虚拟机恢复镜像文件后，数据还能否找回，核心要看恢复动作是“覆盖”还是“回滚”，并且恢复后的第一时间你是否停止了写入操作，多数情况下，被覆盖前的数据依然有抢救空间，但成功率会随后续使用快速下降。
虚拟机恢复镜像文件后，数据还能找回吗？先判断这3种情况
恢复镜像这个动作在虚拟机世界里是个“笼统说法”，不同操作对应的数据命运完全不同，先对号入座，再谈找回方法。
快照回滚和镜像恢复的区别，直接决定找回概率
快照回滚是把虚拟磁盘退回到某个时间点,例如你给VMware虚机打了快照，第二天又装了新软件，第三天把自带的“恢复到快照”点了，此时虚拟磁盘中“新软件对应的文件”并没有被物理删除，而是被标记为不可见，因为快照链是增量结构，新数据块仍然留在底层文件里，只要后续没有大量写入，用工具扫描虚拟磁盘文件，有很大概率把文件抠出来。
镜像恢复则不同,如果你把整个虚拟机的vmdk或qcow2镜像文件用备份直接覆盖回去，原数据块会被新镜像内容替换，但这里有个关键细节：文件系统层面删除或覆盖不等于物理擦除，即便虚拟机内部看到的是全新系统，底层虚拟磁盘上可能仍然残留旧数据碎片，只是文件系统索引已经没了，能否找回，取决于镜像恢复时是全盘写入还是稀疏写入，以及恢复后是否立刻开机运行。
虚拟机恢复镜像文件后覆盖了原磁盘，还有机会吗？
如果恢复镜像时选择了“覆盖原文件”，并且虚拟机已经启动并运行了一段时间，那么大概率会覆盖掉原有数据块，此时找数据的性质近似于“从格式化硬盘中找文件”，需要使用更底层的扫描工具，如果只是恢复了镜像但虚拟机一直处于关机状态，那么原数据几乎原封未动，恢复成功率极高。
宿主机分区也被重新指向了？那属于另一层灾难
有些人在恢复虚拟机镜像时,误操作把宿主机上的其他分区也格式化了，这种情况不再只是虚拟机内部数据问题，而是宿主机文件系统重建，你需要的不是虚拟机恢复工具，而是物理磁盘数据恢复方案，后续操作也要先把虚拟磁盘文件提取出来，再考虑内部数据。
尝试找回数据前，先按这三步自检
顺序很重要,做错一步就可能让数据彻底消失，跟着下面做，能避免二次破坏。
- 第一步：确认虚拟磁盘文件还有没有副本。 检查备份目录、快照存储目录、临时文件夹，找到所有同名vmdk/qcow2/vhd文件，记录文件大小和修改时间，多个时间点副本意味着你有多个恢复源。
- 第二步：检查虚拟机平台的“恢复”选项。 VMware的“快照管理器”里如果还有旧快照，可以尝试通过“转到”某个历史快照来找回数据，而不是直接恢复镜像，Hyper-V的“检查点”同样可以回到之前状态，这个操作只改虚拟机的当前状态，不会破坏虚拟磁盘文件。
- 第三步：立即停止对该虚拟磁盘的一切写入。 包括关闭虚拟机、从虚拟光驱弹出ISO、断开共享文件夹连接，如果虚拟机正在使用某个虚拟磁盘，先挂起或关机，但不要执行“删除快照”操作这个动作会合并增量文件，让旧数据被真正覆盖。
虚拟机镜像恢复失败，数据找回的实操步骤
自检完成后,如果确认原数据已经在镜像内部，就可以尝试手动提取，不同虚拟化平台对应不同的命令和工具，下面给出可验证的操作路径。
用命令查看镜像结构，判断数据块是否完整
如果你用的是KVM或QEMU,打开终端执行：
qemu-img info /var/lib/libvirt/images/yourdisk.qcow2这个命令能显示镜像的磁盘大小、实际占用、快照层数，如果输出中出现backing file，说明该镜像有基础层，恢复时要连同基础层一起处理，VMware用户可以用vmware-vdiskmanager工具，查看vmdk的分割情况和描述文件。
挂载镜像为只读，导出未覆盖的关键数据
永远不要以读写方式挂载恢复源镜像，在Linux下，使用qemu-nbd将镜像虚拟成网络块设备，再用mount -o ro挂载到临时目录，然后直接拷贝你需要的文件夹，方法如下：
modprobe nbd max_part=8
qemu-nbd -c /dev/nbd0 yourdisk.qcow2
mount -o ro /dev/nbd0p1 /mnt/recover对于VMware的vmdk文件,可以用vmware-mount命令挂载到Windows盘符，同样只读打开，如果挂载时报错“分区不存在”，说明镜像内部的分区表可能已被破坏，这时需要先用testdisk扫描分区结构，再挂载扫描结果。
没有Linux环境，Windows下怎么操作？
Windows下推荐使用免费工具OSFMount，它可以加载vmdk、vhd、qcow2镜像，并支持只读挂载，加载后，在“我的电脑”里会多出一个盘符，直接复制数据即可，如果镜像内部是单个分区而不是整块磁盘，也可以连同分区结构一起模拟为物理磁盘，让Windows识别丢失的分区表。
虚拟机恢复数据找回要花多少钱？本地服务与远程服务的差异
如果你尝试了上面的方法仍然无果,或者根本没信心操作，那就要考虑专业数据恢复，价格是很多人关心的，但先别问价，先判断值不值得。
| 恢复途径 | 适用场景 | 价格范围 | 成功率 |
|---|---|---|---|
| 自行挂载提取 | 镜像文件完好，只是内部系统崩溃 | 工具免费 | 较高，取决于文件系统损坏程度 |
| 开源工具深度扫描 | 文件被删除，分区表丢失 | 免费或几十元 | 中等，需要文件碎片连续 |
| 远程协助恢复 | 愿意配合操作，网络上传镜像 | 一般几百元起步 | 依赖镜像大小和带宽 |
| 本地实验室开盘 | 虚拟磁盘物理损坏，或加密卷 | 一般一千元到数千元 | 较高但代价大 |
业内专家指出,虚拟机镜像类数据恢复的收费通常按工作量和设备成本计算，而不是按效果收费，北京、上海等一线城市的数据恢复服务商报价相对高一些，但实验室设备更全，若你所在城市没有专业虚拟化数据恢复机构，远程恢复是性价比不错的选择，只需要把虚拟磁盘文件的校验值发给对方，先评估再做决定。
虚拟机恢复镜像文件后数据找回，自己动手的上限在哪里？
很多人在问“虚拟机恢复镜像文件后数据还能找回吗”时，真正的潜台词是“我不想去外面花钱”，自己动手的上限取决于三个指标：文件系统类型、镜像格式、覆盖程度。
- ext4/xfs格式，在Linux下用
extundelete扫描删除的inode，对镜像文件直接扫描频繁度较高。 - NTFS格式，在Windows下用
recuva或R-Studio
，挂载只读盘符后扫描能识别大部分已删除文件。
- qcow2还带增量层，用
qemu-img commit把增量层合并前，可以先复制一份增量层单独分析，避免损坏原始链。 - vmdk的split类型（分割成多个2GB小文件），必须把所有分卷聚齐，否则扫描工具无法识别完整磁盘。
但如果你已经恢复过镜像并开机运行了十几分钟,那就不要再浪费时间自己扫描了，你的虚拟磁盘上可能已经被日志文件、临时文件、系统服务写入了大量新数据，手工恢复的难度指数级上升，这时候，把虚拟磁盘文件整体拷贝到另一块纯净硬盘上，再交给专业软件慢慢扫，是更稳妥的方案。
常见问题：虚拟机恢复镜像后，数据到底去哪了？
问：虚拟机恢复镜像后能找回几天前的文件吗？
只要虚拟机恢复后没有大量写入新数据,几天前文件对应的数据块通常还留在虚拟磁盘里，挂载镜像为只读，用extundelete或R-Studio对该分区做深度扫描，寻找近期修改的文件名或特征头（比如PDF的%PDF、docx的PK），文件系统日志（journal）也会帮助你定位旧文件的inode，能否完整找回，取决于文件碎片是否连续，以及是否被后续分配。
问：快照回滚后有没有办法撤销？
快照回滚本质是“移动磁盘指针”，并不是删除数据，VMware中，只要没有在回滚后执行“删除快照”或“快照整合”操作，原快照层的文件依然存在，你可以重新进入快照管理器，选择回滚前的那个快照点，再次恢复到之前状态，数据就回来了，Hyper-V同理，检查点之间可以来回切换，但如果回滚后又新建了快照，新旧快照形成复杂链，手动恢复容易越搞越乱，建议用qemu-img导出特定层再挂载。
问：VMware和Hyper-V的恢复机制一样吗？
机制完全不同,VMware采用cow（写时复制）技术，快照是一个独立的增量文件，原vmdk不再写入新数据，所以回滚或恢复时，旧的增量层可以被单独提取，Hyper-V的检查点是基于“差异磁盘”实现，父盘只读，子盘记录变更，恢复检查点后，虚拟机恢复到父盘状态，但子盘文件仍然存在，里面包含恢复前的新数据，只要把子盘挂载为只读，就能读取那些“看似丢失”的文件。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/619730.html
