断网后应立即备份未加密的原始数据库文件（如MySQL的.ibd/.frm、SQL Server的.mdf/.ldf）、事务日志及ERP账套原始备份文件，禁用自动同步，并用dc3dd对整块磁盘做位对位镜像至另一物理硬盘。
断网后立刻备份哪些文件？别碰加密后的“.rox”或“.DevicData”文件
勒索病毒完成加密后，原始数据未必全毁——很多情况下只是文件系统被破坏、目录项被清空，而实际数据块仍安静躺在磁盘扇区里。但这些“残余数据”极其脆弱：任何写操作（包括杀毒扫描、系统还原、甚至误点“恢复默认设置”）都可能覆盖它们。所以第一要务不是解密，而是把还活着的原始字节抢出来。
实操建议如下：
- 只拷贝未被加密的原始数据库物理文件：
/var/lib/mysql/your_db/下的.ibd、.frm（MySQL），C:\Program Files\Microsoft SQL Server\MSSQLxx.MSSQLSERVER\MSSQL\DATA\下的.mdf和.ldf（SQL Server）；别去动那些带.rox或乱码后缀的文件，它们已是加密壳，对底层恢复无用 - 必须同步备份日志：MySQL 的
binlog（/var/log/mysql/mysql-bin.*）、SQL Server 的事务日志（.ldf），它们能帮你把最后几秒的未提交事务“拼回去” - 跳过应用层路径，直取存储根目录：比如 ERP 系统的账套，不要去桌面点“系统管理→备份”，那调用的是应用层导出逻辑，此时进程可能已被劫持；直接进
C:\UFSOFT\T6\UfErpAct\找UFDATA.BA_和UF2KAct.lst这类原始备份文件，它们没被重写，大概率完好 - 禁用所有自动同步：断网后立刻关掉 OneDrive、Synology Drive、NAS 的实时同步任务，否则它会把加密文件“同步”到异地备份，污染干净副本
用 dd 或 dc3dd 做位对位镜像：为什么不能直接复制文件夹？
普通文件复制（cp、robocopy）只读取文件系统索引，而勒索病毒早把 FAT/MFT 表项删光了——你看到的“文件不存在”，其实是系统找不到指针，不是数据没了。真正能抢救碎片的，只有绕过文件系统、逐扇区读取的镜像工具。
推荐用 dc3dd（比原生 dd 多校验和中断续传）：
dc3dd if=/dev/sdb of=/mnt/backup/server_sdb.img hash=md5 log=dc3dd.log
注意三点：
-
if必须是整块磁盘设备（如/dev/sdb），不是分区（/dev/sdb1）——因为引导区、未分配空间里也可能藏有残留数据页 - 目标
of一定要写到**另一块物理硬盘**，绝不能是同一块盘的空闲分区，否则写入过程本身就会覆盖待恢复区域 - 加
hash=md5是为了后续验证镜像完整性；若中途断电，dc3dd能从断点继续，而dd会重头来
从镜像里提取数据库页：别信“一键扫描恢复”软件
市面上多数数据恢复软件（如嗨格式、睿兽分析）依赖文件头签名识别文档，对数据库这类结构化二进制文件效果极差——.mdf 里一页数据损坏，整张表就可能无法加载。专业恢复得拆开看。
以 SQL Server 为例，真实操作是：
- 用
DBCC PAGE或专用解析器（如SQL Server Data Recovery Toolkit）载入镜像中的.mdf文件 - 跳过损坏的页号（如报错
Msg 824, Level 24, State 2），手动定位未被覆盖的数据页范围（通常靠时间戳或页内校验和判断） - 导出有效页为原始
hex dump，再用sqlcmd或 SSMS 批量插入重建表——这不是图形界面点几下能搞定的 - 特别注意
.ldf日志：哪怕主数据文件只剩 30%，只要日志完整，就能用RESTORE DATABASE ... WITH STOPAT恢复到最后一次 checkpoint
备份完镜像后，下一步做什么？先查有没有被偷走
现在你手上有磁盘镜像，但 .DevicData 和 .rox 都是“双重勒索”家族——加密前已静默上传敏感数据。如果只顾抢救本地文件，却漏掉泄露风险，后续可能面临 GDPR 罚款或客户集体诉讼。
立即做两件事：
- 检查内存残留痕迹：用
volatility3 -f server_sdb.img windows.pslist看是否有异常进程（如svchost.exe加载了非微软 DLL），再用memdump提取可疑进程内存，搜@gmail.com、.onion、exfiltrate等关键词 - 排查外连记录：在镜像中翻
Windows\System32\winevt\Logs\Security.evtx，过滤事件 ID5156（防火墙允许出站）和4624（登录成功），确认是否曾连接境外 IP
底层数据能抢回来，但被窃数据不会自己消失——这一步不做，恢复越快，踩的坑越深。
