服務器虛擬化數(shù)據(jù)恢復環(huán)境：
某品牌720服務器中有一組通過同品牌、型號為H710P的RAID卡+4塊STAT硬盤組建的RAID10磁盤陣列。上層部署XenServer虛擬化平臺。1臺Windows Server操作系統(tǒng)虛擬機，該虛擬機有2塊虛擬磁盤（系統(tǒng)盤+數(shù)據(jù)盤），當作網(wǎng)站服務器使用。

服務器虛擬化故障：
XenServer虛擬機不可用，虛擬磁盤中數(shù)據(jù)丟失。

服務器虛擬化數(shù)據(jù)恢復過程：
1、將故障服務器中磁盤標記后取出，硬件工程師檢測后沒有發(fā)現(xiàn)有硬盤存在硬件故障。將所有磁盤以只讀方式進行扇區(qū)級完整鏡像，鏡像完成后將所有磁盤按照原樣還原到原服務器中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有硬盤底層數(shù)據(jù)，發(fā)現(xiàn)XenServer虛擬機的磁盤是以LVM來管理的，即每臺虛擬機的虛擬磁盤都是一個LV，LVM的相關信息在XenServer中都有記載。
查看“/etc/lvm/backup/ “目錄下LVM的相關信息。沒有發(fā)現(xiàn)損壞的虛擬磁盤信息，基本上可以判斷LVM信息已經(jīng)被更新。繼續(xù)查找，還是在底層發(fā)現(xiàn)了未被更新的LVM信息。

北亞企安數(shù)據(jù)恢復—XenServer數(shù)據(jù)恢復

3、根據(jù)未被更新的LVM信息找到虛擬磁盤的數(shù)據(jù)區(qū)域，發(fā)現(xiàn)該區(qū)域的數(shù)據(jù)已被破壞。這種情況極有可能是虛擬機遭遇攻擊后留下惡意程序所造成的。雖然該區(qū)域很多數(shù)據(jù)被破壞，但是在該區(qū)域找到大量數(shù)據(jù)庫頁碎片。可以嘗試將數(shù)據(jù)庫的頁碎片拼接成一個可用的數(shù)據(jù)庫。
4、數(shù)據(jù)庫之前做過一次備份。這個數(shù)據(jù)庫備份文件和網(wǎng)站代碼一起被壓縮到一個RAR的壓縮包中，因此只需要恢復這個壓縮包即可恢復這個備份的數(shù)據(jù)庫和網(wǎng)站的源代碼。經(jīng)過嘗試后發(fā)現(xiàn)壓縮包中的數(shù)據(jù)已經(jīng)損壞，解壓報錯。

北亞企安數(shù)據(jù)恢復—XenServer數(shù)據(jù)恢復

修復后也只能解壓出部分網(wǎng)站源代碼，并沒有解壓出數(shù)據(jù)庫的備份文件，RAR壓縮包中的數(shù)據(jù)庫備份文件是損壞的。無法通過這種方法恢復數(shù)據(jù)。

北亞企安數(shù)據(jù)恢復—XenServer數(shù)據(jù)恢復

5、根據(jù)SQL Server數(shù)據(jù)庫的結(jié)構(gòu)在底層分析數(shù)據(jù)庫的開始位置。
SQL Server數(shù)據(jù)庫中第9個頁會記錄本數(shù)據(jù)庫的數(shù)據(jù)庫名。在用戶方獲取到數(shù)據(jù)庫的名稱之后，在底層找到數(shù)據(jù)庫的開始位置。SQL Server數(shù)據(jù)庫每個頁都會記錄數(shù)據(jù)庫頁編號以及文件號，根據(jù)這些特征北亞企安數(shù)據(jù)恢復工程師編寫程序在底層掃描符合數(shù)據(jù)庫頁的數(shù)據(jù)。
6、將掃描出來的碎片按順序重組成一個完整MDF文件，再使用MDF校驗程序檢測MDF文件的完整性。

北亞企安數(shù)據(jù)恢復—XenServer數(shù)據(jù)恢復

7、檢測沒問題之后搭建數(shù)據(jù)庫環(huán)境。將重組后的數(shù)據(jù)庫附加到搭建好的數(shù)據(jù)庫環(huán)境中。查詢相關表數(shù)據(jù)是否正常，查詢最新數(shù)據(jù)是否存在。

北亞企安數(shù)據(jù)恢復—XenServer數(shù)據(jù)恢復

8、從網(wǎng)站開發(fā)商拿到了網(wǎng)站代碼搭建好網(wǎng)站環(huán)境，將恢復出來的數(shù)據(jù)庫配置好進行驗證。經(jīng)過用戶方驗證后，確認恢復出來的數(shù)據(jù)庫沒問題。

審核編輯 黃宇