VMware虚拟机配置文件丢失的数据恢复案例

服务器数据恢复环境：

一台某品牌PowerEdge系列服务器和一台PowerVault系列存储，上层是ESXI虚拟机文件，虚拟机中运行SQL Server数据库。

服务器故障：

机房非正常断电导致虚拟机无法启动。管理员检查虚拟机发现虚拟机配置文件丢失，所幸的是xxx-flat.vmdk磁盘文件和xxx-000001-delta.vmdk快照文件没有丢失。管理员尝试恢复虚拟机，将原虚拟机的xxx-flat.vmdk删除后新建了一个虚拟机，分配了几百GB的精简模式和几百GBGB的快照数据盘，但是并没有将原虚拟机内的数据恢复出来。

服务器数据恢复过程：

1、将挂载在VMware vSphere Client上的卷卸载后做镜像备份，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始数据造成二次破坏。

2、经过对镜像文件进行检测&分析后发现：a、断电导致虚拟机目录项已经损坏;b、删除文件操作导致文件的数据区索引被清除;c、重建虚拟机操作导致分配给新建虚拟机的磁盘空间的数据底层被清零。前两种情况可以通过人工修复来恢复数据，但如果第三种情况是新建虚拟机的磁盘空间占用了原虚拟机的释放空间，这部分空间的数据则无法恢复，需要进一步检测才能确定是否出现这种情况。

虚拟机目录项:

北亚企安数据恢复——VMware虚拟机数据恢复

3、数据恢复工程师分析底层数据，在自由空间内排查被删除的虚拟机磁盘区域，扫描这部分区域发现了大量的碎片并拼接&重组这些碎片，但是经过拼接&重组后发现有部分碎片文件缺失，只能暂时将缺失的文件碎片位置留空。

4、利用虚拟磁盘快照程序将重组好的父盘和快照盘合并，生成一个新的虚拟磁盘。

5、解释虚拟磁盘中的文件系统，因为数据缺失，文件系统解释过程中出现很多报错，提示某些文件损坏。

文件系统解释结果:

北亚企安数据恢复——VMware虚拟机数据恢复

6、在解析完文件系统后发现没有找到原始的数据库文件。宏桥备份和索菲备份这两个目录的目录结构正常，但是在尝试将备份导入到数据库中时提示报错。

宏桥备份和索菲备份的部分目录结构：

北亚企安数据恢复——VMware虚拟机数据恢复

导入.BAK文件报错信息:

北亚企安数据恢复——VMware虚拟机数据恢复

7、根据SQL Server数据库的结构去自由空间中找到数据库的开始位置。SQL Server数据库的库名通常在库的第九页内，根据这一特性在底层扫描数据库页碎片，然后利用扫描出来的碎片重组mdf文件，在本案例中除了cl_system3.dbf和erp42_jck.dbf因有部分碎片

没有找到外(极有可能被覆盖了)，其余数据库均校验成功。

校验完的MDF文件：

北亚企安数据恢复——VMware虚拟机数据恢复

cl_system3.dbf文件中某个碎片丢失的区域：

北亚企安数据恢复——VMware虚拟机数据恢复

8、详细检查备份文件依然没有找到这两个丢失的文件，只有部分增量备份文件。由于erp42_jck.dbf文件中只缺失少量的页，根据缺失的页号在增量备份中查找，再将找到的页补到erp42_jck.dbf文件中，通过这个办法可以恢复一部分丢失的数据库页。但是补完后发现还是缺失部分页，无法正常使用。

9、通过北亚企安自主开发的数据库解析程序将erp42_jck.dbf文件中重要的几十张表导出，并导入到新建的数据库中，恢复出缺失的文件。

10、重新搭建原始环境，将恢复出来的数据导入到新搭建的环境中，由用户亲自验证数据库的完整性，验证后确认所有数据完整、数据库挂载成功、上层应用运行正常，本次数据恢复工作完成。

审核编辑：汤梓红