分类目录归档：勒索恢复

.[xueyuanjie@onionmail.org].AIR勒索加密数据库恢复

发表于 2026 年 4 月 25 日 由 惜分飞

一家医院运行在win上点电子病例的Oracle数据库被加密成扩展名为:.[xueyuanjie@onionmail.org].AIR
QQ20260425-170612

通过obet工具对损坏文件的数据块进行检测（obet实现对数据文件坏块检测功能）
obet_dbv
通过分析,该数据库被加密破坏了前面32个block(其中第一个为block 0,正在涉及数据文件中有效的block为31个),这个是oracle 11g版本,业务数据从block 128开始存储（被损坏的前面31个主要是文件头和数据文件中数据块分配的位图信息,不涉及业务数据）,因此对于这种情况直接使用OraFHR工具进行对文件头重构(Oracle数据库被勒索加密一键open工具–OraFHR)
OraFHR-0425
然后重建ctl并打开库（这些脚本orafhr会自动生成）

SQL> startup nomount pfile='d:/pfile.txt';
ORACLE 例程已经启动。

Total System Global Area 4275781632 bytes
Fixed Size                  2288080 bytes
Variable Size             939525680 bytes
Database Buffers         3321888768 bytes
Redo Buffers               12079104 bytes
SQL> @rectl

控制文件已创建。

SQL>
SQL> alter database open resetlogs;

数据库已更改。

SQL> create tablespace expdptbs datafile 'H:\TEMP\oradata\emr\expdptbs01.dbf' size 32M autoextend on;

表空间已创建。

QQ20260425-170758

然后使用expdp导出数据,完成本次恢复任务

发表在 勒索恢复 | 标签为 , , , , , | 评论关闭

OraFHR快速open被勒索加密破坏的Oracle数据库

发表于 2026 年 4 月 1 日 由 惜分飞

今天客户一个12.2的库,被.[[yatesnet@cock.li]].wman加密
wman_1
通过obet工具分析(obet实现对数据文件坏块检测功能,确认每个文件损坏63个block
64

而且数据库版本是12.2符合Oracle数据库被勒索加密一键open工具–OraFHR重构文件头的条件,对其进行重构
865
然后根据软件提示命令操作直接打开数据库
866
发表在 勒索恢复 | 标签为 , | 评论关闭

.wman扩展名勒索mysql数据库恢复

发表于 2026 年 3 月 9 日 由 惜分飞

有客户mysql数据库被勒索加密,扩展名为.[[9BZyIXRkRaQ1F]].[[dawsones@cock.li]].wman
wman

3
通过分析,确认ibd文件破坏较少
2
可以通过人工处理直接打开数据库并导出数据
4
对于类似这种被加密的勒索的数据库(oracle,mysql,sql server)等被加密,需要专业恢复技术支持，请联系我们:
电话/微信:17813235971    Q Q:107644445QQ咨询惜分飞    E-Mail:dba@xifenfei.com
系统安全防护措施建议：
1.多台机器，不要使用相同的账号和口令
2.登录口令要有足够的长度和复杂性，并定期更换登录口令
3.重要资料的共享文件夹应设置访问权限控制，并进行定期备份
4.定期检测系统和软件中的安全漏洞，及时打上补丁。
5.定期到服务器检查是否存在异常。
6.安装安全防护软件，并确保其正常运行。
7.从正规渠道下载安装软件。
8.对不熟悉的软件，如果已经被杀毒软件拦截查杀，不要添加信任继续运行。
9.保存良好的备份习惯，尽量做到每日备份，异地备份。

发表在 MySQL恢复, 勒索恢复 | 标签为 , , | 评论关闭