虛擬機數據恢復環(huán)境&故障：
由一臺物理服務器遷移到ESXI上的虛擬機，虛擬機遷移完成后做了一個快照，該ESXI上面一共運行了數十臺虛擬機。某天工作人員不小心將快照進行了還原，虛擬機內的數據還原到了數年前剛遷移過來時的狀態(tài)，遷移過來后的這幾年更新的數據全部被刪除。
虛擬機還原快照與刪除數據在本質上是一樣的，虛擬機刪除快照后會將底層存儲空間相應的空間釋放，然后重用這部分釋放出來的空間存儲新的數據。所以，如果一臺虛擬機不小心還原了快照，應該盡快將還原快照的虛擬機所在存儲上的所有虛擬機關機或遷移到其他ESXI上。
要恢復虛擬機數據，我們需要先了解vmfs的底層結構，vmfs是wmware自有文件系統(tǒng)，在這個文件系統(tǒng)下所有的硬盤被默認劃分為若干個區(qū)域，這些區(qū)域最小單位被稱為“block”，每個block的大小為1MB，每1024個block組成一個MAP，這些信息都記錄在文件系統(tǒng)的某一個特定區(qū)域內。每個map中的block在物理硬盤上的存儲順序是不連續(xù)的，但每個map中的所有block一定是屬于一個文件的，即FileSize=N×MAP×1024（Block）。

北亞企安數據恢復——虛擬機數據恢復

虛擬機數據恢復過程：
vmfs中如果某文件被刪除，在底層數據中只是刪除了該文件的索引項，實際數據內容和指向數據map并沒有被刪除。
1、使用北亞企安自研的數據提取工具將整個文件系統(tǒng)里面的所有空閑map提取出來。
2、在提取出來的map中找到符合快照文件頭結構的map。
3、根據文件結構提取剩下的文件碎片。
4、將所有數據提取完成后，結合原有的vmdk合成一個新的vmdk。
5、掛載新合成的vmdk文件，解釋該vmdk文件里面的數據即可。

審核編輯 黃宇