【 Oracle數據庫】數據提取的方法 來源：效率源科技 ID：xiaolvyuantech 數據庫是信息系統中不可或缺的部分。隨著大數據時代的到來,數據庫已經成為犯罪分子的目標,大量數據庫被用于存放網絡盜竊和網絡詐騙中產生的數據。將涉案數據庫的數據提取出來，成為了打擊犯罪的重要手段之一。 在眾多數據庫中，Oracle （全稱OracleDatabase），一直是一款處于領先地位的關系數據庫管理系統。因為其系統可移植性好、使用方便、功能強，適用于各類大、中、小、微機環境，它是一種高效率、可靠性好的、適應高吞吐量的數據庫解決方案。 也因為穩定性好、安全系數高等優勢，Oracle數據庫是眾多大型企事業單位首選的數據庫，如公安局的身份證數據信息存儲、中國銀行的數據信息存儲、淘寶數據存儲等。這些單位有一個共同特點：數據量大，要求數據準確，要求系統性能高。 現階段，在眾多案件的電子取證過程中我們也常常看到Oracle數據庫的身影，今天，源妹兒就跟大家分享一種通過附加Oracle數據庫提取數據庫數據的方法。 數據提取思路 1、將Oracle數據庫文件提取恢復出來； 2、在取證電腦上安裝Oracle數據庫，Oracle版本號需要與案例檢材中Oracle版本號一樣，然后將檢材中的Oracle數據庫文件拷貝到取證電腦，附加數據庫文件（PS：附加數據庫是整個數據提取過程中的核心所在，本文檔將詳細講解附加數據庫的過程）； 3、附加完成后即可打開Oracle數據，提取記錄數據。 操作步驟 1、使用專業的電子取證工具：DRS6800數據恢復系統（以下簡稱DRS），加載案例服務服務器鏡像，提取鏡像中的Oracle數據庫文件，提取出來的Oracle數據庫文件如下圖： ▲點擊圖片放大 2、在取證電腦中安裝與檢材中Oracle數據庫版本相同的Oracle軟件，并且創建與檢材中相同實例名的數據庫（Oracle安裝過程本文檔不詳細介紹，網上很多Oracle的安裝教程）。 3、Oracle安裝成功并且創建了實例后，將數據庫服務關閉，建議在cmd命令行使用如下語句完成： sqlplus /nolog conn /as sysdba shutdown immediate 4、關閉數據庫后，將從檢材中提取出來的Oracle數據文件替換到當前電腦的Oracle數據文件所在路徑 5、Oracle數據文件替換完畢后，在cmd命令行以無掛載的方式重新啟動數據庫，使用如下命令完成 ：startup nomount; 6、因為控制文件的記錄了數據庫的創建時間，數據文件的位置，日志文件的位置等，其作用是指導數據庫找到數據文件，日志文件并將數據庫啟動到open狀態，因為遷移的原因改變這些參數，因此需要重構控制文件，使用如下語句重構控制文件： CREATE CONTROLFILE REUSE DATABASE "qsdb" NORESETLOGS ARCHIVELOG MAXLOGFILES 5 MAXLOGMEMBERS 3 MAXDATAFILES 100 MAXINSTANCES 1 MAXLOGHISTORY 226 LOGFILE GROUP 1 'F:\app\xly\oradata\qsdb\redo01.log' SIZE 800M, GROUP 2 'F:\app\xly\oradata\qsdb\redo02.log' SIZE 800M, GROUP 3 'F:\app\xly\oradata\qsdb\redo03.log' SIZE 800M, DATAFILE 'F:\app\xly\oradata\qsdb\system01.dbf', 'F:\app\xly\oradata\qsdb\system02.dbf', 'F:\app\xly\oradata\qsdb\undotbs01.dbf', 'F:\app\xly\oradata\qsdb\sysaux01.dbf', 'F:\app\xly\oradata\qsdb\users01.dbf', 'F:\app\xly\oradata\qsdb\hfsj_qs1.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs2.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs3.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs4.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs5.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs6.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs7.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs8.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs9.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs10.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs11.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs12.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs13.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs14.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs15.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs16.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs17.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs18.dbf', 'F:\app\xly\oradata\qsdb\qsweihu.dbf' 'F:\app\xly\oradata\qsdb\goldengate.dbf' 'F:\app\xly\oradata\qsdb\hfqsquery.dbf' 'F:\app\xly\oradata\qsdb\hfqsmon.dbf ' CHARACTER SET US7ASCII; 7、在重構完畢控制文件后，重新打開數據庫，會報錯，提示SYSTEM01數據文件需要執行介質修復，如圖所示： a.修復數據文件，執行如下語句完成修復： recover datafile 'F:\app\xly\oradata\qsdb\SYSTEM01.DBF'; b.在執行介質修復過程中若提示數據文件因為有壞塊，無法進行介質恢復，可以執行如下語句，跳過壞塊繼續修復： recover database ‘F:\app\xly\oradata\qsdb\system01.dbf’ allow 1 corruption; 重復以上a,b步驟，將數據文件修復完畢，其中只有當出現a步驟中因為有壞塊無法正常進行介質修復時，才采用b步驟中的跳過壞塊修復，如圖所示： 8、若無法忽略壞塊進行修復，且恰好是sysaux數據文件出現錯誤，如圖所示： 可選擇使sysaux數據文件offline，即可打開數據庫，執行如下語句： alter database datafile ‘F:\app\xly\oradata\SYSAUX01.DBF’ offline; 9、完成如上操作，即可正常啟動數據，如圖所示： 10、使用Navicat軟件鏈接并打開Oracle，即可訪問Oracle記錄，根據公安局要求需要指定代理商及其會員的所有刷卡套現的記錄，分析Oracle數據庫表結構后，編寫SQL語句查詢某代理商的數據如下： 注意事項 在采用上述方法對Oracle數據庫數據進行提取時要注意以下幾點： 1、上述方法能確保Oracle數據庫的數據完整性，并且不會對原始數據產生破壞，但是該方法較為復雜，需要專業的技術人員輔助完成； 2、確保從服務器中獲取到的數據庫的完整性，不然會導致附加失敗； 3、確保搭建環境附加數據庫的電腦具有足夠的空間，不然會因為空間不足導致附加失敗； 4、確保搭建環境中Oracle數據庫版本與服務器中的Oracle數據庫版本完全一致； 5、以上操作涉及到很多專業技能，如有必要可找尋專業的公司或技術人員協助完成。 ▲本文中提到的產品： DRS6800數據恢復系統 詳情請戳圖片 推薦閱讀： 【誤刪除Oracle數據庫數據的恢復方法】 一種基于Oracle數據庫的數據恢復方法 Oracle Linux6.9+Oracle 12cR2 安裝說明