狂人阿川

本来这文章在我的博客上是centos5数据恢复手记,因为真的是给客户在恢复数据
另外小小的AD下..
快易互联,国内/美国/香港VPS提供商.三年品质保证.企业QQ:800028867,VPS仅售89/月起.速度优秀,价格低廉,全管理型7X24小时服务
但是现在看看不如叫Linux下面数据恢复软件:extundelete的详细应用比较好
客户在我这边有一台基于xen-hvm的VPS,硬盘40G,分为10G系统.30G为数据盘(挂载在/home下面).网站在/home下面.数据库安装在usr/local/.
早上客户打电话给我说.网站打不开了..本以为是很简单的问题.结果看了客户发来的网站,发现打不开,但是SSH可以登陆上去,于是常规排除:
1:关闭防火墙

1. service iptables stop //关闭防火墙

复制代码

2:重启Apache

1. service httpd restart

复制代码

报错

1. 
   
2. Syntax error on line 94 of /usr/local/apache/conf/httpd.conf:
   
3. DocumentRoot must be a directory
   
4. httpd not running, trying to start

复制代码

3:重启MySQL

1. service mysqld restart

复制代码

提示
mysqld: unrecognized service
一看这个错误..立马吓一跳,mysql服务居然没有了.历史日志,发现几行命令:

1. 
   
2.   990  ls
   
3.   991  tar -zxvf xxx_cn.tar.gz
   
4.   992  ls
   
5.   993  wget http://amysql.com/file/AMH/4.2/amh.sh
   
6.   994  chmod 775 amh.sh
   
7.   995  ./amh.sh 2>&1 | tee amh.log
   
8.   996  amh info
   
9.   997   amh ftp
   
10.   998  wget http://amysql.com/file/AMH/4.2/amh.sh
    
11.   999  chmod 775 amh.sh
    
12. 1000  ./amh.sh 2>&1 | tee amh.log
    

复制代码

一看这里不对劲.因为客户基本上不可能会配置这个AMH,于是到usr/local/目录,发现mysql目录不见了.接着到home目录,
发现wwwroot不见了..个狗日的,好狠.两个文件夹直接删光了.查询半天无果,只好着手开始恢复.
恢复数据.首先想到两款软件extundelete和ext3grep
最开始我尝试ext3grep,发现找回来全是一堆乱码文件..折腾半天未果.不过这也更加确信了数据是被人为删除的结论
截下来尝试extundelete.
1:安装前准备,先安装依赖环境

1. 
   
2. yum install gcc gcc-c++ gcc-g77
   

复制代码

2:安装e2fsprogs

1. yum install e2fsprogs* -y

复制代码

3:下载文件安装包

1. 
   
2. wget http://nchc.dl.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar.bz2

复制代码

4:解压文件

1. bunzip2 extundelete-0.2.4.tar.bz2
   
2. ls
   
3. tar xvf extundelete-0.2.4.tar
   
4. cd extundelete-0.2.4

复制代码

5:编译和安装

1. cd extundelete-0.2.4
   
2. ./configure
   
3. make
   
4. make install
   

复制代码

成功之后查看extundelete版本

1. 
   
2. [root@MyCloudServer ~]# extundelete -v
   
3. extundelete version 0.2.4
   
4. libext2fs version 1.41.12
   
5. Processor is little endian.
   

复制代码

之后着手数据恢复,查看挂载详情:

1. 
   
2. [root@MyVPS3251 ~]# df -hal
   
3. Filesystem            Size  Used Avail Use% Mounted on
   
4. /dev/mapper/VolGroup00-LogVol00
   
5.                       9.3G  5.6G  3.3G  63% /
   
6. proc                     0     0     0   -  /proc
   
7. sysfs                    0     0     0   -  /sys
   
8. devpts                   0     0     0   -  /dev/pts
   
9. /dev/xvda1             99M   29M   66M  31% /boot
   
10. tmpfs                 513M   32K  513M   1% /dev/shm
    
11. /dev/xvdb1             30G  422M   28G   2% /home
    
12. none                     0     0     0   -  /proc/sys/fs/binfmt_misc
    
13. sunrpc                   0     0     0   -  /var/lib/nfs/rpc_pipefs
    

复制代码

将/home卸载

1. 
   
2. fuser -k /home
   
3. umount /home
   

复制代码

之后执行恢复.我是直接挂载了一块新的虚拟硬盘进行数据恢复
所以直接cd到新的硬盘挂载目录执行:

1. 
   
2. extundelete /dev/VolGroup00/LogVol00 --restore-all
   
3. [root@MyCloudServer cc]# extundelete /dev/VolGroup00/LogVol00 --restore-all
   
4. NOTICE: Extended attributes are not restored.
   
5. Loading filesystem metadata ... 77 groups loaded.
   
6. Loading journal descriptors ... 31226 descriptors loaded.
   
7. Searching for recoverable inodes in directory / ...
   
8. 68 recoverable inodes found.
   
9. Looking through the directory structure for deleted files ...
   
10. Unable to restore inode 1967279 (etc/.ins.conf): Space has been reallocated.
    
11. Unable to restore inode 1967278 (etc/mtab~9471): Space has been reallocated.

复制代码

完成之后在目录下面会生成一个RECOVERED_FILES文件夹.进去之后发现wwwroot的文件已经恢复.
这是最简单的方法.之前使用ext3grep恢复浪费了大量的时间去查找Inode,结果毛都没恢复出来一根
接着需要恢复/usr/local/下面的文件.这里比较麻烦.老机器是LVM逻辑卷,不能直接挂载.所以比较麻烦

狂人阿川

接上面
首先将老机器的硬盘卸载掉.重新开通一台新的VPS,系统不要与老的一样(老的是centos5 32bit,新的我开通为centos 6 64bit)
之后将硬盘挂载到新的VPS中.
之后登陆上新的VPS,扫描卷:

1. 
   
2. [root@MyCloudServer ~]# vgscan
   
3.   Reading all physical volumes.  This may take a while...
   
4.   Found volume group "VolGroup00" using metadata type lvm2
   
5.   Found volume group "vg_have" using metadata type lvm2
   
6. [root@MyCloudServer ~]#

复制代码

激活卷

1. 
   
2. [root@MyCloudServer home]# vgchange --available y VolGroup00
   
3.   2 logical volume(s) in volume group "VolGroup00" now active
   
4. [root@MyCloudServer home]#
   

复制代码

开始扫描文件:

1. 
   
2. extundelete /dev/VolGroup00/LogVol00 --restore-all
   

复制代码

不过遗憾的是,数据库没办法恢复回来.可能是因为AMH编译的缘故.已经覆盖掉的文件,所以无法找回了..
在此提醒各位.注意备份好自己的数据库.详情参见:每日备份mysql到网站目录

1. 
   
2. xtundelete /dev/partition --restore-all  //恢复磁盘所有文件
   
3. extundelete /dev/partition --restore-directory /backup/gnutool-delete  //恢复单个目录
   
4. extundelete /dev/partition --restore-files /etc/passwd   //恢复单个文件

复制代码

PS:文章属于原创,转载请注明出处.

zl_nn

黄碟还有吗  来一张

狂人阿川

zl_nn 发表于 2014-5-30 11:13
黄碟还有吗  来一张

最近水表查的厉害.暂时不敢卖了.

杨过过

没分home,boot的 只有一个根分区，能恢复吗

狂人阿川

杨过过 发表于 2014-5-30 11:46
没分home,boot的 只有一个根分区，能恢复吗

挂在别的服务器上.激活卷,之后尝试恢复试试
文章最后面那一段有写的

狂人阿川

杨过过 发表于 2014-5-30 11:46
没分home,boot的 只有一个根分区，能恢复吗

挂在别的服务器上.激活卷,之后尝试恢复试试
文章最后面那一段有写的

子鹏

狂人阿川 发表于 2014-5-30 11:14
最近水表查的厉害.暂时不敢卖了.

那就帮我办张假证吧，要在教育部能查到的那种。

狂人阿川

子鹏 发表于 2014-5-30 11:56
那就帮我办张假证吧，要在教育部能查到的那种。

去找当年的那个入侵腾讯的朽木
他手上有chis的管理员

服务器之家

数据恢复第一步，先dd出一份原始备份。