服務(wù)器數(shù)據(jù)恢復(fù)-XenServer虛擬機磁盤文件數(shù)據(jù)恢復(fù)案例

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
某單位一臺Dell服務(wù)器上使用RAID卡搭建了一組由4盤RAID10。
服務(wù)器安裝的XenServer虛擬化操作系統(tǒng)，虛擬機采用的Windows Server操作系統(tǒng)。
共系統(tǒng)盤和數(shù)據(jù)盤兩個虛擬機磁盤，上層部署的是Web服務(wù)器（ASP + SQLServer架構(gòu)）。

服務(wù)器故障&分析：
由于服務(wù)器突然斷電，服務(wù)器中一臺VPS（XenServer虛擬機）不可用，虛擬磁盤文件丟失。
1、將故障服務(wù)器中磁盤編號后取出，以只讀方式將所有磁盤鏡像備份。備份完成后將所有磁盤按照編號還原到原服務(wù)器中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進行，避免對原始數(shù)據(jù)造成二次破壞。
2、XenServer虛擬機磁盤都是以LVM的結(jié)構(gòu)組織的（每個虛擬機的虛擬磁盤都是一個LV，并且虛擬磁盤的模式為精簡模式）。LVM的相關(guān)信息記錄在XenServer中。北亞企安數(shù)據(jù)恢復(fù)工程師查看“/etc/lvm/backup/“下LVM相關(guān)信息，但是沒有發(fā)現(xiàn)損壞的虛擬磁盤的信息，判斷LVM的信息已經(jīng)更新，繼續(xù)分析底層查找到未被更新的LVM信息。

北亞企安數(shù)據(jù)恢復(fù)——XenServer虛擬機數(shù)據(jù)恢復(fù)

3、根據(jù)未被更新的LVM信息找到虛擬磁盤的數(shù)據(jù)區(qū)域，但該區(qū)域的數(shù)據(jù)已破壞。經(jīng)過分析確認導(dǎo)致虛擬機不可用的原因：虛擬機的虛擬磁盤被破壞導(dǎo)致虛擬機中的操作系統(tǒng)和數(shù)據(jù)丟失。這種情況可能是由虛擬機遭遇網(wǎng)絡(luò)攻擊或惡意程序造成的。
4、核對這片區(qū)域后，北亞企安數(shù)據(jù)恢復(fù)工程師發(fā)現(xiàn)雖然有很多數(shù)據(jù)被破壞，但存在很多數(shù)據(jù)庫的頁碎片，可以嘗試將數(shù)據(jù)庫的頁碎片拼接成一個可用的數(shù)據(jù)庫。

服務(wù)器數(shù)據(jù)恢復(fù)方案：
1、根據(jù)RAR壓縮包的結(jié)構(gòu)可以找出壓縮包的數(shù)據(jù)開始位置。因為RAR壓縮包文件的第一個扇區(qū)中會記錄此RAR的文件名，所以通過將備份數(shù)據(jù)庫的壓縮包文件名和目前找到的壓縮包位置的文件名進行匹配的方法找到備份數(shù)據(jù)庫壓縮包的開始位置。
2、找到壓縮包的位置后分析這片區(qū)域的數(shù)據(jù)，然后將此區(qū)域的數(shù)據(jù)找出來重命名為一個RAR格式的壓縮文件。然后嘗試解壓此壓縮包，發(fā)現(xiàn)解壓報錯。

北亞企安數(shù)據(jù)恢復(fù)——XenServer虛擬機數(shù)據(jù)恢復(fù)

解壓報錯的原因是部分數(shù)據(jù)被破壞。嘗試使用RAR修復(fù)工具處理后解壓部分數(shù)據(jù)，結(jié)果修復(fù)完成后解壓出來的的數(shù)據(jù)只包含網(wǎng)站的部分代碼，并沒有數(shù)據(jù)庫備份文件，可以初步判斷RAR壓縮包中的數(shù)據(jù)庫備份文件已經(jīng)損壞。

北亞企安數(shù)據(jù)恢復(fù)——XenServer虛擬機數(shù)據(jù)恢復(fù)

3、根據(jù)SQL Server數(shù)據(jù)庫的結(jié)構(gòu)在底層分析數(shù)據(jù)庫的開始位置。在SQL Server數(shù)據(jù)庫的結(jié)構(gòu)中，通常第9個頁會記錄數(shù)據(jù)庫名。因此在知道數(shù)據(jù)庫的前提下去分析底層找到此數(shù)據(jù)庫的開始位置。SQL Server數(shù)據(jù)庫的每個頁中都會記錄數(shù)據(jù)庫頁編號和文件號。北亞企安數(shù)據(jù)恢復(fù)工程師根據(jù)這些SQL Server數(shù)據(jù)庫特征編寫程序在底層掃描符合數(shù)據(jù)庫頁的數(shù)據(jù)。
4、將掃描出來的碎片按順序重組成一個完整MDF文件，通過MDF校驗程序檢測整個MDF文件的完整性。

北亞企安數(shù)據(jù)恢復(fù)——XenServer虛擬機數(shù)據(jù)恢復(fù)

5、檢測沒有發(fā)現(xiàn)問題后搭建數(shù)據(jù)庫環(huán)境，將重組后的數(shù)據(jù)庫附加到搭建好的數(shù)據(jù)庫環(huán)境中。查詢相關(guān)表數(shù)據(jù)是否正常，查詢最新數(shù)據(jù)是否存在。經(jīng)過用戶方的查詢和反復(fù)檢測，確認恢復(fù)出來的數(shù)據(jù)完整有效。本次數(shù)據(jù)恢復(fù)工作完成。

北亞企安數(shù)據(jù)恢復(fù)——XenServer虛擬機數(shù)據(jù)恢復(fù)

審核編輯 黃宇