WINHEXRAID纯手工恢复加超详细解

《WINHEXRAID纯手工恢复加超详细解》由会员分享，可在线阅读，更多相关《WINHEXRAID纯手工恢复加超详细解（14页珍藏版）》请在装配图网上搜索。

1、WINHEXRAID修复RAID0分析关于RAID,大家可能有些陌生。在个人电脑上，RAID用的不多，但是windowsXP支持跨区卷和带区卷。Windowsserver2003支持跨区卷，带区卷，RAID-5等。对于RAID0的分析主要在于重组磁盘，重组磁盘就需要确定盘序，块大小，判断磁盘加入阵列的起始位置等。确定了上述参数后就可以重组阵列达到恢复数据的目的了。但是在具体的操作中，要如何确定上述参数呢？这个就要对文彳系统有深入的了解，特别是NTFS文件系统，因为RAID基本都是采用NTFS文件系统，很少有采用FAT32文件系统的。看了马林老师的数据重现之后发现，马林老师给出的实验素材真是精心

2、设计过的了。如果自己做一个RAID就会出现很多和马老师的素材不一样的结果。这里我就从如何组建一个RAID0开始然后逐步分析。马老师给出的方法具有通用性，但是有些时候会出现找不到符合马老师给出的素材的情况，那么就不能用马老师讲的方法了。我们就只能在对文件系统有深入的理解的前提下，分析RAID了。这就要求我们对文件系统有深入的理解，特别是NTFS文件系统。好的，下面我就从组建一个RAID0开始，分析一下RAID0。希望能给大家带来一些启不这个是我在windowsXP下虚拟出的三块磁盘，每块磁盘的大小都是200M三块磁盘做了一个RAID0,采用NTFS格式化。上图显示的三块磁盘的0号扇区，这个扇区的

3、主要作用是一个DOS分区结构。和基本磁盘的MBR有点类似。这个扇区也有一个分区表，但是只占用了一个分区表项。大家看下图分区类型是0x42起始于63号扇区，大小是0x9A200600也就是401562个扇区。而磁盘的总扇区数是409600个扇区。因为在windows系统中采用逻辑磁盘管理也就是LDM。LDM支持JBOD,RAID0,RAID1和RAID5。要组成这些阵列类型，我们需要把我们的磁盘转换成动态磁盘，而LDM就是管理动态磁盘的。动态磁盘有两个重要的部分，一个是LDM分区区域，它占用磁盘的绝大部分，另一个就是动态磁盘的最后1MB,分配给LDM数据库。LDM数据库包含分区区域的分配情况。所

4、以在把基本磁盘转换成动态磁盘时需要在磁盘最后有一定的剩余空间。我们上图显示的类似基本磁盘的分区表部分我们管它叫软分区，分区类型就是0x42而基本磁盘的分区我们就叫硬分区吧。好了，现在我们对组成RAID的磁盘有了一个基本的了解了，我们来总结一下1. 成员盘都是动态磁盘，windows操作系统有个叫LDM的管理它们。2. LDM会在每个成员盘的最后1MB建立一个数据库，记录一些动态盘的信息，而且这个数据库还有一个作用，当我们的成员盘被卸载了加载到其他机器上去之后，如果那台机器采用的和原来的机器一样的RAID那么我们的成员盘又可以组建成原来的RAID了,而数据不会丢失，这就方便了移植。3. LDM会

5、在动态磁盘的0号扇区建立一个如上图所示的软分区表。4. LDM数据库中包含四个区域，一个叫做LDM私有头，一个内容表区域，一个数据库记录区和一个事物处理日志区。5. 软分区描述的扇区总数并没有包括最后那1MB的LDM数据库。好的，我们先看看是不是磁盘的最后1MB是数据库，看看数据库都写了些什么。1MB就是2048个扇区，我们的磁盘有409600个扇区减去2048。那么我们的数据库的起始扇区就是407553号扇区了。OffsetD1234567B9ABCDEFDC7001E0000000DDDDDODD0D00000000 D0000000C7OD1F000000000000000000000O

6、O00DD DC70020054 4F4.3 424C4F434B000000BA000000000C70021000 DDDD。5000000000000000000000000OC7002200 0000000636FCE6h6967(ID0000000000OC7OD2300 000000000LI00000000000005C90006或7 口空q0001DDDD0000ECGF670000QO0000000Q底 4D7553/40Q6001偏程地址C700200TOCBLOCK.5.centig.tleg0C7002200C70023000 00 00 000 00 00 0001

7、oo oo6300DO6F 6E11 oo00 6c66006F69006767000000000000000000 0005 C900 0000 0i000 0600 00-.config.-tlogJbEJ07553 J 409500晅移地址:C70D2T0a硬盘2Offset01234567e9ABCDEFOC7OO1E0330000000000OQ0000000000ooOQ00000C7ODLF00000000000000000oo000000000000。0C700200Bl4F43424C4F434B0(DDOBBA000000口口TOCBLOCK.DC7DD21D000000-

8、lhDD00DDDDDDDD00DODODDQQiDIDOC700220DDDDDDD636F6E666967000000QDQ000-,.config0C7002300000000000110000000000oo05eg0006E.时01000000006C6F67OD00000000)0leg扇区7g3/409600偏移地址0700200=84选块：Offset01234567B9ABcDEFDC7DD1ED00000000DDDDDDDODO000000oo00DO01010C7001FQ0000000000000D0D00ODOD0000000000C700200544F43424C

9、4F434B0000DBBAco0000叫TOCBLOCK.5.CC70021000DDDD0SDD0000000000000000000000看到了吗，真的是有东西签名标志544F434c4F434B具体的数据库分析我们就不做了，太费时了，如果大家有兴趣可以加我共同讨论。这里我只是想让大家知道在RAID0中的各成员盘的具体结构是怎样的，写入的各部分数据有什么作用。我们回到0号扇区，找到那个软分区表，分区表显示分区的起始扇区是63号扇区，那么也就是说磁盘加入阵列的起始扇区是63号扇区。通过搜索发现前面的63个扇区除了0号扇区有一个软分区表6号扇区有一些东西其他扇区都是零。好的，我们转到63号扇

10、区看看。1确定盘序:4EB 52 9D 4E 54eRiNTFS 9 A R 0 Du L l nn OOOOZEOD 00007E10 00007E2D 00007E30 00007E40 00007E50000D000200trrrffe-az63/409600 J 0200000D800000600 0 E00O 030a oa oa16 D 00 0D DB FA 004S FB 0a00 ao33B8530D000D00CO0020 00 0 0 0008E0D20 3F FFFFIFDOEE2D 口口5F2F54BCCO20FF 12 0 9AE 00 3300 00口口CO7cD

11、B023F0a oa89FBC6DI 0D DO00AEBB 06 00 0a oo ca co 0E00 0D00 0DF2 7 00偏移地址.7E20.y/TeAIAd-I0e. . , . . IA3I1E.二0侬.Offset000D7E0D 00007E10 0DDO7E2D 00007E30 00007E4000007E500 12L E2 IE C9F3 OBCOEEFl503EFE7 0B AFEB93B7 79 6S 35B5 F& 9E74 014 5 6 73 9 A E C D E772Z034c11F556ai D7 68 63 42 9F DE08 579E E55

12、4C6 5AEFF5 37 CAE3F6 1.0IEBB9EFB5847EE00E7ICA6E3 63 267FF466E7B22A55FO919694950EA5C3 63IF2B 1.9 E5E5154c5B66043Dfi6C2C3DD 5E9 77 42C3 27 04 5m FD0C 2E,3.Ewlli.I6A.AA 口 一曰白刈6白亡西 Ailp.hl?! .Fl .X?. 11 由百叫门+ 1 .5 n.yl.BTalalILlay P-kt3liIbGc*ia=wlOffset0123456789ABCDEF闻0D0D7ED01S_DFD4F94B39ceF7FADE3917

13、2CFLA47E.B(5uK8iE-ijtjg. ,nHBl00007E1027Fl76077B7DBCBBE9FACAE66E51F45400007E20EC59BC03177CBE12E97C5762D2C7D72DiYW. . |5i .e|WbdQx-0007E3D0BE2007D5789BlFC610ED300744016BBUl)WIiilie.0D007E4DE46EClEAA2C3E62D2F49S3AF922EFDACanAeCAae-/IS0007E50BCIE5Fca02355DD6F2713EF5ASAFao7A!i._A,5O6qd；-.z93BAED0E53273B

14、C656DE3443D96170OEI0P.S网闻艇633口96007偏移地址7E30= 139选块：偏移地址:7 BOD* Sfi 3扇区E4O弼0。=1选陕：看到了吗，硬盘1的63号扇区是DBR而其他两块盘的这样我们就能知道硬盘 1就是这个RAID0 其他方法确认了，而且我们在这里知道了硬盘3肯定就是相邻的了。我们可以通过寻找硬盘 小。这个方法不错。但是很遗憾，我做的这个的第一块盘了。1 是 RAID063号扇区不是 DBR而是数据， 至于剩下的两块盘的盘序就通过 的第一块盘，那么硬盘 2和硬盘2和硬盘3的MFT来确认他们的盘序和块大RAID居然找不到合适的 MFT 。也就是说通过比较MF

15、T来判断盘序和块大小的方法就没戏了。那我们怎么办，马老师貌似没有给出方法了。看来我们的自己寻找解决的方法了。因为此RAID采用的是NTFS文件系统，那么我们能不能根据对NTFS文件系统的特点，找找看能不能通过其他的一些特征来确定盘序和块大小呢？我们通过分析DBR得出：1,2,3,4,每簇扇区数1个；$FT起始簇号401408这里就是401408号扇区了；$MFTMIRR起始簇号602111这里也就是602111号扇区了;我们就想了，硬盘1已经确定是的后面。那么系统就是先向磁盘写入RAID0的第一块盘了， $MFTMIRR 的起始扇区在$MFT $MFTMIRR 然后再写入$MFT 了。分区总扇

16、区数1204223个扇区；好的，我们就根据以MFT为线索，我们把每块成员盘的MFT搜索出来，当然就搜索前面几个MFT项就行了。这里我就直接给出我搜索出的结果了硬盘1在20768号扇区搜到了第一个MFT项，这块硬盘一共有3个MFT项分别是1号2号3号MFT项。EJ园区.UEF*t01234567B9AEcDEF06207FFO0000000000000000iQ000ao03no-aezDsooo：目649犯4530DO03口。geDF2000000D000DFILED.1B062DB010010001DO30DO01DOSBDi00DO0004000D.14d-61.4-kb.14d06200

17、20口口00no0000iQOC400DOQO01口口aoonaszoBoia030000m00DOoo口。10DO00DO&a0D0QIOCTri!062DB040000010DO00DOoaDD4日DO00DOia0D000DJ4JBKI.IJH_LL,4a062imSl_耳fl33日日AD74CAl5033BUADCB74PA01P3-t.P3,-EtL.M区刖口距后，4的&0口j皿凯NU=1吧*2:，叵区1r*a大小:AOffset0123455789A下cDEF62Q7FFQ000000000000000000ao00口Dao00000062DB00Qao00aoDOaaDOoaDO

18、aoDOoaDO00DD0QDD0g20B0lH00000000no00DO00ao00DO00。口0Q0000QiQEQD。口00oa00go0000oo口。00000000口口000Q1000G2DB030ao0000DOaoDOoaDaoDOoaDO00DDoa0D0g2D60400000QODOao00DOonao00DO0000OD00口口Q兔0日Q500000QQw口口00QQ叩0000Q0叩QQ00叩00府移盅址:G2D7FFD=0强快:N3大小:-C.Xofes9t0123-456709ABCDEF62D7FF0FFFFFFFFFFFFFFFFFFFFFFFFEFFFFFFFO

19、62DBOO0PFFFFFFnFFFFFFFFFFFFFFFFFFFFFFFF06206010FFFFFFFFFFFFFFFFFFFFFFFfFFFFFFFFQ6ZDS020FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF062DB03DFFFFFFFFFFFFFFFFFFFFFFFFFFFFEFFF06208040FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF620B05QIFFFFFFFFFFFFFFFFFFFFFFFFFFFFEFFF扇区割口漏门的前口塔塔希让62O002C*观生3vvyyyyymc*yyvvvvyyyyy/yyyyyyyyyyyyyyy

20、yyyyvvyyyy733I号Mier蚌也白口旧后nfi酬版本号:2.0yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy=2fi5iSM岫rnnm：臣向亦中心大小：硬盘2133823号扇区搜到了第一个MFT项，这块硬盘一个找到了从0号MFT项至U36号MFT项，我们知道$MFT记录的0号MFT项到15号MFT项是NTFS文件系前面16个重要的元文件16到23号用作保留。而我们这里出现了36号MFT项,显然这个就是文件的MFT项了。硬超OffsetOU60EOO04160E1004ie0E20D416CE300416CE4004160E5004160E607EFFFFFFFFFF

21、FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFSwyyyyyyyyyyyyy力中、母广帝为小际内aqMIliIBIIIIilIilEIliIIIIIilIil1IliyyyyyyyyyyyyyyyyailnnUia(yyyyyyyyyyyyyyyyFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFyyyyyyyyyyyyyyyyar,bnnaryyyyyyyyyyyyyyyy“ME1338

22、95/409600膈福地址.4160E5C=255选块:*硬盘2Offset0123456789ABCDEF4160EOD46_494C45,300003009C4A2口000000000001160E101ao2QD3600QIaoEGaiao00D4aoao0416CE2000ao00000000000005aoDOoa2E0000ao01160E305aoaoaOD0aoao10aoaoa6D0aoao04160E400000DO0000OJ00004800co00IB0000no01160E50DFF2DE87DF74CAai00D6&EaoDF73CAaiQA1S0E604W_D66

23、EAODF73CA01DFF2DB67DF74CADl偏移地址.41GCE2CFILEC.1Jfi&UlfitE.OnBsE.,Onv显区吧出.阿）0=35速块Offset.1234567a9ABcDEF04L60EOO00ao0a00000000ao0000DOoa0000000004L60E10aoaoaoaOD0aoao00aoaoa000aoao04160E20OUQO00OQOD0000000000oa00OD0000口口04L60E30aoaoaoaoD000ao0000ao00D00ao4L60E40OU口口。口oa000000000000oa00000000叩04160E5D0

24、000OD00000000000ao000000D41G0E60000000OD0000口Q000QQ口00QQ0000QO口口扇区133B昵仙口鸵口。脸地址416OE3C=36选梅Offset 06207000 06207C10 0B207C20 06207C30 06207C40 06207C50 06207C600 12 3硬盘3200766号扇区找到了第一个MFT项，这块硬盘就一个MFT项，是0号MFT*趣盘10C000000COCO0C00OCDCDODO00000000QC00OQ叩00QOQO00QO0000QD000(0000000000DO000000000000000000

25、000000000000000QO00ODOOOQ00000000OOOC00ao0000OOCCOOOOOCOODOOD000000oooaoQOoaodooooooooaaaodoooooooOC000000000000OD00000000000000002007SEM09&00脸地址0选段:6207C5CFABCD23785t国gtQ6207C0006207C1005207C206207030&207C4005207C5006207C60000000DO000000000000DODO00000000daoaoaoocooooaoodooaooooaooooao0000000000000

26、000口。0000000。0000000000000000000000000000aoOO00000000ooao叩0000QOoooooooooooooo00DO0C000000COCO0C000C0C00DO00000000D00(JQDOODQ0DOQD00叩0000000000X2GO766J40960C僚移地址0选块:6207C2DJ4FILED.ud769ABCOffset062O7COO06207C1006207C2006207C3006207C40O52O7C5O06207C6D46494C4533QD03FS2C20000D00000001OtFiildo_330001009

27、80100DO00040000oooaoaodoodoooeooao口口口口口口即船000001000000000100000006000oo-ooooolbaooaoooo48ooaaisodoooo5C33BBADCS71CA015033BBADCB74CA口15033B9ADCB74CA01SD33B6ADCB74CA012口口7日614（96应二）偏移地址.0207030LHP3,-Et-P3+-E：t+P3-EtrS.P3j.-EtE.v3圆丸o现在我们应该就能判断了吧，硬盘2号记录的是$MFT这个元文件，而硬盘1和硬盘3记录的是$MFTMIRR这个元文件，也就是$MFT这个元文件前

28、4个MFT项的备份，这个和NTFS系统的描述的样。呵呵，看来分析对了。我们说了系统先写入$MFT在写入$MFTMIRR而硬盘2就是$MFT硬盘1和硬盘3是$MFTMIRR而我们前面已经确定硬盘1是RAID的第一块盘，这里我想我们就能判断出硬盘2就是RAID0的第二块盘了吧。硬盘3是第三块盘。而且根据各磁盘上的MFT参考号，我们也能判断出，系统先向硬盘1写入数据，到该写入$MFT元文件的时候，就转到了硬盘2向硬盘2写入，写入完成之后又转到了硬盘3开始写入$MFTMIRR,因为硬盘3记录的MFI参考号是0接着又跳转到了硬盘1继续写入没有写完的$MFTMIRR所以硬盘1的MFT参考号是从1号开始的，

29、这样就形成了一个完整的写入过程了。盘序分析就出来了。盘序就是硬盘1硬盘2硬盘32确定块大小方法一：猜，逐个试，这个方法虽然笨了一点，但是很管用，我们已经确定了盘序，磁盘加入阵列的起始扇区是63号扇区，而块大小是2的整数次冥，也就是只可能是248163264128等等，那么就挨个试，如果块大小吻合，那么数据就能恢复成功。这里我在选择块大小是128时，数据完美重现了，恢复完成。1硬盘3硬盘2硬盘1分区类型:无法分区的像盘.1fL012.0MBJCD/DVD)ne/:硬盘1+硬盘.文件大小I创建时间neyv修改时间访问时间文件Offset0123456789ABCDEF00000000EB52904

30、E544653202020200002010000eRliSITFS.000000100000000000F800003F00FF003F0000000.?.y.000000200000000080008000FF5F120000000000.1.1.y_.000000300020060000000000FF2F090000000000q/000000400200000008000000IF54AECO89AECOF2tA0000005000000000FA33CO8EDOBC007CFBB8CO07.u3Alf)J4.|000000608ED8E81600B8000D8ECO33DBC606

31、OE00106.,.IA3U0000007010E853006800OD686A02CB8A162400B4.eS.h.hj.El0000008008CD137305B9FFFF8AFl66OFB6C64066.I.s.1yylnf.00000090OFB6DI80E23FF7E286CDCOED064166OFOOOOOOAOB7C966F7El66A32000C3B441BBAA558AEfafE.AAOOOOOOBO162400CD1372OF81FB55AA7509F6Cl01.I.r.luUuooooooco7404FE061400C36660IE0666Al100066t.p区f.

32、fOOOOOODO0306IC00663B062000OF823A00IE666A1OOOOOOEO0066500653666810000100803E140000.fP.Sfh.1OOOOOOFOOF85OC00E8B3FF803E140000OF846100.1.e3yl.00000100B4428A16240016IF8BF4CD1366585B07Bl.$.0000011066586658IFEB2D6633D266OFB7OE1800XX.e-30.0000012066F7FlFEC28ACA668BDO66ClEA10F736f-ntAIEflf)fA000001301A0086D

33、68A1624008AE8COE406OACCB8.101.$.leAa000001400102CD13OF82190082CO0520008ECO66.1.I.lA.00000150FF061000FFOEOE00OF856FFF07IF6661y.y.1oy00000160C3AOF801E80900AOFB01E80300FBEBFEA0.e.u.e.扇区0/1228800偏移地址：0=235选块：linHex-LRAIDD:硬盘J砥盘2+15fi33ValuAe*文件曲编强QJ搜素位置口直若切工且专业工具选项。宦口也帮助卢昌囹曾金-er4D0硬电Li建国.Valwa亡I底1文件名稀扩展

34、4文件大小创国时词修改阻向访问时间文件展第1扇区_lSE)dend344B2009-12-04182.2009-12-0418:2.2009-12-0418:2.SH401430SystemVolumeInformalion296B2009-12-041B2.2009-12-0410:2.2009-12-0416:2.8H401462(376B2009-12-0418:2.2009-12-0418:2.2009d2=0416:2.401466_Jdl8ngYanhiui376B2009-12-0418:2.2009-H2-0418:2.2009-12-0418:2.401468图自帮41KB2

35、00912-0410:2.2009-12-0420:4.2009-12-0420:4.SH6D219QI|SDadClus:Bad_$VDlume由日日日(加国OB2009-120416:2.2009-110410:2.口日2009-13-0416:2.3009-12-041口日2009-12-041&2.2DD9-12-0413:2.2009-12-041S：2.2009-1K418:2.20D9-12-Q413:2.(ADS)SHSHsecure口日20012-04182.2QQ9-12-041B2,2009-12-0413：2,SHJiBoot80K日2009-12-041822009-

36、12-0418:2.20Q9-12-Q4182“SHQiJLogFile5.0MB2009-12-04182.2009-12-0418:2.2009-12-0418:2.SH391248SAttrDef2.5KB2009-12-04182.2009-12-0418:2,.2009-12-0418:2.8HJ01392$Secure:S8DH4.0KB2009-120410:2.2009=12-0418:2.2009-12-0418:2.(ir.D-：i101397SMFT:$BitmapBB2009-12-0420DS-12-0418:2.2009-12-0418:2.(BTIO101407$

37、MFT48.0KB2009-12-0410:2.2009-12-0418:2.2009-12-0418:2.SH40140Q($Socure:$SDS嬴1百tel257KB2009-12-0416:2.2009-12-0419:2.4.0KS2009-13-0416:2.刘映1204117.9KB2009-12-D41&2.2D05-03-1605：1.2009-12-041S：2.200A-12-041S:2.2009-12-0413:2.典UE651936SHGD2I11AB02119国.9硼Q窗4晚盘3.2候盘I|/皿0:硬点1Offset0123567O9A0CDEFeRILTTTSo

38、ooaoaoaEE52ooooooio0000000300200000OQOQQQa0D?000DaD04002000000005000000000006QBED00000007aIDesOOOaDQBO06CD00000090OFBGOOOOOOAOB7C9OQOOOOBO1621aoDODOca7404904E544653000000F8000000800080口6口口oaaoooaooaao0口0000FA33COE816DOB800530063OOCO1373D5B9FFDI80E23FF766F7El66A300CD1372OFFE0614DOC32020202Doa3F00FF00

39、FF5F120QFF2F09DOIF54AEBEDOBC00ODBECO33686A02CBFFBAFlE6E2B6CDCO20OQC3B4SIFT55AA6660IE060002DIODoa3F0000000000000000aoQDDOoo0口CO99AECOF27cFEB8CO07DBC606OE00SA162400B4OFB6C64066ED0641OF41BBAA558A7509F6Cl0166ALIQ660.r.,rr,iriri-H-,+V，*+-1.TAIA6.u3AlD14.|uIfle.d.I.r,，电55.,hjEl一5J.i.s.yyijif.1鲍e.尔痔？JliAi.4.E.i,rJQuQM方法二。通过NTFS的特点以及根据实际的情况就行选取特征计算出块大小，如果，实际情况是能出现马林老师素材中的情况就好了，就能通过MFT项来计算出块大小了，但是很遗憾实际情况没有出现那种情况，具体的操作方法，请大家讨论讨论了，呵呵。好了，就写到这里了，本文的主要目的是讲解RAID0的理论原理，动态磁盘，看看RAID0中系统到底对磁盘进行了哪些写入。这样大家再分析RAID的时候就能做到心中有数了。如果要做阵列恢复，猜测盘序和块大小是一种不错的方法。