$MFT文件在RAID分析中吋以很方便地幫我們找到校驗塊的位置，還能夠分析出條帶大小。

一.用$MFT文件定位校驗塊

SMFT文件由文件記錄構(gòu)成，每個文件記錄的大小為兩個扇區(qū)，并且文件記錄都是以 固定的4個字節(jié)開始，這4個字節(jié)是十六進制的46 49 4C 45,通過這個特征我們可以判斷 RAID-5中哪些條帶是數(shù)據(jù)塊，哪些條帶是校驗塊。

例如一個由3塊成員盤組成的RA1D-5,這3塊成員盤己經(jīng)做成文件鏡像，分別命名為 l.img、2.img、3.img,將它們都用WinHex打幵，找到$MFT文件所在位置，并把3塊成員 盤跳轉(zhuǎn)到同一個扇區(qū)進行比較，如下圖所示。

從上圖中可以看出1.img和3.img都是正常的文件記錄，扇區(qū)的前4個字節(jié)是十六進制的46 49 4C45,而2.img當(dāng)前扇區(qū)前4個字節(jié)則是0,說明2.img當(dāng)前扇區(qū)所在條帶是 校驗塊。

不過請讀者注意，這種判斷校驗塊的方法只適用于成員盤數(shù)目為奇數(shù)的RA1D-5。

二.用$MFT文件判斷條帶大小

還用上圖中的例子來說，從這3塊成員盤的文件記錄中，還可以看到它們的文件記錄號，如下圖所示

l.img的當(dāng)前文件記錄號為0x23,換算為十進制等于35; 2.img當(dāng)前扇區(qū)是校驗，不用 管它；3.img的當(dāng)前文件記錄號為0x33,換算為十進制等于51,因為當(dāng)前的3塊成員盤都在冋一個扇區(qū)的位置，所以相鄰兩塊成員盤的文件記錄號相減的結(jié)果就是一個條帶包含的文件記錄數(shù)，用51減去35等于16,也就是說該RAID-5條帶大小為16個文件記錄的大小， 而每個文件記錄占2個扇區(qū)，所以條帶大小為32個扇區(qū)。

本文系轉(zhuǎn)載，如有侵犯版權(quán)問題，請通知。我們立即刪除。

轉(zhuǎn)載請注明：成都千喜數(shù)據(jù)恢復(fù)中心 » $MFT文件在RAID數(shù)據(jù)恢復(fù)分析中的作用