這個(gè)IBM服務(wù)器數(shù)據(jù)恢復(fù)案例是IBM服務(wù)器中由4塊146GB的SCSI硬盤組成的RAID-5EE，RAID-5EE屬于IBM公司開發(fā)的一種私有RAID類型，應(yīng)用并不是太多，通過(guò)這個(gè)實(shí)際案例來(lái)講解RAID-5EE的數(shù)據(jù)恢復(fù)方法。

首先把每塊物理硬盤做成鏡像文件，并命名從0.dsk到3.dsk，我們稱它們?yōu)橛脖P0到硬盤3，但這些編號(hào)是任意編排的，并不一定是RAID的盤序。

為了節(jié)省篇幅，本案例在分析時(shí)以講解思路為主，只把關(guān)鍵位置做一下截圖。

1.分析RAID開始扇區(qū)

用WinHex同時(shí)打開4個(gè)鏡像文件，分析它們的第一個(gè)扇區(qū)，其中硬盤0的第一個(gè)扇區(qū)為MBR，如圖所示。

硬盤0的MBR中分區(qū)表內(nèi)只有一個(gè)表項(xiàng)，類型為07，分區(qū)開始于63扇區(qū)，大小是573463548扇區(qū)，因?yàn)?塊物理盤組成的RAID-5EE實(shí)際只能用到2塊盤的容量。
再看硬盤1的第一個(gè)扇區(qū)，結(jié)果發(fā)現(xiàn)全都是0，如圖所示。

硬盤2的第一個(gè)扇區(qū)也是一個(gè)MBR，如圖所示。最后查看硬盤3的第一個(gè)扇區(qū)，也全部是0，這里就不貼圖了。

4塊硬盤的第一個(gè)扇區(qū)，2個(gè)是MBR，2個(gè)是空扇區(qū)，如何理解呢？其實(shí)也很好理解，2個(gè)MBR一個(gè)是校驗(yàn)信息，另一個(gè)是真實(shí)的MBR，而2個(gè)空扇區(qū)，一個(gè)是熱備塊，另一個(gè)則作為MBR之后的保留扇區(qū)，這同時(shí)也能證明該RAID的條帶大小是小于64扇區(qū)的。

另外，MBR扇區(qū)在物理盤的頭部，而且是有效的MBR，所以該RAID開始扇區(qū)就是物理盤的0號(hào)扇區(qū)。

2.分析RAID結(jié)構(gòu)（1）分析條帶大小。

RAID結(jié)構(gòu)的分析首先還是從條帶大小入手，對(duì)于RAID-5EE也是這樣。

條帶大小有很多分析方法，在RAID-5EE中可以利用熱備塊進(jìn)行分析，如果RAID-5EE沒(méi)有物理盤離線過(guò)，那么熱備塊就不會(huì)被寫入數(shù)據(jù)，每個(gè)熱備塊中就全部為00，通過(guò)熱備塊就很容易判斷出條帶大小。

不過(guò)如果熱備塊已經(jīng)被寫入數(shù)據(jù)，或者RAID-5EE中的物理盤不是全新的硬盤，原來(lái)寫過(guò)數(shù)據(jù)，那么熱備塊即使沒(méi)被使用，其中也可能是非零數(shù)據(jù)。

本案例的熱備塊內(nèi)恰好都是00，分析發(fā)現(xiàn)在物理盤中每隔48個(gè)扇區(qū)就有16個(gè)空扇區(qū)，所以很容易地就從熱備塊中判斷出條帶大小是16個(gè)扇區(qū)。

（2）分析盤序和校驗(yàn)方向。

接下來(lái)判斷盤序以及校驗(yàn)方向，這從$MFT文件入手比較方便，通過(guò)搜索在硬盤3的31號(hào)扇區(qū)發(fā)現(xiàn)了DBR，這就可以從DBR的BPB參數(shù)算出SMFT在物理盤中的扇區(qū)號(hào)，然后將4塊物理盤同時(shí)跳轉(zhuǎn)到一個(gè)都有文件記錄的扇區(qū)開始分析。

因這臺(tái)服務(wù)器使用Windows2000系統(tǒng)，所以SMFT文件的文件記錄中沒(méi)有記錄號(hào)，不過(guò)這也沒(méi)關(guān)系，雖然增加了一些麻煩，但也并不影響分析。

該RAID雖然是4塊物理盤組成的，但排除熱備塊和校驗(yàn)塊，其實(shí)一個(gè)條帶組中只有兩個(gè)數(shù)據(jù)塊，所以在文件記錄區(qū)域，校驗(yàn)扇區(qū)的前4個(gè)字節(jié)經(jīng)過(guò)兩個(gè)相同的46494C45異或運(yùn)算后結(jié)果一定是4個(gè)00，從這一點(diǎn)就能很容易判斷出校驗(yàn)扇區(qū)。再加上熱備塊中都是0，也給分析帶來(lái)了很多方便。

我們選定了97號(hào)扇區(qū)作為分析的起始扇區(qū)，其中硬盤0的97號(hào)扇區(qū)內(nèi)容如圖所示。

硬盤0的97號(hào)扇區(qū)是完好的文件記錄，說(shuō)明它是數(shù)據(jù)，不是校驗(yàn)信息，也不是熱備塊。

硬盤1的97號(hào)扇區(qū)內(nèi)容如圖所示。

硬盤1的97號(hào)扇區(qū)同樣是完好的文件記錄，說(shuō)明它也是數(shù)據(jù)，不是校驗(yàn)信息，也不是熱備塊。

硬盤2的97號(hào)扇區(qū)內(nèi)容如圖所示。

硬盤2的97號(hào)扇區(qū)顯然是校驗(yàn)信息，因?yàn)樗那?個(gè)字節(jié)已經(jīng)被異或?yàn)?0。

硬盤3的97號(hào)扇區(qū)內(nèi)容如圖所示。

硬盤3的97號(hào)扇區(qū)全都是0，其后的14個(gè)扇區(qū)也是空扇區(qū)，所以這是一個(gè)熱備塊。

按照這個(gè)思路，以16個(gè)扇區(qū)為一個(gè)條帶組，分析并記錄下來(lái)每一個(gè)條帶組中的數(shù)據(jù)結(jié)構(gòu)，在分析了多個(gè)條帶組之后，記錄下如圖所示的信息。

圖3-521中P表示校驗(yàn)塊，HS表示熱備塊，D表示數(shù)據(jù)塊，因?yàn)槲募涗浿袥](méi)有記錄號(hào)，所以沒(méi)有辦法借鑒記錄號(hào)進(jìn)行分析。

從圖3-521中很容易判斷出盤序，即硬盤0為0號(hào)盤、硬盤1為1號(hào)盤、硬盤2為2號(hào)盤、硬盤3為3號(hào)盤，也能判斷校驗(yàn)方向是右結(jié)構(gòu)，但數(shù)據(jù)的循環(huán)方向是異步還是同步無(wú)法判斷，還必須從其他方面再想辦法進(jìn)行分析。

（3）分析數(shù)據(jù)的循環(huán)方向。

還是看圖的結(jié)構(gòu)，我們選定從129號(hào)扇區(qū)所在條帶組的3號(hào)盤的D1數(shù)據(jù)塊入手，如果數(shù)據(jù)塊D1的最后一個(gè)扇區(qū)的數(shù)據(jù)能跟數(shù)據(jù)塊D2的第一個(gè)扇區(qū)銜接，那么就是異步結(jié)構(gòu)；如果數(shù)據(jù)塊D1的最后一個(gè)扇區(qū)的數(shù)據(jù)能跟數(shù)據(jù)塊D3的第一個(gè)扇區(qū)銜接，那么就是同步結(jié)構(gòu)。

首先找到數(shù)據(jù)塊D1的最后一個(gè)扇區(qū)，即硬盤3的143號(hào)扇區(qū)，發(fā)現(xiàn)它是一個(gè)文件記錄的第一個(gè)扇區(qū)，其內(nèi)容如圖所示。

在圖的文件記錄中，“更新序列號(hào)”這個(gè)參數(shù)的值為0600，這個(gè)值會(huì)出現(xiàn)在文件記錄第一個(gè)扇區(qū)的最后兩個(gè)字節(jié)和第二個(gè)扇區(qū)的最后兩個(gè)字節(jié)，目前這個(gè)扇區(qū)已經(jīng)是該條帶中最后一個(gè)扇區(qū)，所以該文件記錄的第二個(gè)扇區(qū)只能存放在下一個(gè)條帶組相應(yīng)物理盤的第一個(gè)扇區(qū)，這個(gè)扇區(qū)的最后兩個(gè)字節(jié)一定是0600，下面數(shù)據(jù)塊D2的第一個(gè)扇區(qū)和數(shù)據(jù)塊D3的第一個(gè)扇區(qū)，看它們誰(shuí)的最后兩個(gè)字節(jié)是0600。

數(shù)據(jù)塊D3跟數(shù)據(jù)塊D1在同一物理盤上，我們就先看數(shù)據(jù)塊D3的第一個(gè)扇區(qū)，即硬盤3的144號(hào)扇區(qū)，其內(nèi)容如圖所示。

數(shù)據(jù)塊D3的第一個(gè)扇區(qū)最后兩個(gè)字節(jié)是0400，顯然不是數(shù)據(jù)塊D1最后一個(gè)扇區(qū)所在文件記錄的后半部分。
再找到數(shù)據(jù)塊D2的第一個(gè)扇區(qū)，即硬盤0的144號(hào)扇區(qū)，其內(nèi)容如圖所示。

數(shù)據(jù)塊D2的第一個(gè)扇區(qū)最后兩個(gè)字節(jié)是0600，所以是數(shù)據(jù)塊D1最后一個(gè)扇區(qū)所在文件記錄的后半部分，這就證明數(shù)據(jù)塊D1的最后一個(gè)扇區(qū)的數(shù)據(jù)能跟數(shù)據(jù)塊D2的第一個(gè)扇區(qū)銜接，該RAID數(shù)據(jù)循環(huán)方向確定為異步結(jié)構(gòu)，所以這個(gè)RAID-5EE為右異步結(jié)構(gòu)。

到些該IBM服務(wù)器的RAID結(jié)構(gòu)分析完成，虛擬RAID創(chuàng)建成功后就可以看到分區(qū)了。

本文系轉(zhuǎn)載，如有侵犯版權(quán)問(wèn)題，請(qǐng)通知。我們立即刪除。

轉(zhuǎn)載請(qǐng)注明：成都千喜數(shù)據(jù)恢復(fù)中心 » IBM服務(wù)數(shù)據(jù)恢復(fù)RAID-5EE 實(shí)例