Deci, încercați să găsiți parametrii necunoscuți ai unui simplu volum RAID 5
Este necesar să se determine:
1. Ordinea discului
2. Bloc Dimensiune
3. Ordinea blocului
4. Disc Offset
Discuri care formează RAID, este pentru că în fișierul de imagine R-Studio:
Disk1.arc
Disk2.arc
Disk3.arc
Click pe imagine pentru marire
componentă fișiere de imagine RAID este deschis în R-Studio
Notă: în ciuda faptului că R-Studio găsit un obiect Disk1 pe Disk2.arc, acest lucru nu înseamnă că el este primul disc în RAID.
NDalee necesare pentru a determina sectorul de boot NTFS.
Să Sectoarelor valoare câmp anterioare partitie (Branch secțiunea anterioară) în panoul Șabloane (template-uri)
Click pe imagine pentru marire
Panoul Șabloane (template-uri) pentru disk2 și Disk3
În acest caz, sectorul precedent secțiunea - acest sector este 16065.
Dacă această valoare este mai mare de 63 de ani, atunci trebuie să-l împărțim cu N-1, unde N - numărul de discuri (în acest caz N = 3), cu rezultatul că vom obține o valoare de 8.032. Aceasta este o poziție aproximativă pentru a începe căutarea pentru sectorul de boot NTFS. Este necesar să se înceapă căutarea de la acest punct pentru a găsi sectoarele de boot vechi partiții NTFS.
În căutare caseta de dialog (Căutare) introduceți EB 52 90 4E 54 46 53 20 20 20 20 (sectorul de boot NTFS începe întotdeauna cu acești octeți) în câmpul HEX, setați radio de la poziția curentă (poziția curentă) și un tip de 0 câmpul de căutare offset (Căutare prejudecată).
Click pe imagine pentru marire
Aceste Căutare de dialog (căutare) pentru a începe căutarea pentru sectorul de boot NTFS
Am găsit următoarele setări
Octeți pe sector (bytes pe sector): 512
Sectoarele per grup (sectorul de cluster): 8
Cluster Numărul logic pentru fișierul $ MFT (logic Cluster Numărul pentru fișierul $ MFT): 786432
Parametrii găsite anterior:
RAID Offset: 0
În continuare avem nevoie pentru a determina MFT (master file table) de pe disc:
1. Încercați să găsiți o MFT aproximativă de offset de la începutul RAID:
MFT compensate de la început partiție în sectoare = logice Număr Cluster Sectoarelor fișier $ MFT * per grup + RAID de offset = 786432 * 8 + 0 = 6291456
În cazul în care diferența nu este RAID 0, este necesar să se adauge la rezultatul ecuației de mai sus.
Pornind de la primul disc MFT = MFT compensate de la începutul acestei secțiuni în sectoarele / (N-1) = 6291456/3145728 = 2
Click pe imagine pentru marire
Primul sector al fișierului pe Disk3 de înregistrare. Începutul blocului de date.
Este important să rețineți următoarele: Fișierul semnătură se încheie cu o valoare de 0, ceea ce înseamnă că numerele de înregistrare de fișiere nu a fost suprascris valoare fixup. În cazul în care sa încheiat valoare * (FILE *), apoi, în viitor, ne-ar trebui să schimbe modul în care căutare.
Format $ .M.F.T. (HEX 24 00 4D 00 46 00 54), arată că aceasta este MFT start corect.
Având în vedere că sectorul 3153792 mai aproape de faptul că ne-a găsit exemplar de offset MFT 3145728, decât sectorului 10241463, atunci presupunerea este că Disk3 este primul disc în RAID.
În continuare, trebuie să ținem cont de faptul că înregistrarea fișier în MFT ocupă două sectoare și o serie de date de înregistrare de succes pe un RAID 5 un bloc de date este scris la o unitate, apoi următorul bloc de date la unitatea următoare, apoi blocul de paritate pe al treilea disc. Un exemplu de o astfel de schemă este prezentată în tabelul de mai jos.
Primul disc RAID
Al doilea disc RAID
disc RAID a treia