beiya123的博客

2、基于镜像文件分析所有硬盘底层数据，发现服务器中虚拟机的磁盘是通过LVM来管理的，即每个虚拟机的虚拟磁盘都是一个LV，虚拟磁盘采用精简模式。LVM的相关信息记载在Xen Server中，查看LVM的相关信息发现并没有存在损坏的虚拟磁盘信息，因此可以断定LVM的信息已经被更新了。根据RAR压缩包的结构找到压缩包的数据开始位置，RAR压缩包文件的第一个扇区中会记录此RAR的文件名。根据从用户方获取到的备份数据库的压缩包文件名和找到的压缩包的文件名相匹配，即可找到备份数据库压缩包的开始位置。

基于镜像文件分析服务器上层数据，发现硬盘掉线导致了上层虚拟机文件系统被破坏，北亚企安数据恢复工程师分析后决定通过拼接文件碎片的方式恢复数据。经过验证发现这两个目录十分相似，数据恢复工程师详细对比了这2个目录中的目录、文件、底层数据，发现两个目录中的数据完全一致，确认其中一个目录为备份数据。6、服务器数据恢复工程师继续对不完整的数据部分进行提取、拼接、手动修复，最终恢复出服务器内的所有数据。经用户方工程师的验证，确认服务器上层虚拟机可以正常使用，数据完整，本次数据恢复工作完成。

服务器数据恢复环境：某公司一台存储上有一组由15块硬盘组建的raid5阵列。raid5阵列上层是一个xfs裸分区，起始位置是0扇区。服务器故障：raid5阵列中有一块硬盘出现故障掉线，热备盘自动上线同步数据，数据同步还没有完成的情况下磁盘阵列中又有一块硬盘掉线，数据同步过程中断，阵列崩溃。

◆　ESX SERVER常见故障：a、因光纤存储设备连接至非ESX环境，共享互斥失败，对存储改写（重装系统，WINDOWS初始化，格式化等），导致存储结构损坏；b、升级/变更卷时分区表或VMFS卷结构异常；c、误删除VMFS存储中虚拟机/文件；d、误删除/重建数据存储。

VMware虚拟化平台vmfs文件系统工作人员误操作重装操作系统，服务器崩溃。重装系统会导致文件系统元文件被覆盖。要恢复数据，必须找到&提取重装系统前的文件系统残留信息，通过提取出来的元文件信息恢复虚拟磁盘。通过拼接虚拟磁盘来恢复服务器数据。

VMware vsan架构采用2+1模式。每台设备只有一个磁盘组（7+1），缓存盘的大小为240GB，容量盘的大小为1.2TB。由于其中一台主机（0号组设备）的缓存盘出现故障，导致VMware虚拟化环境中搭建的2台虚拟机的磁盘文件（vmdk）丢失。

根据组件中的runlist找到每个数据块和该块在组件的逻辑位置，北亚企安数据恢复工程师编写程序提取完整组件。9、根据组件信息中的描述信息，将组件按照描述信息中记录的RAID级别和各个组件在对象中的逻辑位置进行组合，拼接出完整的对象（vmdk文件）。可能每个组件都会有部分数据留在缓存盘上，并没有写入到数据盘中，于是北亚企安数据恢复工程师编写程序将缓存盘上的数据刷新到对应的组件或对象中。根据底层记录的磁盘ID等信息，北亚企安数据恢复工程师整理记录节点、磁盘组、缓存盘、数据盘等信息和对应关系。

物理区：物理上连续的磁盘空间，即通常意义上的分区。本地区：VMFS管理的物理区分为保留区和本地区，前面一部分是保留区，后面部分是本地区。本地区又分为元文件区和数据区。元文件：与NTFS的元文件类似，属于FS的管理用数据。VMFS有6个元文件：.VH.SF/.FBB.SF/.FDC.SF/.SBC.SF/.PBC.SF/.PB2.SF。元文件区：6个元文件占用的所有空间，在本地区的前面部分。

某单位信息管理平台，数台VMware ESX SERVER共享一台某品牌DS4100存储。vc报告虚拟磁盘丢失，管理员ssh到ESX中执行fdisk -l查看磁盘，发现STORAGE中的分区表不见了。重启所有设备后，ESX SERVER均无法连接到DS4100存储中的STORAGE。

在Vmfs文件系统中，删除一个文件只会删掉文件的索引项，而不会删掉文件的实际数据以及指向数据的MAP。只需要提取出整个vmfs文件系统中空闲的MAP，然后在空闲的MAP中找到一个符合快照文件头结构的MAP。MAP记录的1M大小的Block在物理磁盘上不一定是连续的，但MAP所记录的所有1M大小的Block一定是同一个文件的。4、新的vmdk中包含了所有的数据，挂载新的vmdk并使用北亚企安自主开发的程序解释vmdk中的数据。2、根据快照文件的结构，提取快照文件剩下的碎片。

虚拟化数据恢复环境：SAN环境下通过iSCSI实现FreeNAS，FreeNAS采用的UFS2文件系统。物理存储架构在一台服务器上，另外两台服务器上安装ESXi虚拟化系统。整个存储建立一个稀疏模式的文件，并挂载到ESXi虚拟化系统上。ESXi系统上有5台虚拟机。虚拟化故障：一次异常断电后，ESXi虚拟化系统连不上存储。

服务器虚拟化数据恢复环境：某品牌720服务器中有一组通过同品牌、型号为H710P的RAID卡+4块STAT硬盘组建的RAID10磁盘阵列。上层部署XenServer虚拟化平台。1台Windows Server操作系统虚拟机，该虚拟机有2块虚拟磁盘（系统盘+数据盘），当作网站服务器使用。服务器虚拟化故障：XenServer虚拟机不可用，虚拟磁盘中数据丢失。

虚拟化数据恢复环境：Windows Server操作系统服务器上部署Hyper-V虚拟机环境。虚拟机的硬盘文件和配置文件存放在一台存储中，该存储上有一组由4块硬盘组建的raid5阵列，除此之外，还有一块单盘存放档虚拟机的备份文件。虚拟化故障&检测：存储中存放的虚拟机数据文件丢失，导致整个Hyper-V服务瘫痪，虚拟机无法使用。

虚拟化数据恢复环境：某企业信息管理平台， 几台VMware ESX Server主机共享一台存储设备，大约有几十台虚拟机。虚拟化故障&原因：Vcenter报告虚拟磁盘丢失。管理员通过ssh远程到ESX中执行fdisk -l命令查看磁盘，发现STORAGE已经没有分区表了。重启所有设备后，ESX SERVER均无法连接到存储设备中的STORAGE。

虚拟化数据恢复环境：某品牌服务器（部署VMware EXSI虚拟机）+同品牌存储（存放虚拟机文件）。虚拟化故障：意外断电导致服务器上某台虚拟机无法正常启动。查看虚拟机配置文件发现这台故障虚拟机除了磁盘文件以外其他配置文件全部丢失，xxx-flat.vmdk磁盘文件和xxx-000001-delta.vmdk快照文件还在。管理员联系VMware工程师寻求帮助。VMware工程师尝试新建一个虚拟机来解决故障，但发现ESXi存储空间不足。于是将故障虚拟机下的xxx-flat.vmdk磁盘文件删除。

服务器数据恢复环境：一台服务器中有一组由4块STAT硬盘通过RAID卡组建的RAID10阵列，上层是XenServer虚拟化平台，虚拟机安装Windows Server操作系统，作为Web服务器使用。服务器故障：因机房异常断电导致服务器中一台VPS（Xen Server虚拟机）不可用，虚拟磁盘文件丢失。

虚拟化技术原理是将硬件虚拟化供不同的虚拟机使用，一台物理机上可以有多台虚拟机。人为误操作或者物理机故障会导致上层虚拟机不可用，甚至虚拟机里的重要数据丢失。下面给大家分享一个vmware虚拟化误操作还原快照的数据恢复案例。虚拟化数据恢复环境：一台由物理机迁移到EXSI上面的虚拟机，迁移完成后做了一个快照。该虚拟机上运行SQL Server数据库，记录了几年的数据。EXSI虚拟化平台上一共有数十台虚拟机，EXSI连接了一台EVA存储，所有的虚拟机（包括故障虚拟机）都放在EVA存储上。

2、对于存放程序代码的服务器中的节点和目录项丢失的情况，若节点或目录项有残留，可以尝试去补齐节点和目录项。1、由于索引丢失，提取出的虚拟磁盘文件并不完整，针对数据库服务器，数据库文件有丢失的情况，可以从自由空间中获取数据库页去对数据库文件进行修补，但由于部分页所在区域被覆盖占用，只能尽量多的去补页。在尽可能的尝试对虚拟磁盘文件及其中的数据库文件进行修补后，由用户方对数据进行验证。2、基于镜像文件分析EXT4文件系统，定位被删除虚拟机磁盘文件的节点位置，获取磁盘文件残留的索引信息。虚拟机1：主数据库服务器。

虚拟化数据恢复环境：一台服务器上部署的Hyper-V虚拟化平台，虚拟机的硬盘文件和配置文件放在一台某品牌MD3200存储中。该存储中有一组由4块硬盘组建的raid5磁盘阵列，还有一块大容量硬盘存放虚拟机数据文件的备份。虚拟化故障：MD3200存储中虚拟机数据文件丢失，导致Hyper-V服务瘫痪，虚拟机无法使用。

由于erp42_jck.dbf文件中只缺失少量的页，因此可以根据缺失的页号在增量备份中查找，再将找到的页补到erp42_jck.dbf文件中，通过这种方式可以恢复一部分丢失的数据库页。根据删除虚拟磁盘文件中的文件系统以及文件类型在VMFS卷的自由空间中匹配和合并碎片，恢复删除的虚拟磁盘文件。b、人为删除某个文件，则目录项对应的数据区索引会被清掉，不会影响文件的实际数据，这种情况可根据删除虚拟磁盘文件中的文件系统以及文件类型，通过在VMFS卷自由空间中匹配和合并碎片的方法来恢复删除的虚拟磁盘文件。

针对存放程序代码的服务器中节点和目录项丢失的情况，若节点或目录项有残留，可以尝试去补齐节点和目录项。由于部分文件的节点和目录项同时丢失，根据节点和目录项之间相关联的特性，这种情况下无法补齐节点和目录项。1台服务器，Linux操作系统+EXT4文件系统，部署了数台KVM虚拟机，每台虚拟机包含一个qcow2格式的磁盘文件，和一个raw格式的磁盘文件。5、根据虚拟磁盘文件的提取情况，获取卷中未被索引到的自由空间。4、完成索引的修复后解析服务器中残留的各级索引，从虚拟机所在的卷中提取虚拟磁盘文件。

服务器存储数据恢复环境：EMC Isilon S200集群存储，共三个节点，每节点配置12块SATA硬盘。服务器存储故障：工作人员误操作删除虚拟机，虚拟机中数据包括数据库、MP4、AS、TS类型的视频文件等。需要恢复数据的虚拟机通过NFS协议共享到ESX主机，视频文件通过CIFS协议共享给虚拟机（WEB服务器）。通过NFS协议共享的所有数据（虚拟机）被删除，而通过CIFS协议共享的数据没有被删除。

9、针对存放程序代码的服务器中的节点和目录项丢失的情况，若节点或目录项有残留，可以尝试去补齐节点和目录项。如果文件的节点和目录项同时丢失，在这种情况下，根据节点和目录项之间相关联的特性则无法补齐节点和目录项。针对运行数据库的服务器中的数据库文件有丢失的情况，可以通过从自由空间中获取数据库页的方式去修补数据库文件。7、从自由空间中获取有效信息，尝试修补虚拟磁盘文件的节点，目录项以及虚拟磁盘文件中的数据库页等数据。4、完成索引的修复后解析服务器中残留的各级索引，从被误删除虚拟机所在的卷中提取虚拟磁盘文件。

虚拟化技术原理是将硬件虚拟化给不同的虚拟机使用，利用虚拟化技术可以在一台物理机上安装多台虚拟机。误操作或者物理机器出现故障都会导致虚拟机不可用，虚拟机中的数据丢失。虚拟化数据恢复环境：有一台虚拟机是由物理机迁移到ESXI上面的，迁移完成后为该虚拟机做了一个快照。虚拟机上运行了一个SQL Server数据库，记录了5年左右的数据。该ESXI上共有二十几台虚拟机，EXSI连接一台某品牌EVA存储，所有的虚拟机（包括故障虚拟机）都存放在该EVA存储上。

服务器存储故障：某单位同友存储，存储设备中若干磁盘组建了raid5磁盘阵列。未知原因导致存储设备崩溃无法启动，raid5阵列上层的虚拟机全部丢失，其中存放了重要数据的3台虚拟机需要恢复。

服务器数据恢复环境：某品牌EVA某型号存储中部署VMware ESXi虚拟化平台，数据盘（精简模式）+快照数据盘，虚拟机中有mysql数据库。服务器故障：机房意外断电导致该存储中的一台VMware虚拟机无法启动，管理员清空cache并尝试重新启动该虚拟机 ，问题依旧，无法成功启动虚拟机。用户方联系到我们数据恢复中心要求恢复该无法启动的虚拟机中的数据。

一台某品牌服务器，通过FreeNAS来做iSCSI，然后使用两台同品牌服务器做ESXi虚拟化系统。FreeNAS层为UFS2文件系统，使用整个存储建一个稀疏模式的文件，挂载到ESXi虚拟化系统。ESXi虚拟化系统中有3台比较重要的虚拟机，这几台虚拟机情况如下：1、windows server操作系统，运行门户网站，采用ASP.net+PHP混合构架，部署的SqlServer和mysql数据库 。2、FreeBSD操作系统，运行Mysql数据库，供其他多台虚拟机使用。3、windows server系

KVM是Kernel-based Virtual Machine的简称，是一个开源的系统虚拟化模块，自Linux2.6.20版本之后集成在Linux的各个主要发行版本中。KVM使用Linux自身的调度器进行管理。本案例中的服务器操作系统为Linux，文件系统为EXT4。操作系统上的部署的几台KVM虚拟机被删除，每台KVM虚拟机包含一个qcow2格式的磁盘文件和一个raw格式的磁盘文件，用户需要恢复的数据是raw格式的磁盘文件。这几台被误删除的虚拟机存放的是数据库，程序代码等数据。

某公司的信息管理平台，通过3台虚拟机共享了一台存储设备供企业内部使用，存储设备中存放了公司内部重要的数据文件。由于业务增长的需要，管理员又在这个存储网络上连接了一台Windows server服务器，结果这台存储变得不可用了。管理员对该存储进行故障排查时发现存储中虚拟磁盘丢失，分区表丢失。重启该存储设备后故障依旧。

一台某品牌EVA存储异常断电，存储上的一台ESXI虚拟机无法启动，该虚拟机里存放的是mysql数据库。发现虚拟机无法启动后，管理员重启存储和服务器，重启设备后虚拟机仍然无法启动。由于数据涉密，管理员联系我们数据恢复中心要求数据恢复工程师到现场恢复数据。

NetApp存储数据恢复环境：北京某公司的一台NetApp某型号存储，通过96块磁盘组建了两组存储池，这2组存储池互为镜像。存储池内划分卷并映射到ESXI作为数据存储使用，卷内有几百台虚拟机。NetApp存储故障：操作过程中由于未知原因导致卷丢失，卷内虚拟机无法访问。管理员对该NetApp存储进行检查并试图恢复数据但是没有成功，于是联系我们数据恢复中心恢复数据。

VSAN数据恢复环境：由四台某品牌服务器组建的VSAN集群，每台节点服务器上有两个磁盘组。每个磁盘组中有1块SSD硬盘+5块SAS硬盘，SSD作为闪存，SAS硬盘作为容量盘。VSAN故障：VSAN集群中一个节点服务器上其中一个磁盘组中的容量盘出现故障离线，VSAN开始数据的重构迁移，数据迁移还没有完成的时候机房停电导致数据迁移中断。来电后启动所有设备后，管理员发现另一个磁盘组中的两块容量盘出现故障离线，VSAN数据存储出现问题。VSAN管理控制台可以登录，但是所有虚拟机都无法访问。

服务器数据恢复环境：dell某型号服务器中有一组通过raid卡组建的raid10，该raid阵列中一共有4块磁盘。上层部署XenServer虚拟化平台，作为网站服务器使用。服务器故障：服务器异常断电导致服务器上的一台虚拟机不可用。需要恢复这台虚拟机上的数据库数据。

由一台物理服务器迁移到ESXI上的虚拟机，虚拟机迁移完成后做了一个快照，该ESXI上面一共运行了数十台虚拟机。某天工作人员不小心将快照进行了还原，虚拟机内的数据还原到了数年前刚迁移过来时的状态，迁移过来后的这几年更新的数据全部被删除。

虚拟机数据恢复环境：某品牌R710服务器+MD3200存储，上层是ESXI虚拟机和虚拟机文件，虚拟机中存放有SQL Server数据库。虚拟机故障：机房非正常断电导致虚拟机无法启动。服务器管理员检查后发现虚拟机配置文件丢失，所幸xxx-flat.vmdk磁盘文件和xxx-000001-delta.vmdk快照文件还在。服务器管理员在尝试恢复虚拟机的过程中，将原虚拟机内的xxx-flat.vmdk删除后新建了一个虚拟机，并分配了精简模式的虚拟机磁盘和快照数据盘，但原虚拟机内的数据并没有恢复。

Windows Server操作系统服务器，部署Hyper-V虚拟化环境，虚拟机的硬盘文件和配置文件存放在某品牌MD3200存储中，MD3200存储中有一组由4块硬盘组成的raid5阵列，存放虚拟机的数据文件；另外还有一块硬盘存放虚拟机数据文件的备份。

服务器数据恢复环境：一台服务器，虚拟化系统为esxi，上层使用iSCSI的方式实现FC SAN功能，iSCSI通过FreeNAS构建。FreeNAS采用了UFS2文件系统，esxi虚拟化系统里有3台虚拟机：其中一台虚拟机安装FreeBSD系统，存放数据库文件；一台虚拟机存放网站数据；一台虚拟机安装Windows server系统，存放数据库数据和程序代码。服务器故障：机房供电不稳，服务器非正常关机，重启服务器后发现ESXI虚拟化系统无法连接存储。工作人员对服务器进行故障排查，发现UFS2文件系统出

服务器数据恢复环境：某品牌720服务器搭配该品牌某型号RAID卡，使用4块STAT硬盘组建了一组RAID10阵列。服务器上部署XenServer虚拟化平台，系统盘 +数据盘两个虚拟机磁盘。虚拟机上安装的是Windows Server操作系统，作为Web服务器使用，网站使用的是SQLServer数据库。服务器故障：服务器意外断电导致XenServer中一台VPS（XenServer虚拟机）不可用，虚拟磁盘文件丢失。

VMware虚拟化，vmfs文件系统，共3块磁盘。工作人员误操作将VMware虚拟化重装系统，服务器崩溃。正常情况下，重装系统会导致文件系统元文件被覆盖。要恢复数据须找到重装系统前的文件系统残留信息并提取出来，根据提取出来的元文件信息来拼接&恢复虚拟磁盘，然后提取&恢复服务器数据。

服务器数据恢复环境：一台某品牌x3950 X6型号服务器，linux操作系统，12块硬盘组建了一组raid阵列，上层运行VMwave ESX虚拟化平台。服务器故障：在服务器运行过程中，该raid阵列中有硬盘掉线，linux操作系统瘫痪，运行的5组VMwave ESX系统无法运行。北亚企安数据恢复工程师将故障服务器中磁盘编号后取出，交由硬件工程师检测物理故障，经过检测发现故障服务器中的所有硬盘不存在物理故障。初步判断是esx文件系统损坏导致的linux操作系统瘫痪。