MySQL是一个关系型数据库管理系统，由瑞典MySQL AB 公司开发，目前属于 Oracle 旗下产品。MySQL 是最流行的关系型数据库管理系统之一，在 WEB 应用方面，MySQL数据库使用的比较多。

公检法部门在处理涉黄、诈骗的案件时，常常会遇到对涉案网站、论坛的服务器进行取证，有时嫌疑人为了毁灭罪证，故意删除数据，这就涉及到对MySQL数据库进行数据恢复、固定和取证。效率源科技的技术大咖针对一线办案人员遇到的痛点，写了这篇MySQL数据库删除数据的恢复指南，希望对办案人员有所启发。

binlog日志简介:

binlog 就是binary log，二进制日志文件，这个文件记录了MySQL所有的DDL和DML(除了数据查询语句)语句，以事件形式记录，还包含语句所执行的消耗的时间。

binlog日志包括两类文件：

1)二进制日志索引文件(文件名后缀为.index)：用于记录所有的二进制文件;2)二进制日志文件(文件名后缀为.00000*)：记录数据库所有的DDL和DML(除了数据查询语句select)语句事件。

binlog日志对于mysql数据库来说是十分重要的。在数据丢失的紧急情况下，可以尝试用binlog日志功能进行数据恢复操作。正是由于binlog日志以上的特性，在实际的案件取证中也可以通过binlog日志来恢复删除数据。要通过binlog日志恢复mysql数据库删除数据的前提：binlog日志确定是开启的。

查看binlog日志是否开启,有以下三种方法

方法一：打开MySQL数据库的配置文件(windows系统中的配置文件为my.ini，一般在安装目录的根目录下;Linux系统中配置文件为myf，一般在/usr/local/mysql/etc/目录下)，在配置文件中查看log-bin=MySQL-bin有没有被注释掉(每行第一个字符为#号表示该行被注释)，若没被注释表示开启，若被注释表示没有开启。

方法二：在MySQL命令行下使用show variables like ‘log_bin’;命令查看binlog日志是否开启，Value的值为ON表示开启，为OFF表示关闭。

方法三：在存放数据库的文件夹中是否存在mysql-bin.000001类似的文件，有则表示binlog日志功能是开启的。

在数据恢复过程中会用到的binlog日志操作命令

1、查看所有binlog日志列表：

在mysql命令界面输入命令： mysql> show master logs

2、查看master状态，即最后(最新)一个binlog日志的编号名称及其最后一个操作事件pos结束点(Position)值：

在mysql命令界面输入命令： mysql> show master status

3、刷新log日志，自此刻开始产生一个新编号的binlog日志文件：

在mysql命令界面输入命令：mysql> flush logs

注：每当mysqld服务重启时，会自动执行此命令，刷新binlog日志;在mysqldump备份数据时加 -F 选项也会刷新binlog日志

4、重置(清空)所有binlog日志：

在mysql命令界面输入命令：mysql> reset master

如何读取binlog日志中的内容?

1、使用mysqlbinlog自带查看命令法：

注: binlog是二进制文件，普通文件查看器cat more vi等都无法打开，必须使用自带的 mysqlbinlog 命令查看binlog日志与数据库文件在同目录中。

Mysql安装路径下的bin文件夹下输入以下命令：

C:\\xampp\mysql\bin>mysqlbinlog C:\\xampp\mysql\data\mysql-bin.000009

2、上面这种办法读取出binlog日志的全文内容较多，不容易分辨查看pos点信息，这里介绍一种更为方便的查询命令在MySQL的命令界面：

在mysql命令界面输入：mysql> show binlog events [IN 'log_name'] [FROM pos] [LIMIT [offset,] row_count]

选项解析↓

IN 'log_name'：指定要查询的binlog文件名(不指定就是第一个binlog文件)FROM pos：指定从哪个pos起始点开始查起(不指定就是从整个文件首个pos点开始算)LIMIT [offset,]：偏移量(不指定就是0)row_count：查询总条数(不指定就是所有行)

删除数据案例及操作步骤:

下面我们通过一个实例操作来完整查看「如何通过binlog日志恢复MySQL数据库删除数据。

案例介绍:

现有MySQL数据库，其中有名为test的数据库，其中没有任何的表，怀疑数据被删除，在该电脑中还发现了该数据库的备份，备份最后被修改的时间为2018-11-21 15:27:12。

目的:

查看是否有删除的操作，如有删除尝试恢复出删除的表的内容。

思路分析:

1、判断数据库是否开启了binlog日志的功能;

2、通过binlog日志查询是否有删除的操作;

3、若删除了数据，通过binlog日志恢复数据库中的内容。

下图就是通过binlog日志实现增量恢复数据库删除数据的流程：

01.判断数据库是否开启了binlog日志：

在MySQL命令行下使用show variables like‘log_bin’;命令中log_bin的Value为ON，该数据库的binlog日志是开启的。

02.判断数据库是否有被删除的操作：

1)在mysql命令界面通过show master logs;命令查看binlog日志列表，发现一共有8条日志。

2)在mysql命令界面通过命令show binlog events in 'mysql-bin.000008';可以查看最后两条命令为“use ‘test‘;delete from t1，use `test`;DROP TABLE `t1`”由此可判断出数据库test中t1表中的内容被清空了，并且把表也删除了。

03.恢复数据库中删除的数据：

1)由于表t1被删除了，没有该表的数据结构无法直接通过binlog日志来恢复删除的数据;但是我们在电脑中发现了该数据库的备份，直接还原后就可以得到表t1的数据结构。(这里不做还原的详细解说，如果您想了解还原详细操作步骤，可在后台留言)。

恢复出的数据结构

2)备份最后修改时间为2018-11-21 15:27:12，MySQL-bin.000008的创建时间为2018-11-20 14:15:40，可以推断出备份后表t1的所有操作都在该日志中。

3)在mysql命令界面使用命令show binlog events in 'mysql-bin.000008';打开最后一个日志文件，找出开始和结尾的pos点，分别为：4和1223，如下图：

4)提取日志文件该段落：在mysql安装界面的bin目录下输入一下命令：mysqlbinlog C:\\xampp\data\mysql-bin.000008 --start-position=4 --stop-position=1223 -r 1.sql，该命令把日志文件中的所有语句提取到了bin目录下的1.sql中。

5)通过分析该sql文件可以发现其中记录了每一条命令的执行的时间，找到备份创建时间2018-11-21 15:27:12之后的所有命令另存为2.sql。如下图：

6)另存为2.sql后，把最后两条删除的命令去除，直接在数据库中运行，就可以恢复出表中的所有数据。

注意事项:

1、在恢复之前一定要确认MySQL数据库的binlog日志是开启的;2、若把表删除一定要想办法把表的数据结构找到，这样才能准确的恢复出数据;3、binlog日志中是记录了每条语句的执行时间的，可以通过时间来恢复;4、在截取插入语句的时候一定要注意不要把最后一条删除的语句截取到，不然恢复的数据又会被删除。

以上就是效率源科技的技术大咖针对使用binlog日志恢复MySQL数据库删除数据的方法，希望上述的问题解决思路能给公检法一线办案人员一些参考和帮助。如对文中的操作、描述有任何疑问，或者有相关数据库恢复案件协助支持也可以直接联系效率源科技，获得技术协助。

安卓模拟器小知识

随着虚拟化技术的不断成熟，越来越多的厂商加入到虚拟化产品的大军中，而安卓模拟器就是应用虚拟化技术的佼佼者。

安卓模拟器，是能在电脑上模拟安卓操作系统，并能安装、使用、卸载安卓应用的软件，它能让你在电脑上也能体验操作安卓系统的全过程。目前比较常见的安卓模拟器有“Android SDK”、“BlueStacks”和“逍遥安卓模拟器”等。

由于安卓模拟器操作简单，成本低，故一些不法分子就选择利用安卓模拟器进行诈骗等违法犯罪行为。

本文，效率源科技将主要介绍基于逍遥安卓模拟器的数据提取分析，数据取证方法。

逍遥安卓模拟器取证

逍遥安卓模拟器是一款基于VMware Workstation的强劲安卓模拟器，在实际运用过程中，为了方便数据的存储和携带，可通过“逍遥安卓-多开管理器”导出扩展名为ova格式的虚拟包镜像文件，该文件包含所有用于部署虚拟机的必要信息，是由DMTF（Distributed Management Task Force）所定义的。

通过对ova格式镜像文件的研究分析，发现ova格式镜像文件是一种单一的压缩文件，解压完成之后就是vmdk虚拟磁盘文件，因此对逍遥安卓模拟器数据提取分析只需对导出的ova格式镜像文件中的vmdk虚拟磁盘文件进行分析即可。

下文将具体介绍逍遥安卓模拟器数据提取思路和操作步骤。

逍遥安卓模拟器数据提取分析思路

对逍遥安卓模拟器数据进行提取分析时，最关键的就是找到对应的虚拟机文件，这样就可以获取到相应的安卓应用数据，进而通过手机取证分析软件解析数据。获取vmdk虚拟机文件的方式有：

1、直接查找

逍遥模拟器安装完成并启动安卓模拟器之后，默认会在模拟器的安装目录下生成存储数据的vmdk虚拟磁盘文件，可以通过效率源DF6600电子数据分析系统对这些虚拟磁盘文件解析、提取分析；

2、ova格式镜像文件提取分析

在上文中我们已经知道逍遥安卓模拟器可以导出便于保存和携带的ova格式的镜像文件，将ova格式镜像进行解压就可以获得vmdk的虚拟磁盘文件，再通过电子取证工具对解压后的vmdk虚拟磁盘文件提取分析即可；

案例背景

案情简介：不法分子利用逍遥安卓模拟器通过QQ、网银等骗取钱财；

案件检材：U盘镜像（存储逍遥安卓模拟器的ova格式镜像文件）；

会使用到的取证分析工具

DRS6800数据恢复系统，以下简称“DRS”；

SPF9139智能手机数据恢复取证系统，以下简称“SPF9139”；

WinHex 16进制编辑器，以下简称“WinHex”；

具体操作步骤

针对案例中的情况，对此逍遥安卓虚拟机数据提取分析步骤如下：

1、通过DRS加载U盘镜像文件，提取并恢复ova格式的全部文件；

2、把提取恢复的ova格式镜像文件全部改成压缩格式文件（可通过DOS命令进行批量修改），然后对压缩文件进行解压，解压后为vmdk虚拟磁盘文件；

3、通过WinHex加载解压后的vmdk虚拟磁盘文件，分析并定位数据区；

4、定位数据区后，通过DRS加载存放数据的vmdk虚拟磁盘文件进行提取分析，获取到QQ应用数据包“com.tencent.mobileqq”文件夹并恢复保存到本地；

5、采用上述同样的方法将QQ聊天记录中多媒体缓存存放的数据包“tencent”文件夹恢复并导出，和QQ应用数据包“com.tencent.mobileqq”放到同一文件的根目录下；

6、最后使用SPF9139通过加载文件夹的方式进行取证分析，即可采集到逍遥安卓模拟器中QQ聊天记录相关数据；

7、导出数据报告。

小编有话说！

关于逍遥安卓模拟器数据提取分析方法的分享到这里就告一段落了，希望我们的分享能让大家有所收获，也非常欢迎大家来跟我们分享、交流、探讨行业的新技术、新需求，大家一起共同学习成长。当然如果您们有模拟器相关案件协助也可以联系我们哦！

SSD固态硬盘因其轻、薄、快、低耗电、耐震、稳定性高、耐低温等优点得到了快速的应用，但是随之而来的随之而来的是SSD固态硬盘的故障率也在逐年提高，因此针对SSD固态硬盘数据恢复需求也越来越多。

“硬盘有价，数据无价”，一不小心数据丢失了，往往我们就不得不花费“大价钱”来进行数据恢复。

SSD固态硬盘数据拯救行动 您的数据由我们来保护

为了拯救大家珍贵的数据，效率源科技在这个浓情火热的6月开启了“SSD固态硬盘数据拯救行动”，面向全球所有SSD固态硬盘使用者提供免费的数据恢复服务。

既可以对故障的SSD固态硬盘进行数据恢复又不用花费任何金钱，是不是很心动、很感动呢？

活动详情

活动内容：SSD固态硬盘数据免费恢复

活动时间：即日起至2017年12月30日

活动对象：全球SSD固态硬盘使用者，无论你是行业客户、公司客户，还是个人客户，只要您有SSD固态硬盘数据恢复需求，均可申请免费恢复服务！

故障范围：

如果您的SSD固态硬盘出现以下故障，可以致电效率源科技寻求免费的数据恢复服务：

1、磁盘驱动器识别硬盘参数，但无法访问数据；

2、BIOS下不认盘；

3、硬盘参数不正确；

4、硬盘容量异常；

5、电脑识别硬盘不稳定；

……

如果有其他故障现象也可电话咨询。

活动规则：

1、客户致电效率源科技，申请SSD固态硬盘数据免费恢复服务，

2、申请成功后，客户将需要进行数据恢复的SSD固态硬盘邮寄给效率源科技；

3、效率源科技在接收到故障盘后，开始对故障盘进行数据恢复；

4、数据恢复完成后，将恢复结果回寄给客户；

5、若是数据恢复不成功，我们将出具一份数据恢复不成功的原因分析说明，并承诺：待研发技术成熟后，可再次为客户进行免费恢复服务；

6、活动产生的邮寄费用、相关配件费用需客户自理；

7、效率源科技郑重承诺将绝对为客户的数据资料保密，并保证硬盘的数据安全。

多年数据恢复经验积累 全力拯救数据

效率源科技拥有十多年数据恢复技术积累，是全球前三的数据恢复领先企业，在数据恢复领域拥有诸多成功案例和傲人的成绩，多年来为公检法、军队、政府单位、企业以及海外诸多客户提供了大量成功的数据恢复服务，并得到了客户的高度称赞。

在这次“SSD固态硬盘数据拯救行动”中，我们将竭尽全力帮助客户恢复数据，挽救珍贵的数据，减少或避免客户因数据丢失而造成的损失。

厉害了我的国！大四川威武！近日肆虐网络的“永恒之蓝”勒索病毒已被四川一家网络安全公司——效率源信息安全技术公司成功攻克！免费的数据恢复产品也一并发布。此次战役该公司一战成名，需要恢复数据的抓紧时间啦~

借助专业的工具和手段对数据进行读取、抢救和恢复的技术称为数据恢复技术。

根据不同的存储介质，数据恢复可分为硬盘数据恢复、移动存储设备及多媒体卡数据恢复、光盘数据恢复、软盘数据恢复。本文分别介绍数据无法正常读取的原因及恢复方法。

硬盘数据恢复

故障原因：

1.物理故障

包括电机不转、通电后磁头错位、磁头损坏、盘片划伤等，可采用更换、加载、定位等方法进行数据修复。

2.其他原因

系统不能正常启动密码或权限丢失MBR分区丢失误操作误删除误分区病毒破坏黑客攻击RAID磁盘阵列失效

恢复数据包括：Office文档、图片、视频、数据库文件、邮件等

推荐工具：

R-Studio

美国的R-tools公司的核心产品，目前市面上认可度比较高的数据恢复工具，可针对文档、图片、视频、文件、数据库文件等超过200种文件类型进行恢复，并支持对分区以及Raid阵列的恢复。

Ontrack EasyRecovery

操作简单的数据恢复工具，针对常见的文档、图片、视频、文件等数据类型可以进行快速的扫描和恢复。

Recover数据恢复三件套

澳大利亚经典数据恢复软件，分为文件恢复、图片恢复和邮件恢复三个组件，每个组件各司其职，其中文件恢复组件是核心组件，具备其他两个组件的功能，可以对常见文件、图片、视频、邮件等进行数据恢复。

Stellar Phoenix Windows Data Recovery

印度Stellar公司出品，专门针对Windows系统中的文件恢复，可对文档、图片、视频、邮件以及常用文件恢复。

Stellar SQL Database Toolkit（SQL数据库恢复工具组）

Stellar公司产品，主要针对SQL数据库的文件恢复。

Stellar Outlook Toolkit（Outlook邮件恢复工具组）

Stellar公司产品，针对Outlook的专门工具，可以对损坏Outlook文件进行修复，并支持对Outlook生成的pst文件进行备份、复制、拆分等操作。

移动存储设备及多媒体卡数据恢复

故障原因：

常见短路、过电损坏、芯片损坏、闪存无法读取等

设备包括：U盘、闪存、Mp4、CF、SD、XD、MMC、SM、SMC、记忆棒等

推荐工具：

效率源Flash

光盘数据恢复

故障原因：盘片划伤

推荐工具：

VMI Hybrid2.0光盘修复工具

VMI2550i光盘修复工具

软盘数据恢复

故障原因：

数据介质损坏出现的电路故障、磁头偏移等

恢复方法：采用更换、加载、定位等方法进行数据修复

固态硬盘数据免费恢复自今日起如果您有固态硬盘数据恢复需求，就请将您的硬盘砸过来吧！

免费恢复数据恢复服务全程免费，并根据您的硬盘具体情况给出相应的数据恢复方案。TIPS：如果涉及电路板、主控板损坏，物理介质损耗等需要更换元件的，需要收取耗材成本费哦！

福利发完，开始说正事！今天源妹要给大家分享一些受损固态硬盘数据恢复方法。废话不多说了，直接上干货。

固态硬盘（SSD）因其轻、薄、快、低耗电、耐震、稳定性高、耐低温等优点得到了快速的应用，在存储设备市场中占有很大份额并在持续增长。

但是，众所周知，固态硬盘一旦损坏，数据就比较难以恢复，这也增加了针对固态硬盘的电子数据取证工作难度。

我们把常见的固态硬盘损坏概括为硬件损坏（电路板和主控）和固件损坏。

1.硬件损坏如果是硬件损坏，可以通过更换电路板和主控来恢复硬盘数据。但是即使找到新的、吻合的电路板和主控，这个更换过程也是非常耗时和有难度的，而且对操作环境和操作人员的专业素质都有很高的要求，如果操作环境不适合或者操作人员经验欠缺就非常容易造成设备二次损坏，影响数据恢复。想要尝试通过更换硬件的方法恢复数据，为了不影响数据恢复效果，一定要寻求专业人员和公司的协助，切勿自行操作。

2.固件损坏如果硬盘存储芯片上有大量坏块，那么设备就无法正常工作。针对这类损坏情况常用的数据恢复方法就是通过拆芯片和固件修复的方法。

通过芯片提取重组数据的方法上文我们讲到可以通过拆芯片来恢复固件损坏的硬盘数据，但是拆芯片的风险和时间成本是非常高的，存储量越大风险越大、耗时越久。

而且由于当前的固态硬盘基本都具备硬件数据加密功能，通过芯片提取的数据都是加密的，需要经过解密—重组—提取的过程才能最终恢复数据，而无疑这也是非常困难的。

通过固件修复的方法相比较于拆芯片的方法，固件修复方法数据恢复效果更好，时间成本更低，是损坏固态硬盘数据恢复最有效、快速的方法。而这也正是效率源研发工程师针对固态硬盘数据恢复的主要研究方向。

所有的固态硬盘都配备有预先设置的调试模式，用于调试设备。 制造商用它来检查损坏的驱动器，以便识别固件的损坏部分并在未来的固件版本中优化、解决这个问题。

固件修复就是通过使用特定程序，强制受损设备进入调试模式来实现的。导致固态硬盘故障最常见的原因是转换器损坏，调试模式提供了能够从部分固件中，构建一个新转换器的能力，将新的转换器上传到设备的缓存中，用户就可以访问固态硬盘的文件结构。

使用调试模式的另一个重要优势是，能够绕过并检测之前在固态硬盘上设置的密码。当犯罪分子在计算机，手机，电子邮件帐户或其他驱动器上使用相同的密码时，通过数据碰撞的方式就可能找出访问密码。

效率源在数据恢复行业一直具有领先的技术优势和行业地位，并将18年公司在数据恢复方面的核心优势集成到了众多拳头产品中，如DRS6800数据恢复系统、SPF9139智能手机取证系统（以下简称SPF9139， 【全新版本发布】SPF9139重装上阵，智能取证新技能轻松get）、VIP8800视频侦查系统等产品。随着市场的快速发展，我们会继续发挥技术优势，为大家带来更多好的数据恢复产品和服务。

据内江市人民政府新闻办公室官方微信发文称，近日肆虐网络的“永恒之蓝”勒索病毒已被四川一家网络安全公司——效率源信息安全技术公司成功攻克！并发布了免费的数据恢复产品。速转！给更多的人知道！大家可以恢复自己的资料了！威武了！大四川！