服务热线：010-82207707 | 7x24小时服务热线:13693060057
北京安数云和科技有限公司

LinuxCASE SHOW

北京安数云和科技有限公司

北京安数云和科技有限公司 > 案例展示 > Linux >
北京安数云和-专注于业级数据安全!

北京某游戏公司黑客攻击删除文件Linux数据恢复案例

来源：北京安数云和原创

作者：VMxDB

简介：北京某游戏公司，一台老的IBM服务器，服务器使用CentOS6.4操作系统，服务器使用两块SCSI 73GB硬盘，两块硬盘都使用LVM管理。 某天该服务器被黑客攻陷，黑客删除了大量的用户数据和系统数据。 服务中最重要的是该公司一个内部的后台管理应用，应用使用了MySql……

浏览：

发布于：2016-05-16 17:48




 北京某游戏公司，一台老的IBM服务器，服务器使用CentOS6.4操作系统，服务器使用两块SCSI 73GB硬盘，两块硬盘都使用LVM管理。
 某天该服务器被黑客攻陷，黑客删除了大量的用户数据和系统数据。
 服务中最重要的是该公司一个内部的后台管理应用，应用使用了MySql5.5数据库。
 MySql数据库每天生成一个备份，备份在/usr/bak 目录下，黑客也删除了数据库和数据库的备份。

 客户找到北京安数云和公司后，北京安数云和公司的尹工让客户在关机状态下把硬盘拔出，并按槽位做好标记，把硬盘带到北京安数云和公司进行数据恢复。
 
 


接上硬盘进行底层分析，并把要恢复的硬盘镜像到北京安数云和公司内部的临时存储中，后面所有操作只在临时存储上执行，原硬盘不再操作。




 客户表示只要恢复最新一个MySql备份就可以了。
 存放数据的文件系统为EXT4 。Linux的EXT2/3/4文件系统在删除文件目录后，会把所有删除的文件和目录的Inode中的描述文件大小和文件数据分配指针 区域全部用0填充。
 而Windows在删除文件目录后，只在MFT上做一个标记，描述文件大小和文件分配的区域没有变化（文件大小大于4GB的文件除外）。
 这也是Windows删除文件目录后容易恢复，而Linux删除文件后数据恢复变得非常困难的原因。

 用磁盘底层分析软件WinHex找到 /usr/bak 目录，目录被删除，目录的inode中大小和目录块的指针被清0，WinHex软件无法解析，无法进入目录。



北京安数云和的尹工通过EXT4文件系统中残留的信息，拼出 /usr/bak目录的inode中被清0的数据，winhex软件可以进入目录，看到了文件列表：





目录中所有文件大小都是0字节，这些文件的Inode中的表示文件大小指针和数据块分配指针都一样被清0。
再次通过EXT4文件系统中残留的信息拼出要恢复的文件的Inode数据，然后恢复出数据：




数据库备份很小，用了gz压缩，才16.8MB，恢复出数据，检测gz压缩包，数据正常：




然后客户把恢复出来的数据传回公司，公司的的工程师正常把备份还原，查看数据也全部正常。


北京安数云和科技有限公司
尹修建
13693060057
yxj@vmxdb.com
QQ: 408202843