shù)據(jù)庫環(huán)境，將重組后的數(shù)據(jù)庫附加到搭建好的數(shù)據(jù)庫環(huán)境中。查詢相關(guān)表數(shù)據(jù)是否正常，查詢最新數(shù)據(jù)是否存在。經(jīng)過用戶方的查詢和反復(fù)檢測，確認(rèn)恢復(fù)出來的數(shù)據(jù)完整有效。本次數(shù)據(jù)恢復(fù)工作完成。

北亞企安數(shù)據(jù)恢復(fù)——XenServer虛擬機(jī)數(shù)據(jù)恢復(fù)

審核編輯 黃宇