虛擬化數(shù)據(jù)如何恢復(fù)，虛擬機(jī)數(shù)據(jù)丟失數(shù)據(jù)能恢復(fù)么？

發(fā)布時(shí)間：2023-11-17 10:57:17 瀏覽量：312

虛擬化數(shù)據(jù)如何恢復(fù)，虛擬機(jī)數(shù)據(jù)丟失數(shù)據(jù)能恢復(fù)么？

虛擬化服務(wù)器故障介紹：

客戶的一臺(tái)存儲(chǔ)服務(wù)器中由于未知原因發(fā)現(xiàn)虛擬機(jī)數(shù)據(jù)文件丟失，hyper-v服務(wù)受到影響導(dǎo)致虛擬機(jī)服務(wù)器不能正常使用。客戶緊急聯(lián)系了南京雷超科技前往服務(wù)器機(jī)房進(jìn)行數(shù)據(jù)恢復(fù)檢測(cè)。首先由硬件數(shù)據(jù)恢復(fù)工程師對(duì)客戶的物理服務(wù)器進(jìn)行了故障排查，未發(fā)現(xiàn)物理故障；隨后由服務(wù)器數(shù)據(jù)恢復(fù)工程師對(duì)服務(wù)器的操作系統(tǒng)進(jìn)行檢測(cè)，操作系統(tǒng)也正常；服務(wù)器底層的硬盤(pán)文件系統(tǒng)未發(fā)現(xiàn)病毒破壞跡象；對(duì)文件系統(tǒng)進(jìn)行進(jìn)一步分析發(fā)現(xiàn)元文件創(chuàng)建時(shí)間與數(shù)據(jù)丟失時(shí)間一致，初步確認(rèn)數(shù)據(jù)丟失的原因是分區(qū)格式化、文件系統(tǒng)重寫(xiě)導(dǎo)致。

服務(wù)器數(shù)據(jù)恢復(fù)故障分析

根據(jù)檢測(cè)結(jié)果繼續(xù)反推服務(wù)器數(shù)據(jù)丟失原因，在系統(tǒng)日志中發(fā)現(xiàn)數(shù)據(jù)丟失當(dāng)天及以前日期的系統(tǒng)日志不存在，但服務(wù)日志、審核日志存在完整，未見(jiàn)破壞痕跡。進(jìn)一步印證了本次服務(wù)器數(shù)據(jù)丟失的原因與人為操作有關(guān)。于是我們的服務(wù)器數(shù)據(jù)恢復(fù)工程師嘗試對(duì)系統(tǒng)日志進(jìn)行更深一步的分析，但是由于日志文件被覆蓋，無(wú)法進(jìn)行恢復(fù)。

虛擬機(jī)服務(wù)器數(shù)據(jù)恢復(fù)方案

按照服務(wù)器數(shù)據(jù)恢復(fù)工程師的恢復(fù)思路，客戶虛擬機(jī)及所有數(shù)據(jù)全部存放于存儲(chǔ)服務(wù)器中，想要恢復(fù)上層虛擬化的數(shù)據(jù)只需要將底層服務(wù)器內(nèi)的數(shù)據(jù)進(jìn)行恢復(fù)即可，數(shù)據(jù)恢復(fù)工程師將客戶服務(wù)器內(nèi)的所有數(shù)據(jù)進(jìn)行鏡像備份后，開(kāi)始對(duì)鏡像文件進(jìn)行數(shù)據(jù)恢復(fù)操作。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程

我們數(shù)據(jù)恢復(fù)工程師使用南京雷超科技自主研發(fā)的服務(wù)器數(shù)據(jù)恢復(fù)工具，對(duì)客戶原服務(wù)器內(nèi)的數(shù)據(jù)進(jìn)行了自動(dòng)分析和raid重組。

1、掃描舊的文件索引項(xiàng)

服務(wù)器數(shù)據(jù)恢復(fù)工程師對(duì)客戶的硬盤(pán)底層數(shù)據(jù)進(jìn)行了掃描，找到大量未被覆蓋的文件索引、文件系統(tǒng)目錄項(xiàng)等信息，于是數(shù)據(jù)恢復(fù)工程師針對(duì)本次案例的實(shí)際情況編寫(xiě)了一個(gè)小程序，將客戶服務(wù)器硬盤(pán)中的所有文件索引項(xiàng)都進(jìn)行了掃描和提取。以備后續(xù)數(shù)據(jù)恢復(fù)使用。

2、還原服務(wù)器目錄結(jié)構(gòu)

如果在正常情況下，服務(wù)器的文件索引項(xiàng)固定為1KB，呈連續(xù)分布狀態(tài)，每個(gè)文件索引項(xiàng)對(duì)應(yīng)一個(gè)相應(yīng)的目錄（或文件）。但是數(shù)據(jù)恢復(fù)工程師對(duì)提取到的文件索引項(xiàng)進(jìn)行分析發(fā)現(xiàn)這些文件索引項(xiàng)多數(shù)以16或8KB對(duì)齊，呈不連續(xù)且無(wú)規(guī)律狀態(tài)分布，這種情況下是無(wú)法找到所需的文件內(nèi)容的，于是數(shù)據(jù)恢復(fù)工程師做了如下操作：

在所有提取出來(lái)的文件索引項(xiàng)中搜索“VHD”文件記錄，將與之連續(xù)的文件索引項(xiàng)提取出來(lái)，接著再查看這段提取出來(lái)的文件索引項(xiàng)中是否有指向下一段文件索引項(xiàng)的記錄或者是H20屬性。如果有則根據(jù)文件索引項(xiàng)中的特征去匹配下一段文件索引項(xiàng)，如果沒(méi)有則跳過(guò)這段文件索引項(xiàng)。根據(jù)以上方法基本能查到大多數(shù)的文件索引項(xiàng)片段。而缺失的文件索引項(xiàng)片段有可能被破壞了，但是可以從數(shù)據(jù)備份盤(pán)中去查找缺失的文件索引項(xiàng)片段，因此基本可以搜索到大部分的文件索引項(xiàng)，從而拼接成為一個(gè)完整的目錄項(xiàng)結(jié)構(gòu)。

3、修復(fù)服務(wù)器文件系統(tǒng)

服務(wù)器數(shù)據(jù)恢復(fù)工程師將重建好的目錄結(jié)構(gòu)與服務(wù)器原有的文件系統(tǒng)目錄結(jié)構(gòu)進(jìn)行替換，修改部分校驗(yàn)值。使用自研發(fā)的服務(wù)器數(shù)據(jù)恢復(fù)工具對(duì)重建的目錄結(jié)構(gòu)進(jìn)行解析和計(jì)算，初步可以看到客戶服務(wù)器內(nèi)丟失的數(shù)據(jù)了。

為了確認(rèn)恢復(fù)出的數(shù)據(jù)是否完整，服務(wù)器數(shù)據(jù)恢復(fù)工程師在恢復(fù)出的數(shù)據(jù)中隨機(jī)拷貝出一個(gè)VHD文件，在數(shù)據(jù)恢復(fù)專用服務(wù)器上附加此VHD文件，檢查VHD中的數(shù)據(jù)完整性。

4、驗(yàn)證服務(wù)器數(shù)據(jù)恢復(fù)結(jié)果

經(jīng)過(guò)服務(wù)器數(shù)據(jù)恢復(fù)工程師對(duì)恢復(fù)結(jié)果初步驗(yàn)證沒(méi)有異常后，在北亞的數(shù)據(jù)恢復(fù)專用服務(wù)器上搭建一個(gè)新的hyper-v虛擬化環(huán)境，將恢復(fù)出的數(shù)據(jù)導(dǎo)入到虛擬化環(huán)境中，由客戶管理員對(duì)數(shù)據(jù)恢復(fù)的結(jié)果進(jìn)行驗(yàn)證。經(jīng)過(guò)驗(yàn)證，本次數(shù)據(jù)恢復(fù)成功。將恢復(fù)出的數(shù)據(jù)遷移回客戶的hyper-v環(huán)境并啟動(dòng)虛擬機(jī)，所有數(shù)據(jù)正常，本次服務(wù)器數(shù)據(jù)恢復(fù)圓滿成功。