linux(ext3)raid0手工分析方法
本次恢复的案例是linux ext3 3个盘的raid0，通过winhex分析的方法。 首先分析raid0有以下几个条件：1 是 raid0 的开始位置 2 是 raid0块大小 3 是raid0 的盘序。 我们用winhex 打开要恢复的3个镜像文件，1.img 2.img 3.img  2.img 3.img从这三个镜像截图我们可以看出，在0号扇区位置上，1号镜像是一个mbr其他的全是00。根据这些信息我们可以分析出raid 的开始位置是0号扇区，1号镜像为这个raid0的第一个盘。 下面我们分析这个raid0的块大小，我是特殊字符来定位的。首先我们看这个raid0的分区表，第一个分区是ext3的开始位置是63sec。在1号镜像转到63是00，转到65我们发现了一个ext的超级块，说明这个raid的块大小一定是大于64sec。这个案例的块大小我们通过一些特殊字符来定位，打开1.img的127号扇区和129号扇区。   1.img 127sec  1.img 129sec这2个位置我们可以看出127扇区和129扇区是连续的，块大小还要大出这个位置。下面我们看1.img的255sec和257sec在这个位置连续点断开了，说明这个raid0的块大小是256sec。好我们再分析一下盘序，我们要找和1.img 255sec能连接的下一个块的位置在那个镜像，经搜索在3.img的1号扇区的位置找到和1.img255sec连接的字符。说明1.img和3.img是连续的，以上结果我们可以分析出，1.img是1号盘 3.img是2号盘 2,img是3号盘。   1.img 255sec  3.img 1sec以上的分析过程我们可以得出这个raid0的参数：raid0的开始位置为：0sec 块大小：256sec 盘序：1.img 3.img 2.img 青岛四通数据恢复中心 www.raidst.com www.hdd120.net 联系人：王工 电话：15063041430
|
