虛擬機(jī)數(shù)據(jù)恢復(fù)環(huán)境&故障：
由一臺(tái)物理服務(wù)器遷移到ESXI上的虛擬機(jī)，虛擬機(jī)遷移完成后做了一個(gè)快照，該ESXI上面一共運(yùn)行了數(shù)十臺(tái)虛擬機(jī)。某天工作人員不小心將快照進(jìn)行了還原，虛擬機(jī)內(nèi)的數(shù)據(jù)還原到了數(shù)年前剛遷移過(guò)來(lái)時(shí)的狀態(tài)，遷移過(guò)來(lái)后的這幾年更新的數(shù)據(jù)全部被刪除。
虛擬機(jī)還原快照與刪除數(shù)據(jù)在本質(zhì)上是一樣的，虛擬機(jī)刪除快照后會(huì)將底層存儲(chǔ)空間相應(yīng)的空間釋放，然后重用這部分釋放出來(lái)的空間存儲(chǔ)新的數(shù)據(jù)。所以，如果一臺(tái)虛擬機(jī)不小心還原了快照，應(yīng)該盡快將還原快照的虛擬機(jī)所在存儲(chǔ)上的所有虛擬機(jī)關(guān)機(jī)或遷移到其他ESXI上。
要恢復(fù)虛擬機(jī)數(shù)據(jù)，我們需要先了解vmfs的底層結(jié)構(gòu)，vmfs是wmware自有文件系統(tǒng)，在這個(gè)文件系統(tǒng)下所有的硬盤被默認(rèn)劃分為若干個(gè)區(qū)域，這些區(qū)域最小單位被稱為“block”，每個(gè)block的大小為1MB，每1024個(gè)block組成一個(gè)MAP，這些信息都記錄在文件系統(tǒng)的某一個(gè)特定區(qū)域內(nèi)。每個(gè)map中的block在物理硬盤上的存儲(chǔ)順序是不連續(xù)的，但每個(gè)map中的所有block一定是屬于一個(gè)文件的，即FileSize=N×MAP×1024（Block）。

北亞企安數(shù)據(jù)恢復(fù)——虛擬機(jī)數(shù)據(jù)恢復(fù)

虛擬機(jī)數(shù)據(jù)恢復(fù)過(guò)程：
vmfs中如果某文件被刪除，在底層數(shù)據(jù)中只是刪除了該文件的索引項(xiàng)，實(shí)際數(shù)據(jù)內(nèi)容和指向數(shù)據(jù)map并沒(méi)有被刪除。
1、使用北亞企安自研的數(shù)據(jù)提取工具將整個(gè)文件系統(tǒng)里面的所有空閑map提取出來(lái)。
2、在提取出來(lái)的map中找到符合快照文件頭結(jié)構(gòu)的map。
3、根據(jù)文件結(jié)構(gòu)提取剩下的文件碎片。
4、將所有數(shù)據(jù)提取完成后，結(jié)合原有的vmdk合成一個(gè)新的vmdk。
5、掛載新合成的vmdk文件，解釋該vmdk文件里面的數(shù)據(jù)即可。

審核編輯 黃宇