在RAID數(shù)據(jù)恢復(fù)的分析過程中，分區(qū)結(jié)構(gòu)吋以確定RAID成員盤的部分盤序，還可以幫我們確定RAID在物理盤中的起始扇區(qū)等信息，下面舉例說明。
1.用分區(qū)結(jié)構(gòu)判斷盤序
一個RAID0由兩塊1TB的物理盤組成，為了分析該RAID-0的盤序，將兩塊物理盤 同時用WinHex打開査看它們的第一個扇區(qū)，其中硬盤1的第一個扇區(qū)的內(nèi)容如下圖所示。
從上圖可以看到硬盤1的第一個扇區(qū)內(nèi)全部為0。 硬盤2的第一個扇區(qū)的內(nèi)容如下圖所示。
從上圖可以看到硬盤2的第一個扇區(qū)內(nèi)是一個完整的MBR結(jié)構(gòu)，有引導(dǎo)程序、有分區(qū)表及結(jié)束標志。
從這兩塊RAID-0成員盤第一個扇區(qū)的分析很容易判斷出，硬盤2是該RAID-0的0 號盤，硬盤1是該RA1D-0的1號盤，即硬盤2在前，硬盤1在后。
2.用分區(qū)結(jié)構(gòu)判斷RAID在物理盤中的開始扇區(qū)
下面再介紹一個用分區(qū)結(jié)構(gòu)判斷RAID在物理盤中的開始扇區(qū)的例子。
—個由3塊成員盤組成的RAID-5,這3塊成員盤已經(jīng)做成文件鏡像，分別命名為l.img、 2.img和3_img,將它們都用WinHex打開，l.img的第一個扇區(qū)如下圖所示。
從上圖中看這個扇區(qū)既不是MBR磁盤結(jié)構(gòu)第一個扇區(qū)的內(nèi)容，也不是動態(tài)磁盤和 GPT磁盤第一個扇區(qū)的內(nèi)容。
2.img的第一個扇區(qū)如下圖所示。
從上圖中看這個扇區(qū)既不是MBR磁盤結(jié)構(gòu)第一個扇區(qū)的內(nèi)容，也不是動態(tài)磁盤和 GPT磁盤第一個扇區(qū)的內(nèi)容。
最后再看3.img,它的第一個扇區(qū)如下圖所示。
從上圖來看，這個扇區(qū)同樣不是MBR磁盤結(jié)構(gòu)第一個扇K的內(nèi)容，也不是動態(tài)磁 盤和GPT磁盤第一個扇區(qū)的內(nèi)容。
以上3塊成員盤的第一個扇區(qū)的數(shù)據(jù)可能是RAID控制器寫入硬盤的配置信息，也就 是說它們并不是該RA1D-5邏輯盤內(nèi)的數(shù)據(jù)。
我們嘗試在每塊成員盤中搜索MBR,結(jié)果在l.img的128號扇區(qū)發(fā)現(xiàn)了MBR，如下圖所示。
然后跳轉(zhuǎn)到2.img的128號扇區(qū)，發(fā)現(xiàn)該扇區(qū)的內(nèi)容與l.img的128號扇區(qū)完全一樣,如下圖所示
最后再跳轉(zhuǎn)到3.img的128號媧區(qū)，發(fā)現(xiàn)該扇區(qū)的內(nèi)容全部為0,如下圖所示
3.img的128號扇區(qū)內(nèi)容全部為0,這也就能夠解釋為什么l.img的128號扇K和2.img 的128號扇區(qū)的內(nèi)容完全一樣了。
從上面的分析可以得出結(jié)論，該RAID-5的真正起始位置在物理盤的128號扇區(qū)。
本文系轉(zhuǎn)載，如有侵犯版權(quán)問題，請通知。我們立即刪除。
轉(zhuǎn)載請注明：成都千喜數(shù)據(jù)恢復(fù)中心 » Windows系統(tǒng)分區(qū)結(jié)構(gòu)在RAID數(shù)據(jù)恢復(fù)分析中的作用
