中文字幕在线无码一区二区三区,99热国产在线手机精品,无 ,久久WWW免费人成人片_2018高清一道国产_成人乱 ,五十路丰满中年熟女中出_欧美精品一区二区蜜臀亚洲

$BOOT文件由DBR和NTLDR區(qū)域構(gòu)成，DBR中的BPB參數(shù)對分析RAID結(jié)構(gòu)很有幫助，另外，$BOOT文件有時候還能夠幫助我們判斷條帶大小以及RAID成員盤的盤序。

一、通過BPB參數(shù)定位$MFT文件

在分析NTFS文件系統(tǒng)的RAID結(jié)構(gòu)時，經(jīng)常會從SMFT文件入手，所以能夠準確、快速地找到$MFT文件在物理盤中的位置是分析的前提。

舉例來說，一個由兩塊成員盤組成的RAID-0,這兩塊成員盤已經(jīng)做成文件鏡像，分別命名為l.img、2.img,將它們都用WinHex打開，在l.img的63號扇區(qū)找到了一個NTFS 的DBR,如圖所示。

用WinHex模板査看一下這個DBR的BPB參數(shù)，如圖所示。

從上圖的BPB參數(shù)中能夠知道該文件系統(tǒng)每簇扇區(qū)數(shù)為8, $MFT文件的開始簇號為786432,所以吋以計算出$MFT文件在該邏輯卷中的扇區(qū)號為786432*8=6291456,而該RAID是由兩塊物理盤組成的，所以$MFT文件在物理盤中的開始扇區(qū)大致為 (6291456/2) +63=3145791。跳轉(zhuǎn)到l.img的3145791號扇區(qū)，果真是$MFT文件的開始, 如下圖所示。

2.通過$BOOT文件判斷條帶大小及盤序

—個由3塊成員盤組成的RAID-5,這3塊成員盤已經(jīng)做成文件鏡像，分別命名為l.img、 2.img、3.img,將它們都用WinHex打開，通過分析發(fā)現(xiàn)1.img的31號扇區(qū)是NTFS文件系統(tǒng)的DBR,如下圖所示。

NTFS文件系統(tǒng)的DBR后面應(yīng)該緊跟著NTLDR區(qū)域，但l.img的32號扇區(qū)卻不是 NTLDR區(qū)域，如下圖所示。

l.img的32號扇區(qū)不是NTLDR區(qū)域的內(nèi)容，說明其32號扇區(qū)沒有跟31號扇區(qū)的DBR 銜接，所以32號扇區(qū)與31號扇區(qū)不是一個條帶內(nèi)的數(shù)據(jù)，通過這一點基本可以判斷該 RAID-5的條帶大小為32號扇區(qū)。