虚拟化数据恢复—误还原快照的数据恢复案例

虚拟化数据恢复环境&故障：
vmfs文件系统，存储的数据是SqlServer数据库及其他办公文件。
工作人员误将快照还原，导致了SqlServer数据库数据的丢失，需要恢复原来的SqlServer数据库文件。

虚拟化数据恢复过程：
1、拿到磁盘后，硬件工程师对其进行硬件故障检测，并没有发现硬盘存在硬件故障。在只读环境下对硬盘进行完整镜像。镜像完成后将磁盘还原到原环境中。后续的数据分析和数据恢复操作都基于镜像文件进行。避免对原始磁盘数据造成二次破坏。
镜像完成后，北亚企安数据恢复工程师根据底层数据情况制定了数据恢复方案：
a、通过恢复快照文件修复数据库。
b、通过拼接数据库碎片修复数据库。

2、通过恢复快照文件修复数据库：
a、根据研究出来的vmfs结构和虚拟机底层数据情况，北亚企安数据恢复工程师编写程序扫描底层数据，提取虚拟磁盘的元信息PBC、SBC。
b、扫描到PBC，SBC信息后，尝试拼接丢失的快照文件并进行验证。经过验证发现扫描出来的PBC，SBC存在较多损坏，无法利用现有的信息拼接快照文件。该方案不可行。

3、通过拼接数据库碎片修复数据库：
a、据vmfs索引和位图信息扫描数据，提取虚拟磁盘的剩余空间。
b、北亚企安数据恢复工程师编写数据扫描程序，扫描和提取剩余空间内的数据库页信息。
c、经过与用户方的沟通，确认需要恢复的数据库名称及表名。根据扫描到的数据库页信息和用户提供的数据库名字和表名字，查找丢失数据库页。
d、提取数据库页信息后进行人工比对，确认需要恢复的数据库信息。编写数据库拼接程序并调整相关系数，拼接&重组扫描出的数据库碎片文件，恢复数据库文件。
e、经过验证，数据库可以正常打开和使用。交由用户方验证，经过验证确认恢复出来的数据完整有效。

虚拟化数据恢复结果：
由于vmfs文元信息损坏较多，无法拼接出快照文件。通过扫描虚拟磁盘剩余空间来获取数据库页信息，根据丢失数据库名字、表名字查找相关页信息，提取并拼接数据库碎片，最终恢复数据库数据。

审核编辑 黄宇