本帖最后由 bsmao 于 2012-12-15 08:37 编辑
5. img
在5.img发现了$MFT的文件记录,1.img,2.img和3.img也都是文件记录。4.img的同一扇区应该是校验。(一个是右边有非法字符,另外也可以通过更新序列号异或计算一下)。下边对比文件记录号如下:1572927号扇区 1.img是C0 00 00 00 192 2.img是80 00 00 00 128 3.img是40 00 00 00 64 5.img是00 00 00 00 0 4.img是校验 这样块大小就知道了,64*2=128 下面计算一下盘序和结构,再向下跳转128扇区看一下,1572927+128=1573055 ,经过对比,1.img应该是校验。再向下跳转128扇区,以此类推,校验快的分布就出来了。如图
通过论坛上下载的RAID5盘序计算程序很快算出了盘序:1.4.5.3.2 (也可以通过MOD计算出盘序)。左结构。下面计算一下是同步还是异步,把上图整理一下,如图
|