VMWARE虚拟机数据恢复

版权申明：本文章由天问数据恢复谭云原创，转载需保留版权！
某网站空间服务商，DELL服务器，两组RAID5，一组3块146G SAS硬盘组成RAID5，用于安装的虚拟机VMWARE ESX4.0，第二组由三块1TB硬盘组成RAID5，并构成一个分区，VMFS3文件系统,此分区里面安装了数十个windows2003操作系统。数据量约1.1TB，存放了客户网站数据库等信息。凌晨3点，值班管理员巡查时一切正常，早上7点查看时，发现第二组RAID5有两块盘掉线。无法访问里面的数据，经过与管理员沟通，表示没有对VMWARE服务器做其他任何操作。

VMWARE数据恢复分析：
一、MHDD检测三块硬盘，发现有部分损坏，读取时间小于150毫秒，不影响数据正常读取。
二、winhex打开三块盘分析，0扇区有引导记录，结束标记都正常，但是分区表所指向的VMFS3卷引导记录或者linux下的超级块，全部为00H，初步断定，VMFS3文件系统的超级快类似于RFS文件系统，有一部分的保留扇区。
三、 三块盘同时向下查找卷引导记录，没有发现任何踪迹。同时发现一号盘的0-500G之间居然全部为00，异或不通过。从大约600G的位置开始异或通过。分析出VMWARE的RAID5的盘序，块大小，数据走向，校验方向等参数，用winhex重组。winhex也不能识别这类文件系统（0xfb）。重组成功后，接下来是如何验证数据，或者提取里面的数据，方法一，利用ufs4.6.1查看里面数据，遗憾的是，不支持此类文件系统。方法二，利用linux下的vmfstools预览数据，同样也失败，安装ubuntu，下载vmfstools，只能识别该盘为RAID组建，无法识别里面的VMFS分区。

解决办法
将重组后的VMWARE RAID5恢复到一个2TB的硬盘里面，由于是从0扇区开始镜像，RAID5的LBA值大于2TB硬盘LBA，丢弃后面的部分扇区。经过一晚镜像，RAID数据全部恢复到单盘。
验证VMFS分区数据
在单盘上安装VMWARE ESX4.0，连接恢复出来的2TB硬盘，访问服务器，用VMWARE添加此硬盘，分区识别。但是验证里面的SERVER2003时，启动过程中报系统错误。执行chkdsk c: /f命令，重启后，正常进入系统。验证其他MSSQL数据库，一切正常。至此数据恢复成功！

作者：天问数据恢复    谭云     www.raiddb.com