扫一扫,访问微社区

新浪微博登陆

只需一步, 快速开始

登录 | 加入雨荷 | 找回密码

数据恢复,winhex视频,数据恢复培训,硬盘数据恢复,raid0,raid1,raid5数据恢复,雨荷数据

 找回密码
 加入雨荷

扫一扫,访问微社区

新浪微博登陆

只需一步, 快速开始

总共6066条微博

动态微博

查看: 6582|回复: 37

5个盘的raid5重组,恢复数据。(自己做的实验)

  [复制链接]
  • TA的每日心情
    开心
    昨天 00:17
  • 签到天数: 2021 天

    [LV.Master]

    新浪微博达人勋

    发表于 2012-12-14 23:03:42 | 显示全部楼层 |阅读模式
    本帖最后由 bsmao 于 2012-12-15 08:40 编辑

    环境是在2003下自己搭建的,55G的硬盘组成的RAID5,把每块硬盘单独做了镜像用来分析,分别是1.img—5.img 。首先用winhex打开5个镜像,

    01.JPG

    分别查看5个镜像的0号扇区,发现都是MBR,经过计算分区大小,全是5G,也就是单个硬盘的大小。所以都不是RAID5逻辑盘的有效MBR。在向下搜索“55AA”,在1.img63号扇区发现了一个DBR,如图

    02.JPG

    其他镜像里搜索的扇区数比较大,放弃了。1.img 63号扇区的DBR经计算分区大小正好是20G,和RAID5逻辑盘的大小相符,所以可以认为是RAID5逻辑盘的有效DBR,这样就确定了raid5起始扇区在1.img63号扇区(这个地方有点疑问,回头请各位老师指导)。下面来计算一下块大小,上图中可以看到,DBR扇区的下一个扇区正好是ntldr的的起始区域,说明这个扇区和DBR扇区是连续的,所以块大小大于或等于128。下面在跳转到1.img127号扇区看一下,是不是和128号扇区有连续性。

    03.jpg

    评分

    参与人数 1威望 +5 收起 理由
    wangyadong0096 + 5 很给力!

    查看全部评分

  • TA的每日心情
    开心
    昨天 00:17
  • 签到天数: 2021 天

    [LV.Master]

    新浪微博达人勋

     楼主| 发表于 2012-12-14 23:08:40 | 显示全部楼层
    如上图,这个地方看不出来有没有连续性。那么只能找到$MFT的文件记录再来分析了。根据DBR中的描述,$MFT起始于分区的786432号簇,也就是6291456号扇区,这样用6291456/5-1+63=1572927就是mft的绝对扇区号,就算有误差也不会很大。下面把所有镜像跳转到1572927扇区,如图
    1.       img

    04.jpg

    2.  img

    05.jpg


  • TA的每日心情
    开心
    昨天 00:17
  • 签到天数: 2021 天

    [LV.Master]

    新浪微博达人勋

     楼主| 发表于 2012-12-14 23:10:43 | 显示全部楼层
  • TA的每日心情
    开心
    昨天 00:17
  • 签到天数: 2021 天

    [LV.Master]

    新浪微博达人勋

     楼主| 发表于 2012-12-14 23:14:29 | 显示全部楼层
    本帖最后由 bsmao 于 2012-12-15 08:37 编辑

    5. img

    08.jpg

    在5.img发现了$MFT的文件记录,1.img,2.img和3.img也都是文件记录。4.img的同一扇区应该是校验。(一个是右边有非法字符,另外也可以通过更新序列号异或计算一下)。下边对比文件记录号如下:1572927号扇区
    1.img是C0 00 00 00      192
    2.img是80 00 00 00      128
    3.img是40 00 00 00       64
    5.img是00 00 00 00        0
    4.img是校验
    这样块大小就知道了,64*2=128 下面计算一下盘序和结构,再向下跳转128扇区看一下,1572927+128=1573055 ,经过对比,1.img应该是校验。再向下跳转128扇区,以此类推,校验快的分布就出来了。如图

    09.jpg

    通过论坛上下载的RAID5盘序计算程序很快算出了盘序:1.4.5.3.2 (也可以通过MOD计算出盘序)。左结构。下面计算一下是同步还是异步,把上图整理一下,如图

    11.jpg
  • TA的每日心情
    开心
    昨天 00:17
  • 签到天数: 2021 天

    [LV.Master]

    新浪微博达人勋

     楼主| 发表于 2012-12-14 23:16:03 | 显示全部楼层
    继续整理


    12.jpg

    1573183号扇区的4个数字为文件记录号。计算同步还是异步,只需要查找768号文件记录是在1.img1573311号扇区还是在2.img1573311号扇区。如果在1.img1573311号扇区,说明是左异步,如果在2.img1573311号扇区,说明是左同步。查找后,768号文件文件记录在2.img。如下图

    13.jpg
  • TA的每日心情
    开心
    昨天 00:17
  • 签到天数: 2021 天

    [LV.Master]

    新浪微博达人勋

     楼主| 发表于 2012-12-14 23:18:07 | 显示全部楼层
    这样,所有参数都计算出来了:
    Raid5的起始扇区 63号扇区(这里有点疑问,重组时只能这样才看得到数据)
    块大小 128扇区
    盘序 1.4.5.3.2
    数据结构 左同步
    下面重组数据,如图

    14.jpg

    15.jpg
  • TA的每日心情
    开心
    昨天 00:17
  • 签到天数: 2021 天

    [LV.Master]

    新浪微博达人勋

     楼主| 发表于 2012-12-14 23:19:39 | 显示全部楼层
  • TA的每日心情
    开心
    昨天 00:17
  • 签到天数: 2021 天

    [LV.Master]

    新浪微博达人勋

     楼主| 发表于 2012-12-14 23:21:31 | 显示全部楼层
    R-Studio

    17.jpg


    18.jpg

    恢复成功,数据经验证没有问题。
  • TA的每日心情
    开心
    昨天 00:17
  • 签到天数: 2021 天

    [LV.Master]

    新浪微博达人勋

     楼主| 发表于 2012-12-14 23:32:13 | 显示全部楼层
    这个实验比较简单,适合我这样的新手。各位老师多给指导指导!虽然重组成功了,但是起始扇区在63号扇区这还有点疑问,为什么不能从0扇区开始计算。看的一些教程里,0扇区应该有个raid5的分区表才对呀?这里全是单个硬盘容量大小的分区表。不明白。呵呵
  • TA的每日心情
    开心
    昨天 00:17
  • 签到天数: 2021 天

    [LV.Master]

    新浪微博达人勋

     楼主| 发表于 2012-12-15 20:43:20 | 显示全部楼层
    今又天试验了6个盘的raid5重组,和单数盘的的区别在于校验块的判断上复杂了一些,通过对比30属性确定了校验块在哪个盘上,确定了盘序和循环方向,以及同步还是异步,最终重组成功。特此写出来共享一下。呵呵
  • TA的每日心情
    奋斗
    2014-2-12 09:01
  • 签到天数: 127 天

    [LV.7]伴坛终老

    新浪微博达人勋

    发表于 2012-12-16 10:24:36 | 显示全部楼层
    支持下楼主   正在学习中{:22|}
  • TA的每日心情
    开心
    昨天 00:17
  • 签到天数: 2021 天

    [LV.Master]

    新浪微博达人勋

     楼主| 发表于 2012-12-16 10:39:58 | 显示全部楼层
    感谢支持!一起学习,一起进步。呵呵

    该用户从未签到

    新浪微博达人勋

    发表于 2013-3-13 01:09:02 | 显示全部楼层
    学习了··不过还有点深奥。
  • TA的每日心情
    开心
    2017-2-2 08:54
  • 签到天数: 64 天

    [LV.6]站长亲人

    新浪微博达人勋

    发表于 2013-3-13 19:40:52 来自手机 | 显示全部楼层
    天运 发表于  18 小时前
    学习了··不过还有点深奥。...

    慢慢来,冰冻三尺绝非一日之寒。来自: iPhone客户端
  • TA的每日心情

    2013-9-22 10:17
  • 签到天数: 139 天

    [LV.7]伴坛终老

    新浪微博达人勋

    发表于 2013-3-15 13:45:05 | 显示全部楼层
    不错不错,支持一下。做教程辛苦了,支持原创!
    发表回复
    您需要登录后才可以回帖 登录 | 加入雨荷 新浪微博登陆

    本版积分规则

    Copyright © 2001-2015 All Rights Reserved雨荷数据安全技术论坛 陕ICP备08105630

    QQ|申请友链|小黑屋|手机版|Archiver|雨荷数据安全技术论坛 ( 陕ICP备17009169号

    快速回复 返回顶部 返回列表