mysql根据mysqlbinlog恢复找回被勒索删除的数据库

年初和朋友一起做了个项目，到现在还没收到钱呢，今天中午时候突然听说之前的数据库被攻击了，业务数据库全部被删除。看有没有什么办法恢复，要是恢复不了，肯定也别想拿钱了吧？

勒索表 README FOR RECOVERY DATA内容如下

README FOR RECOVERY DATA
All your databases was backed up. You need to email us at xednydy@fexbox.org to recover your data. If the payment is not received within 48 hours, all your data will be deleted and used for our purposes
BITCOIN adress for pay bc1q8hsych64d5l79s8sztl3x7xj4u0rerltug9zcu 0,008 BTC
Bitcoin can be purchased with Alipay from: CoinCola: https://www.coincola.com/?lang=zh-HK BitValve: https://www.bitvalve.com/buy-bitcoin/alipay
Or another way: MoonPay: https://www.moonpay.com/buy Paybis: https://paybis.com/ Changelly: https://changelly.com/buy
After paying write to us in the mail with your DB IP: xednydy@fexbox.org and you will receive a link to download your database dump.

打开数据库后就看到只剩下mysql和README FOR RECOVERY DATA数据库，自己创建的数据库已被删除，顺着打开README数据库中仅有的一张表README FOR RECOVERY DATA。大概意思就是您的数据库已被攻击者备份了 请48小时内用比特币支付。如果48小时内没有付款 数据将被删除。这不是赤裸裸的上演了互联网勒索嘛。

观察BinLog日志文件

进入mysql数据存放目录

-rw-r----- 1 polkitd input        56 Jan  5  2023 auto.cnf
-rw-r----- 1 polkitd input   2983124 Jan  5  2023 binlog.000001
-rw-r----- 1 polkitd input       157 Jan  5  2023 binlog.000002
-rw-r----- 1 polkitd input       157 Jan  5  2023 binlog.000003
-rw-r----- 1 polkitd input      2235 Jan  5  2023 binlog.000004
-rw-r----- 1 polkitd input       180 Jan  5  2023 binlog.000005
-rw-r----- 1 polkitd input 153788296 Jul 31 14:40 binlog.000006
-rw-r----- 1 polkitd input        96 Jan  5  2023 binlog.index

能看到binlog最新的一个文件binlog.000006 貌似还没有被删除。尝试用日志还原试一试

ps:这里如果binlog文件都被删除了的话 估计真不好恢复了。

基于mysqbinlog工具恢复数据

mysqlbinlog工具是把二进制的binlog转换为文本格式，通常情况下就会用到mysqlbinlog 日志管理工具。

在mysql安装目录下 bin目录中正常会有一个工具命令行叫mysqbinlog 如果是跑在docker中的mysql可能是没有这个命令的。需要从别的地方复制过来，复制数据库命令版本需要和当前恢复的数据库版本一致。比如我这里就是因为安装在docker中的数据库，没有mysqlbinlog工具。

先从官网下载数据库包 解压后 ，把bin中的mysqlbinlog复制到docker中进行执行。 如果有mysqlbinlog工具跳过此步。

Usage: ./mysqlbinlog [options] log-files
-d，-database-name：指定数据库名称，只列出指定的数据库相关操作。
-o，-offset=#：忽略掉日志中的前n行命令。
-r，--result-file=name：将输出的文本格式日志输出到指定文件。
-s，--short-form：显示简单格式，省略掉一些信息。
-set-charset=char-name：在输出为文本格式时，在文件第一行加上 set names char-name，这个选项在某些情况下装载数据时非常有用。
--start-datetime=name，--stop-datetime=name: 指定日期间隔内的所有日志。
--start-position=#， --stop-position=#：指定位置间隔内的所有日志。

常用就参数项就以上几个。

这里假定我们恢复到binlog.000006文件中的内容。

mysqlbinlog binlog.000006 > /root/binlogtxt.sql

执行完成之后 /root/binlogtxt.sql文件中上百兆的语句。我想大概率是妥了。

恢复到数据库中。

mysql -uroot -p 
source /root/binlogtxt.sql

像我这里的场景是因为数据库被drop了。恢复的时候需要注意 只需要恢复到drop前一步就行。如果全部日志恢复后发现还是没有数据库，可能是恢复后又自动被日志中drop语句删除了。

怎么知道恢复到哪一步之前呢？

1、可以打开/root/binlogtxt.sql文件 看到drop database语句后就注释了。

2、./mysqlbinlog 导出文本的时候 设置时间段或者position位置。

打了navicat看了一下 果然恢复成功了 表结构和数据都恢复的很完美。