1） 固定思路

扣押、封存数据库文件所存放的服务器或存储介质；或者对数据库文件所存放的存储介质进行全部镜像或分区镜像。（特殊情况需要现场提取数据库文件的情况可参考后续文章介绍）

2） 注意事项

a) 数据库文件存储位置可能存在异机存储的情况，可以通过网络系统中数据库连接配置确认数据库存放服务器的位置；

如下图数据库连接配置文件所示：

（数据库为SQL server，存放在IP为192.168.3.204的服务器上，当前网站连接的数据库名为CMS5.0，数据库连接访问的账号为sa，密码为xly123456）

b) 部分本地服务器中涉案网站（及数据库）所在主机为虚拟主机（VM等），需要注意对虚拟主机进行取证；

c) 数据库文件所在分区位置需要根据具体数据库类型及相关配置文件进一步确认；

常见数据库类型数据库文件默认存放位置和确认方法，如图所示：

数据库连接配置文件确认数据库文件位置，如图所示为Windows下MYSQL数据库my.ini中数据库文件存储位置；

d) 本地正在运行的涉案数据库在固定时需要注意操作合规性（内存数据固定、正常关闭服务再固定等），某些数据库会因为非正常关闭出现后期模拟仿真故障，具体情况具体讨论；

e）数据库固定时需要注意不要忽视数据库相关的备份文件，如：SQL文件、.bak文件、Excel文件等格式的备份文件固定提取。

云端网络空间（即云端主机）数据库固定的主要目的：固定完整的涉案数据库文件或所在空间镜像。根据不同的云端网络空间类型分为多种固证情况，具体如下：

1）独立服务器主机或虚拟主机中数据库固定

➢ 特点

具备独立的操作系统，租用运营商服务，具备公网或内网连接地址，具备远程系统管理（远程桌面、SSH/xftp、运营商服务控制台、FTP管理、DMS系统等）。

➢ 固定思路

➢ 注意事项

a) 云端数据库固定尽可能固定完整的涉案数据库文件或对数据库文件所在空间进行镜像，这样获取的数据库数据更全，对于删除情况下的数据恢复和数据库日志分析等操作更有利；

b) 固定完整的涉案数据库文件，主要包含数据库数据存储文件、日志文件等；

c) 对于存在境外不便协查或不便获取相关信息的，可能要多考虑社工、渗透、系统管理人员询问、管理电脑相关历史信息查看等方式获取数据库连接访问权限；

d) 对于沟通流程畅通（境内）的数据库所在的云端运营商，建议协查，数据更全，鉴于云端数据容易被远程破坏，建议在已知相关连接访问信息的前提下及时按远程勘验标准完成数据库固定，或者寻求运营商冻结相关数据。

2）云空间中数据库固定

➢ 特点

只拥有主机中相关服务使用权限，租用运营商服务，具备公网或内网连接地址，具备远程管理（运营商服务控制台、FTP管理、DMS系统等）。

➢ 固定思路

FTP远程下载、远程连接数据库备份，具体情况要求同独立服务器主机或虚拟主机中数据库固定类似。

➢ 注意事项

a) 如果数据库采用境外异地存储，目前只固定了网站的原始代码文件的情况，可以通过代码文件中数据库连接配置文件确认数据库连接信息（连接信息可能存在加密处理），再远程连接数据库备份，此种方式获取的数据库只有正常数据，无法恢复删除数据；

b) 对于云空间数据库固定建议尽量采用FTP远程下载获取完整的数据库文件，后期提取分析能得到更多有用信息；

c) 云空间中数据库固定更需要注意时效性，及时固定，防止数据被破坏。