虛擬機數據恢復環境：
Linux操作系統服務器，EXT4文件系統。服務器中有數臺KVM虛擬機。

虛擬機1：主數據庫服務器
虛擬磁盤：系統盤（qcow2）+數據盤（raw）
文件系統：EXT4
主要數據：MySQL數據庫

虛擬機2：備份數據庫服務器
虛擬磁盤：系統盤（qcow2）+數據盤（raw）
文件系統：EXT4
主要數據：MySQL數據庫

虛擬機3：代碼服務器
虛擬機盤：系統盤（qcow2）+數據盤（raw）
文件系統：EXT4
主要數據：程序代碼

虛擬機故障：
KVM虛擬機被刪除，需要恢復raw格式的磁盤文件。

虛擬機數據恢復過程：
1、將故障服務器中所有磁盤標記后取出，硬件工程師檢測后沒有發現有硬盤存在硬件故障。以只讀方式將所有磁盤進行扇區級全盤鏡像，鏡像完成后按照原樣將所有硬盤還原到原服務器中。后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。
2、基于鏡像文件分析EXT4文件系統，定位被刪除虛擬機磁盤文件的節點位置，獲取磁盤文件殘留的索引信息。
3、對殘留索引信息的正確性進行檢測，修復破壞不嚴重的索引。
獲取的索引等信息：

北亞企安數據恢復—KVM虛擬機數據恢復

4、索引修復完成后，解析殘留的各級索引。從虛擬機所在的卷中提取虛擬磁盤文件。
5、根據虛擬磁盤文件的提取情況，獲取卷中未被索引到的自由空間。
6、從自由空間中獲取有效信息，嘗試對虛擬磁盤文件進行修補。
7、修補完成后校驗磁盤文件的正確性與完整性。
提取出的自由空間：

北亞企安數據恢復—KVM虛擬機數據恢復

虛擬機數據恢復結果：
1、由于索引丟失，提取出的虛擬磁盤文件并不完整，針對數據庫服務器，數據庫文件有丟失的情況，可以從自由空間中獲取數據庫頁去對數據庫文件進行修補，但由于部分頁所在區域被覆蓋占用，只能盡量多的去補頁。
2、對于存放程序代碼的服務器中的節點和目錄項丟失的情況，若節點或目錄項有殘留，可以嘗試去補齊節點和目錄項。但發現部分文件的節點和目錄項同時丟失，根據節點和目錄項之間相關聯的特性，這種情況下無法補齊。由于程序代碼文件不具備一定的規律性，若其數據區丟失，則無法補齊。
恢復出的部分目錄結構：

北亞企安數據恢復—KVM虛擬機數據恢復 北亞企安數據恢復—KVM虛擬機數據恢復

虛擬機恢復數據驗證：
在盡可能的嘗試對虛擬磁盤文件及其中的數據庫文件進行修補后，由用戶方對數據進行驗證。雖然數據有部分丟失，無法恢復，但用戶需要的數據都恢復出來了，認可數據恢復結果。

審核編輯 黃宇