Linux分区结构在RAID分析中的作用

在RAID数据恢复的分析过程中，Linux系统的分区结构可以帮助我们确定RAID成员盘的部分盘序，还可以帮我们确定RAID在物理盘中的起始扇区等信息。下面举例说明。

一个Linux服务器中的RAID-0由两块物理盘组成。为了分析该RAID-0的起始扇区和盘序，将两块物理盘同时用WinHex打开查看它们的第一个扇区，其中“硬盘0”的第一个扇区的内容如图18-1所示。

图18-1　“硬盘0”第一个扇区

从图18-1的内容看该扇区比较像RAID信息。

“硬盘1”的第一个扇区的内容如图18-2所示。

图18-2　“硬盘1”第一个扇区

“硬盘1”的第一个扇区全部是0，所以这两块成员盘的第一个扇区都不是MBR磁盘结构第一个扇区的内容，也不是GPT磁盘第一个扇区的内容，有可能是RAID信息。

我们尝试在每块成员盘中搜索MBR，结果在“硬盘0”的128号扇区发现了MBR，如图18-3所示。

图18-3　“硬盘0”的128号扇区

从图18-3可以看到“硬盘0”的第一个扇区内是一个完整的MBR结构，有引导程序、有分区表及结束标志，分区表中有一项Ext3文件系统的表项和一项扩展分区的表项。

再看“硬盘1”的128号扇区，如图18-4所示。

图18-4　“硬盘1”的128号扇区

“硬盘1”的128号扇区内都是0字节。

从这两块RAID-0成员盘第一个扇区及128号扇区的分析很容易判断出：RAID起始扇区是128，并且“硬盘0”是该RAID-0的“0号盘”，“硬盘1”是该RAID-0的“1号盘”。