服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：

一臺某品牌PowerEdge系列服務(wù)器和一臺PowerVault系列存儲(chǔ)，上層是ESXI虛擬機(jī)文件，虛擬機(jī)中運(yùn)行SQL Server數(shù)據(jù)庫。

服務(wù)器故障：

機(jī)房非正常斷電導(dǎo)致虛擬機(jī)無法啟動(dòng)。管理員檢查虛擬機(jī)發(fā)現(xiàn)虛擬機(jī)配置文件丟失，所幸的是xxx-flat.vmdk磁盤文件和xxx-000001-delta.vmdk快照文件沒有丟失。管理員嘗試恢復(fù)虛擬機(jī)，將原虛擬機(jī)的xxx-flat.vmdk刪除后新建了一個(gè)虛擬機(jī)，分配了幾百GB的精簡模式和幾百GBGB的快照數(shù)據(jù)盤，但是并沒有將原虛擬機(jī)內(nèi)的數(shù)據(jù)恢復(fù)出來。

服務(wù)器數(shù)據(jù)恢復(fù)過程：

1、將掛載在VMware vSphere Client上的卷卸載后做鏡像備份，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始數(shù)據(jù)造成二次破壞。

2、經(jīng)過對鏡像文件進(jìn)行檢測&分析后發(fā)現(xiàn)：a、斷電導(dǎo)致虛擬機(jī)目錄項(xiàng)已經(jīng)損壞;b、刪除文件操作導(dǎo)致文件的數(shù)據(jù)區(qū)索引被清除;c、重建虛擬機(jī)操作導(dǎo)致分配給新建虛擬機(jī)的磁盤空間的數(shù)據(jù)底層被清零。前兩種情況可以通過人工修復(fù)來恢復(fù)數(shù)據(jù)，但如果第三種情況是新建虛擬機(jī)的磁盤空間占用了原虛擬機(jī)的釋放空間，這部分空間的數(shù)據(jù)則無法恢復(fù)，需要進(jìn)一步檢測才能確定是否出現(xiàn)這種情況。

虛擬機(jī)目錄項(xiàng):

北亞企安數(shù)據(jù)恢復(fù)——VMware虛擬機(jī)數(shù)據(jù)恢復(fù)

3、數(shù)據(jù)恢復(fù)工程師分析底層數(shù)據(jù)，在自由空間內(nèi)排查被刪除的虛擬機(jī)磁盤區(qū)域，掃描這部分區(qū)域發(fā)現(xiàn)了大量的碎片并拼接&重組這些碎片，但是經(jīng)過拼接&重組后發(fā)現(xiàn)有部分碎片文件缺失，只能暫時(shí)將缺失的文件碎片位置留空。

4、利用虛擬磁盤快照程序?qū)⒅亟M好的父盤和快照盤合并，生成一個(gè)新的虛擬磁盤。

5、解釋虛擬磁盤中的文件系統(tǒng)，因?yàn)閿?shù)據(jù)缺失，文件系統(tǒng)解釋過程中出現(xiàn)很多報(bào)錯(cuò)，提示某些文件損壞。

文件系統(tǒng)解釋結(jié)果:

北亞企安數(shù)據(jù)恢復(fù)——VMware虛擬機(jī)數(shù)據(jù)恢復(fù)

6、在解析完文件系統(tǒng)后發(fā)現(xiàn)沒有找到原始的數(shù)據(jù)庫文件。宏橋備份和索菲備份這兩個(gè)目錄的目錄結(jié)構(gòu)正常，但是在嘗試將備份導(dǎo)入到數(shù)據(jù)庫中時(shí)提示報(bào)錯(cuò)。

宏橋備份和索菲備份的部分目錄結(jié)構(gòu)：

北亞企安數(shù)據(jù)恢復(fù)——VMware虛擬機(jī)數(shù)據(jù)恢復(fù)

導(dǎo)入.BAK文件報(bào)錯(cuò)信息:

北亞企安數(shù)據(jù)恢復(fù)——VMware虛擬機(jī)數(shù)據(jù)恢復(fù)

7、根據(jù)SQL Server數(shù)據(jù)庫的結(jié)構(gòu)去自由空間中找到數(shù)據(jù)庫的開始位置。SQL Server數(shù)據(jù)庫的庫名通常在庫的第九頁內(nèi)，根據(jù)這一特性在底層掃描數(shù)據(jù)庫頁碎片，然后利用掃描出來的碎片重組mdf文件，在本案例中除了cl_system3.dbf和erp42_jck.dbf因有部分碎片

沒有找到外(極有可能被覆蓋了)，其余數(shù)據(jù)庫均校驗(yàn)成功。

校驗(yàn)完的MDF文件：

北亞企安數(shù)據(jù)恢復(fù)——VMware虛擬機(jī)數(shù)據(jù)恢復(fù)

cl_system3.dbf文件中某個(gè)碎片丟失的區(qū)域：

北亞企安數(shù)據(jù)恢復(fù)——VMware虛擬機(jī)數(shù)據(jù)恢復(fù)

8、詳細(xì)檢查備份文件依然沒有找到這兩個(gè)丟失的文件，只有部分增量備份文件。由于erp42_jck.dbf文件中只缺失少量的頁，根據(jù)缺失的頁號在增量備份中查找，再將找到的頁補(bǔ)到erp42_jck.dbf文件中，通過這個(gè)辦法可以恢復(fù)一部分丟失的數(shù)據(jù)庫頁。但是補(bǔ)完后發(fā)現(xiàn)還是缺失部分頁，無法正常使用。

9、通過北亞企安自主開發(fā)的數(shù)據(jù)庫解析程序?qū)rp42_jck.dbf文件中重要的幾十張表導(dǎo)出，并導(dǎo)入到新建的數(shù)據(jù)庫中，恢復(fù)出缺失的文件。

10、重新搭建原始環(huán)境，將恢復(fù)出來的數(shù)據(jù)導(dǎo)入到新搭建的環(huán)境中，由用戶親自驗(yàn)證數(shù)據(jù)庫的完整性，驗(yàn)證后確認(rèn)所有數(shù)據(jù)完整、數(shù)據(jù)庫掛載成功、上層應(yīng)用運(yùn)行正常，本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯：湯梓紅