Hyper-V損壞數據恢復報告

1、Hyper-V損壞數據恢復報告一、故障概述1、故障環(huán)境故障環(huán)境為Windows Server 2012服務器，系統(tǒng)中部署了Hyper-V虛擬機環(huán)境，虛擬機的硬盤文件和配置文件放在DELL MD3200存儲中（注：硬盤600G*4，4T*1）。MD3200存儲是由4塊600G硬盤組成的陣列，用作存儲虛擬機的數據文件。單塊4T硬盤用作虛擬機數據文件的備份。2、故障分析由于MD3200存儲中虛擬機的數據文件丟失，導致整個Hyper-V服務癱瘓，虛擬機無法使用。因此要以如下流程進行數據檢測：1、 對MD3200存儲服務器進行物理檢測，發(fā)現(xiàn)存儲并未出現(xiàn)物理故障，涉事硬盤均正常工作。2、 檢查操作系統(tǒng)：工

2、作正常中，未發(fā)現(xiàn)出錯進程，排除因操作系統(tǒng)BUG導致的數據丟失。3、 分析丟失數據硬盤的文件系統(tǒng)：打開正常，不符合病毒破壞的表現(xiàn)特征，同時經殺毒軟件檢測無病毒。再仔細分析硬盤的文件系統(tǒng)，發(fā)現(xiàn)此文件系統(tǒng)的源文件創(chuàng)建時間為11月28日，表明文件系統(tǒng)的創(chuàng)建時間為11月28日，與數據丟失的時間相吻合。通常這種故障表明：文件系統(tǒng)被人為重寫了，即分區(qū)被格式化了。4、 檢查系統(tǒng)日志：發(fā)現(xiàn)系統(tǒng)日志11月28號之前以及當天的系統(tǒng)日志已被清空，審核日志和服務日志卻并未清空。通常情況下，此操作應該由人為導致。而格式化分區(qū)的操作只記錄在系統(tǒng)日志中，這與上述人為破壞的表現(xiàn)相符。5、 嘗試恢復系統(tǒng)日志：仔細分析硬盤底層數據

3、，發(fā)現(xiàn)硬盤底層中需要恢復的系統(tǒng)日志已被新的日志記錄覆蓋，無法恢復。6、 分析操作系統(tǒng)中的所有分區(qū)：發(fā)現(xiàn)只有MD3200存儲中的兩個分區(qū)的文件系統(tǒng)被重新寫入文件系統(tǒng)了。通常情況下，對兩個分區(qū)的格式化需要有兩個獨立的過程，因此這種針對性的操作應該由人為導致。3、導致故障的常見途徑1、 通過在分區(qū)上“右鍵”，選擇“格式化”按鈕，可以格式化選中的分區(qū)。2、 在開始菜單“運行”中輸入“cmd”命令進入到命令行模式，然后使用FORMAT命令，可以格式化指定分區(qū)。3、 創(chuàng)建一個bat文件，在文件中寫入格式化的命令，然后運行bat文件可以格式化指定分區(qū)。4、 因為有兩個獨立的文件系統(tǒng)數據丟失，故上述的流程可能

4、被執(zhí)行了多次。應該因人為操作導致。二、解決方案概述根據前期的故障分析結果，總結出以下解決方案：1、 備份用戶數據，對丟失數據的硬盤，做全盤備份，以確保數據的安全性。2、 分析每個硬盤的數據，根據分析的結構重組RAID 陣列。3、 分析重組完的陣列，看能否找到原有的文件索引項及對應的數據區(qū)。4、 核對查到的文件索引項是否符合用戶數據，并核對相應的數據區(qū)有無破壞。5、 根據掃描到的文件索引項碎片，將其拼接成一個完整的目錄結構。6、 根據拼接好的目錄項去底層恢復對應的數據，并檢查數據是否正確。7、 核對數據沒問題后恢復所有數據。三、實施解決方案1、備份用戶數據由于數據全部都放Dell M3200存儲

5、中，因此只需要恢復Dell M3200存儲中的數據即可。將Dell M3200存儲中所有的硬盤標上編號，然后從存儲中拔下來交給硬件部門檢測硬盤是否存在物理故障。經檢測沒問題后對每塊硬盤做全盤鏡像，使用專用工具（Winhex）將硬盤中所有扇區(qū)鏡像到一塊備份硬盤中。如下圖：使用北亞專業(yè)工具（2、重組磁盤陣列鏡像完所有硬盤后，分析每塊硬盤上的數據。分析后發(fā)現(xiàn)4塊600G硬盤做了一個RAID5，另一塊4T硬盤是做為數據備份使用。仔細分析4塊600G硬盤中的數據結構，可以得出這個RAID 5的相關信息，如：條帶大小，條帶走向等信息。根據這些信息即可重組此RAID。如下圖：使用專業(yè)工具重組RAID如下圖：

6、是用專業(yè)工具打開硬盤陣列的情況3、掃描舊的文件索引項仔細分析硬盤底層數據，發(fā)現(xiàn)硬盤底層中還殘留著許多以前文件系統(tǒng)的目錄項及文件索引。經過仔細核對發(fā)現(xiàn)這些文件索引指向的數據都是用戶丟失的文件內容。但由于整個硬盤太大，人工去搜索文件索引會很慢，因此編寫一個提取文件索引項的小程序，對整個硬盤中所有存在的文件索引項做掃描，提取所有文件的文件索引項。4、分析掃描到文件索引項對掃描到的所有文件索引項做詳細的分析，發(fā)現(xiàn)其索引項都是不連續(xù)的，并且大多都是以16K或8K對齊的。正常情況下的文件索引項是連續(xù)的，大小為固定的1K，每個文件索引項對應一個文件或目錄。而掃描出來的這些不連續(xù)，并且不完整的文件索引項是無法

7、正常索引到文件的內容。因此需要對掃描出來的文件索引項做加工處理。在掃描出來的文件索引項中搜索“VHD”，能找到一個“VHD”的文件記錄。然后將這個片連續(xù)的文件索引項提取出來。接著再查看這段提取出來的文件索引項中是否有指向下一段文件索引項的記錄或者是H20屬性。如果有則根據文件索引項中的特征去匹配下一段文件索引項，如果沒有則跳過這段文件索引項。根據以上方法基本能查到大多數的文件索引項片段。而缺失的文件索引項片段有可能被破壞了，但是可以從數據備份盤中去查找缺失的文件索引項片段，因此基本可以搜索到大部分的文件索引項。如下圖：是文件索引項截圖5、將文件索引項組成完整的目錄結構根據上述方法找到所有的文件

8、索引項，然后根據文件索引項的編號將其拼接成整個目錄項結構。以下是搜索到的部分文件索引項，由于有部分文件索引項被破壞，因此只能找到大部分文件索引項，但這些文件索引項已經足以拼接成整個目錄結構了。如下圖：是掃描到的文件索引項碎片四、修復文件系統(tǒng)將重建好的目錄結構和現(xiàn)有文件系統(tǒng)中的目錄結構進行替換，然后使用專業(yè)工具修改部分校驗值。再使用專業(yè)的工具解釋這個目錄結構即可看到原有丟失的數據了。如下圖：是用專業(yè)工具解釋出來的目錄結構為了確定數據是否正確，將其中一個最新的VHD文件恢復出來。然后將其拷貝到一臺支持附加VHD的服務器上，嘗試附加此VHD。結果附加成功，檢查VHD中最新的數據是否完整。一切檢查完整后將所有數據恢復到一塊硬盤中。如下圖：是恢復出來的所有虛擬機數據文件五、驗證所有數據在一臺測試服務器上搭建Hyper-V的環(huán)境，將恢復的虛擬機文件連接到這臺服務器上。然后通過導入虛擬機的方式，將恢復的數據都遷移到新的Hyper-V環(huán)境。然后讓客戶來驗證所有虛擬機是否完整。如下圖：是虛擬機導入的過程六、遷移所有數據在客戶驗證所有虛擬機沒問題后，將所有數據拷貝至客戶服務器中。然后利用導入的方式將虛擬機導入到客戶的Hyper-V環(huán)境中。但是在導入的過程中出現(xiàn)以下錯誤：在經過查找資料后確定導入的方法不對，需要以下面的方式導入虛擬機：重新導入后沒有報