Oracle數(shù)據(jù)庫數(shù)據(jù)提取的方法   數(shù)據(jù)庫是信息系統(tǒng)中不可或缺的部分。隨著大數(shù)據(jù)時代的到來,數(shù)據(jù)庫已經(jīng)成為犯罪分子的目標,大量數(shù)據(jù)庫被用于存放網(wǎng)絡(luò)盜竊和網(wǎng)絡(luò)詐騙中產(chǎn)生的數(shù)據(jù)。將涉案數(shù)據(jù)庫的數(shù)據(jù)提取出來，成為了打擊犯罪的重要手段之一。 在眾多數(shù)據(jù)庫中，Oracle （全稱OracleDatabase），一直是一款處于領(lǐng)先地位的關(guān)系數(shù)據(jù)庫管理系統(tǒng)。因為其系統(tǒng)可移植性好、使用方便、功能強，適用于各類大、中、小、微機環(huán)境，它是一種高效率、可靠性好的、適應(yīng)高吞吐量的數(shù)據(jù)庫解決方案。 也因為穩(wěn)定性好、安全系數(shù)高等優(yōu)勢，Oracle數(shù)據(jù)庫是眾多大型企事業(yè)單位首選的數(shù)據(jù)庫，如公安局的身份證數(shù)據(jù)信息存儲、中國銀行的數(shù)據(jù)信息存儲、淘寶數(shù)據(jù)存儲等。這些單位有一個共同特點：數(shù)據(jù)量大，要求數(shù)據(jù)準確，要求系統(tǒng)性能高。

    現(xiàn)階段，在眾多案件的電子取證過程中我們也常常看到Oracle數(shù)據(jù)庫的身影，今天，源妹兒就跟大家分享一種通過附加Oracle數(shù)據(jù)庫提取數(shù)據(jù)庫數(shù)據(jù)的方法。 數(shù)據(jù)提取思路 1、將Oracle數(shù)據(jù)庫文件提取恢復(fù)出來；

 2、在取證電腦上安裝Oracle數(shù)據(jù)庫，Oracle版本號需要與案例檢材中Oracle版本號一樣，然后將檢材中的Oracle數(shù)據(jù)庫文件拷貝到取證電腦，附加數(shù)據(jù)庫文件（PS：附加數(shù)據(jù)庫是整個數(shù)據(jù)提取過程中的核心所在，本文檔將詳細講解附加數(shù)據(jù)庫的過程）； 

3、附加完成后即可打開Oracle數(shù)據(jù)，提取記錄數(shù)據(jù)。

 操作步驟 

 1、使用專業(yè)的電子取證工具：DRS6800數(shù)據(jù)恢復(fù)系統(tǒng)（以下簡稱DRS），加載案例服務(wù)服務(wù)器鏡像，提取鏡像中的Oracle數(shù)據(jù)庫文件，提取出來的Oracle數(shù)據(jù)庫文件如下圖： ▲點擊圖片放大 

2、在取證電腦中安裝與檢材中Oracle數(shù)據(jù)庫版本相同的Oracle軟件，并且創(chuàng)建與檢材中相同實例名的數(shù)據(jù)庫（Oracle安裝過程本文檔不詳細介紹，網(wǎng)上很多Oracle的安裝教程）。 

 3、Oracle安裝成功并且創(chuàng)建了實例后，將數(shù)據(jù)庫服務(wù)關(guān)閉，建議在cmd命令行使用如下語句完成： sqlplus /nolog conn /as sysdba shutdown immediate 4、關(guān)閉數(shù)據(jù)庫后，將從檢材中提取出來的Oracle數(shù)據(jù)文件替換到當前電腦的Oracle數(shù)據(jù)文件所在路徑 

5、Oracle數(shù)據(jù)文件替換完畢后，在cmd命令行以無掛載的方式重新啟動數(shù)據(jù)庫，使用如下命令完成 ：startup nomount; 

 6、因為控制文件的記錄了數(shù)據(jù)庫的創(chuàng)建時間，數(shù)據(jù)文件的位置，日志文件的位置等，其作用是指導(dǎo)數(shù)據(jù)庫找到數(shù)據(jù)文件，日志文件并將數(shù)據(jù)庫啟動到open狀態(tài)，因為遷移的原因改變這些參數(shù)，因此需要重構(gòu)控制文件，使用如下語句重構(gòu)控制文件： CREATE CONTROLFILE REUSE DATABASE "qsdb" NORESETLOGS ARCHIVELOG MAXLOGFILES 5 MAXLOGMEMBERS 3 MAXDATAFILES 100 MAXINSTANCES 1 MAXLOGHISTORY 226 LOGFILE GROUP 1 'F:\app\xly\oradata\qsdb\redo01.log' SIZE 800M, GROUP 2 'F:\app\xly\oradata\qsdb\redo02.log' SIZE 800M, GROUP 3 'F:\app\xly\oradata\qsdb\redo03.log' SIZE 800M, DATAFILE 'F:\app\xly\oradata\qsdb\system01.dbf', 'F:\app\xly\oradata\qsdb\system02.dbf', 'F:\app\xly\oradata\qsdb\undotbs01.dbf', 'F:\app\xly\oradata\qsdb\sysaux01.dbf', 'F:\app\xly\oradata\qsdb\users01.dbf', 'F:\app\xly\oradata\qsdb\hfsj_qs1.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs2.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs3.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs4.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs5.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs6.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs7.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs8.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs9.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs10.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs11.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs12.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs13.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs14.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs15.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs16.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs17.dbf', 'F:\app\xly\oradata\qsdb\ hfsj_qs18.dbf', 'F:\app\xly\oradata\qsdb\qsweihu.dbf' 'F:\app\xly\oradata\qsdb\goldengate.dbf' 'F:\app\xly\oradata\qsdb\hfqsquery.dbf' 'F:\app\xly\oradata\qsdb\hfqsmon.dbf ' CHARACTER SET US7ASCII; 

7、在重構(gòu)完畢控制文件后，重新打開數(shù)據(jù)庫，會報錯，提示SYSTEM01數(shù)據(jù)文件需要執(zhí)行介質(zhì)修復(fù)，如圖所示： a.修復(fù)數(shù)據(jù)文件，執(zhí)行如下語句完成修復(fù)： recover datafile 'F:\app\xly\oradata\qsdb\SYSTEM01.DBF'; b.在執(zhí)行介質(zhì)修復(fù)過程中若提示數(shù)據(jù)文件因為有壞塊，無法進行介質(zhì)恢復(fù)，可以執(zhí)行如下語句，跳過壞塊繼續(xù)修復(fù)： recover database ‘F:\app\xly\oradata\qsdb\system01.dbf’ allow 1 corruption; 重復(fù)以上a,b步驟，將數(shù)據(jù)文件修復(fù)完畢，其中只有當出現(xiàn)a步驟中因為有壞塊無法正常進行介質(zhì)修復(fù)時，才采用b步驟中的跳過壞塊修復(fù)