| 基于VMware-VMvisor，ESXI5.1的虚拟机的数据恢复：
威海某部服务器，修复恢复地点，烟台
情况：
1、三块SAS500G硬盘，两块掉线；无法启动，客户不知道掉线硬盘是同时还是有先后，也不知道哪一块硬盘先掉线，即情况不确定！
2、查看硬盘0号，前部数据为0，2号盘数据基本为0，在1CX位置有几个数，3号盘0扇区也不完整！
初步分析情况：
1、分析一些区块，确定条带大小128K、数据连续性、校验块；确定磁盘次序、阵列类型，为0-1-2左循环同步，条带大小128K！
2、组合数据，02、01、12号盘缺盘组合，进行分别分析，02号的分区不全，但是4G分区中的日志文件有1M大小，文件连续；同样的文件在01、12组合中有乱码！
只有12号组合有EFI分区（1扇区）和分区表（2-3扇区），8号扇区似乎是主引导记录；初步判断1号盘数据有问题；
进一步工作：
1、对02、12组合分别完全镜像至其它硬盘；
2、对镜像硬盘进行参数修复，因为原8扇区数据与其它虚拟机0扇区内容几乎完全一样，判断其即是原raid5存储的主引导扇区0扇区，将其复制至0扇区，清除8扇区数据
3、将2T大小SATA镜像盘设置为1953546336，接到服务器并配置，用硬盘试图引导服务器失败，原因存储区有错误，总是显示bank6没有；通过重新安装修复系统不成功，原因分区参数改变、GUID改变、存储区一些头部数据改变等等；实际原因是原raid中有数据破坏；实际上比较安装前后，0扇区EFI扇区分区表及各分区的头部参数都有变化，存储区的头部也有变化；另外存储区数据是集中存储的，例如一些虚拟机后面有很大一部分的空间是0，6个虚拟机实际的物理数据是连续存放的，没有涉及到没有使用的空空间，这部分被压缩掉了。
4、组合各个分区，分别提取前部10229760数据，比较组合，得出并提出无误的分区物理扇区为文件，分别写这些正确的数据到整盘镜像盘的相应扇区，写正确的主引导记录、EFI分区表到镜像盘；当然也包括重新纠正写盘尾的EFI备份和分区表备份，重新写一定长度数据区前部有数据的部分（纠正安装时的破坏）；
几次尝试后，通过完全修复原系统环境，以正常启动系统是极其麻烦的，看来也是不现实的！决定直接提取虚拟机，客户不仅仅要求数据，而是虚拟机的完整；
在对镜像盘修复的基础上，对虚拟机存储进行分析，第一次提取了300G、40G两个虚拟机，其它的没有发现；再次修改，第二次提取了100G、50G两个虚拟机，路径完整，用WHX打开没有问题；第三次文件名称和路径都丢失，大小都是是40G，但是打开是正常的，应该没有问题；这样6个虚拟机恢复完成。 |
