服务器数据恢复-Xen server虚拟机数据恢复案例

服务器数据恢复环境：
一台某品牌服务器通过一张同品牌某型号RAID卡将4块STAT硬盘组建为一组RAID10阵列。上层部署Xen Server虚拟化平台，虚拟机上安装的是Windows Server操作系统，包括系统盘 +数据盘两个虚拟机磁盘，作为Web服务器使用，存放网站代码、SQL Server数据库以及其他网站数据。


服务器故障&故障原因分析：
机房意外断电导致服务器中一台VPS（Xen Server虚拟机）不可用，虚拟磁盘文件丢失。
北亚企安数据恢复工程师将故障服务器中所有磁盘编号后取出，以只读方式将所有磁盘完整镜像到准备好的备份空间，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。备份完成后将所有磁盘按照编号还原到原服务器中。
基于镜像文件分析底层数据发现故障服务器中的虚拟机磁盘是以LVM结构管理的，即每个虚拟机的虚拟磁盘都是一个LV，虚拟磁盘模式是精简模式。
LVM的相关信息在Xen Server中都有记载。查看“/etc/lvm/backup/“下LVM的相关信息，并没有发现存在损坏的虚拟磁盘，可以初步判断LVM的信息已经被更新了。继续分析底层，查找到还未更新的LVM信息。

根据未更新的LVM信息找到虚拟磁盘的数据区域，发现该区域的数据已被破坏。现在可以确定虚拟机不可用的原因是虚拟机的虚拟磁盘被破坏，导致虚拟机中的操作系统和数据丢失。核对这片区域，发现该区域有很多数据被破坏了，但还是发现了很多数据库的页碎片。因此可以尝试将许多数据库的页碎片拼接为一个可用的数据库。


服务器数据恢复方案：
方案a：根据RAR压缩包的结构可以找到很多压缩包的数据开始位置，RAR压缩包文件的{BANNED}中国第一个扇区中会记录此RAR的文件名。因此将从用户那里拿到的备份数据库的压缩包文件名和目前找到的压缩包文件{BANNED}中国第一个扇区所记录的文件名相匹配，即可找到备份数据库压缩包的开始位置。找到压缩包的位置后仔细分析这片区域的数据，然后将此区域的数据恢复出来并重命名为一个RAR格式的压缩文件。尝试解压此压缩包，发现解压报错。

仔细分析恢复出来的压缩包，发现其中有部分数据被破坏，解压报错。尝试使用RAR的修复工具处理后解压。结果修复完成之后解压出来的数据只包含网站的部分代码，并没有发现数据库的备份文件。因此可以判断在RAR压缩包中的数据库的备份文件已经是损坏的。
解压出来的部分网站代码：



方案b：
方案a没有将数据库恢复出来。北亚企安数据恢复工程师采用方案b。根据SQL Server数据库的结构分析数据库的开始位置。SQL Server数据库第9个页会记录本数据库的数据库名。在用户那里获取到数据库的名称之后，分析底层找到此数据库的开始位置。在SQL Server数据库的每个页中都会记录数据库页编号以及文件号，根据这些SQL Server数据库特征，北亚企安数据恢复工程师编写程序去底层扫描符合数据库页的数据。将扫描出来的数据库页碎片按顺序重组成一个完整MDF文件。通过MDF校验程序检测整个MDF文件的完整性。



验证数据：
检测没问题之后，由数据库工程师搭建数据库环境，将重组后的数据库附加到搭建好的数据库环境中。查询相关表数据是否正常以及{BANNED}最佳新数据是否存在。检测没有问题后，在网站开发商的帮助下用网站代码搭建好环境，将恢复好的数据库发给用户在环境中配置好。经过用户验证后没有发现问题，确认恢复数据完整有效。本次数据恢复工作完成。