数据恢复软件图

中国硬盘基地

 找回密码
 立即注册

QQ登录

只需一步,快速开始

查看: 2481|回复: 44

[分享] 服务器5盘位磁盘阵列raid5虚拟重组数据恢复

[复制链接]

该用户从未签到

发表于 2016-12-2 14:06:35 | 显示全部楼层 |阅读模式
服务器5盘位磁盘阵列raid5虚拟重组数据恢复,环境是在2003下自己搭建的,5块5G的硬盘组成的RAID5,把每块硬盘单独做了镜像用来分析,分别是1.img—5.img 。首先用winhex打开5个镜像,

001.jpg


分别查看5个镜像的0号扇区,发现都是MBR,经过计算分区大小,全是5G,也就是单个硬盘的大小。所以都不是RAID5逻辑盘的有效MBR。在向下搜索“55AA”,在1.img的63号扇区发现了一个DBR,如图

002.jpg

其他镜像里搜索的扇区数比较大,放弃了。1.img 63号扇区的DBR经计算分区大小正好是20G,和RAID5逻辑盘的大小相符,所以可以认为是RAID5逻辑盘的有效DBR,这样就确定了raid5起始扇区在1.img的63号扇区。下面来计算一下块大小,上图中可以看到,DBR扇区的下一个扇区正好是ntldr的的起始区域,说明这个扇区和DBR扇区是连续的,所以块大小大于或等于128。下面在跳转到1.img的127号扇区看一下,是不是和128号扇区有连续性。

003.jpg

如上图,这个地方看不出来有没有连续性。那么只能找到$MFT的文件记录再来分析了。根据DBR中的描述,$MFT起始于分区的786432号簇,也就是6291456号扇区,这样用6291456/(5-1)+63=1572927就是mft的绝对扇区号,就算有误差也不会很大。下面把所有镜像跳转到1572927扇区,如图

004.jpg

005.jpg

006.jpg

007.jpg

008.jpg

在5.img发现了$MFT的文件记录,1.img,2.img和3.img也都是文件记录。4.img的同一扇区应该是校验。下边对比文件记录号如下:1572927号扇区1.img是C0 00 00 00      1922.img是80 00 00 00      1283.img是40 00 00 00       645.img是00 00 00 00        04.img是校验这样块大小就知道了,64*2=128 下面计算一下盘序和结构,再向下跳转128扇区看一下,1572927+128=1573055 ,经过对比,1.img应该是校验。再向下跳转128扇区,以此类推,校验快的分布就出来了。如图

009.jpg

通过INTOHARD论坛下载的RAID5盘序计算程序很快算出了盘序:1.4.5.3.2 。左结构。下面计算一下是同步还是异步,把上图整理一下,如图

010.jpg

011.jpg

1573183号扇区的4个数字为文件记录号。计算同步还是异步,只需要查找768号文件记录是在1.img的1573311号扇区还是在2.img的1573311号扇区。如果在1.img的1573311号扇区,说明是左异步,如果在2.img的1573311号扇区,说明是左同步。查找后,768号文件文件记录在2.img。如下图

012.jpg

游客,如果您要查看本帖隐藏内容请回复

该用户从未签到

发表于 2016-12-2 18:10:18 | 显示全部楼层
服务器5盘位磁盘阵列raid5虚拟重组数据恢复 [修改]
高级模式
回复 支持 反对

使用道具 举报

  • TA的每日心情
    奋斗
    2017-8-15 17:11
  • 签到天数: 152 天

    [LV.7]四品道员

    发表于 2016-12-5 09:13:34 | 显示全部楼层
    服务器5盘位磁盘阵列raid5虚拟重组数据恢复
    回复 支持 反对

    使用道具 举报

    该用户从未签到

    发表于 2016-12-7 14:07:44 | 显示全部楼层
    好高深 学习
    回复 支持 反对

    使用道具 举报

  • TA的每日心情

    2017-8-17 01:17
  • 签到天数: 26 天

    [LV.4]七品知县

    发表于 2016-12-12 20:12:59 | 显示全部楼层
    不错,学习了
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    无聊
    2017-12-4 11:28
  • 签到天数: 1511 天

    [LV.Master]三朝元老

    发表于 2016-12-13 22:39:45 | 显示全部楼层
    学学,看看,瞅瞅
    回复 支持 反对

    使用道具 举报

    发表回复

    您需要登录后才可以回帖 登录 | 立即注册

    本版积分规则

    北京数据恢复培训 北京华客数据恢复培训
    快速回复 返回顶部 返回列表