数据恢复----重组raid5解析

重组Raid5

第一步：判断RAID5条带大小

1. 利用winhex同时打开6个物理镜像每块成员盘中的$MFT文件记录（16进制搜索“46494c45”），并且保证找到的文件记录在每块物理盘的同一扇区(在各个镜像中个搜索一遍，发现搜索的第一遍的文件记录所在的扇区数不一致，而为了在同一扇区找出文件记录号，就要寻找在搜索的第一遍的文件记录所在的最大的扇区数（4112），然后让其他5个镜像都跳至4122扇区，找到的文件记录)；
2. 这6块成员盘在4112号扇区的文件记录号分别为256、0，64、192、128、256，文件记录号之间的差值为64，说明该RAID5条带大小是64个文件记录的大小，每个文件记录为2个扇区所以条带大小为128扇区。
3. 第一步中分析出条带大小为128扇区，在4112扇区基础上，往后跳转128扇区，记录下镜像1-6的文件记录号，再往后跳转128扇区，记录下镜像1-6的文件记录号，总共记录4-5次，记录完成后按大小顺序排列调整后

第二步：判断成员盘的初步盘序和校验方向

 

扇区数\镜像序/  记录号

2