WINHEXRAID純手工恢復(fù)加超詳細解

1、WINHEXRAID修復(fù)RAID0分析關(guān)于 RAID,大家可能有些陌生.在個人電腦上,RAID 用的不多,但是 windowsXP 支持跨區(qū)卷和帶區(qū)卷.Windowsserver2003支持跨區(qū)卷,帶區(qū)卷,RAID-5等.對于RAID0的分析主要在于重組磁盤,重組磁盤就需要確定盤序,塊大小,判斷磁盤參加陣列的起始位置等.確定了上述參數(shù)后就可以重組陣列到達恢復(fù)數(shù)據(jù)的目的了.但是在具體的操作中,要如何確定上述參數(shù)呢？這個就要對文彳系統(tǒng)有深入的了解,特別是 NTFS 文件系統(tǒng),因為 RAID 根本都是采用 NTFS 文件系統(tǒng),很少有采用 FAT32 文件系統(tǒng)的.看了馬林老師的?數(shù)據(jù)重現(xiàn)?之后發(fā)現(xiàn),馬

2、林老師給出的實驗素材真是精心設(shè)計過的了.如果自己做一個RAID 就會出現(xiàn)很多和馬老師的素材不一樣的結(jié)果.這里我就從如何組建一個 RAID0 開始然后逐步分析.馬老師給出的方法具有通用性,但是有些時候會出現(xiàn)找不到符合馬老師給出的素材的情況,那么就不能用馬老師講的方法了.我們就只能在對文件系統(tǒng)有深入的理解的前提下,分析 RAID 了.這就要求我們對文件系統(tǒng)有深入的理解,特別是 NTFS 文件系統(tǒng).好的,下面我就從組建一個 RAID0 開始,分析一下 RAID0.希望能給大家?guī)硪恍﹩⒉贿@個是我在 windowsXP 下虛擬出的三塊磁盤,每塊磁盤的大小都是 200M 三塊磁盤做了一個 RAID0,采

3、用 NTFS 格式化.上圖顯示的三塊磁盤的 0 號扇區(qū),這個扇區(qū)的主要作用是一個 DOS 分區(qū)結(jié)構(gòu).和根本磁盤的 MBR 有點類似.這個扇區(qū)也有一個分區(qū)表,但是只占用了一個分區(qū)表項.大家看下列圖分區(qū)類型是 0 x42 起始于 63 號扇區(qū),大小是 0 x9A200600 也就是 401562 個扇區(qū).而磁盤的總扇區(qū)數(shù)是409600 個扇區(qū).由于在 windows 系統(tǒng)中采用邏輯磁盤治理也就是 LDM.LDM 支持 JBOD,RAID0,RAID1 和 RAID5.要組成這些陣列類型,我們需要把我們的磁盤轉(zhuǎn)換成動態(tài)磁盤,而 LDM 就是治理動態(tài)磁盤的.動態(tài)磁盤有兩個重要的局部,一個是 LDM 分

4、區(qū)區(qū)域,它占用磁盤的絕大局部,另一個就是動態(tài)磁盤的最后 1MB,分配給 LDM數(shù)據(jù)庫.LDM 數(shù)據(jù)庫包含分區(qū)區(qū)域的分配情況.所以在把根本磁盤轉(zhuǎn)換成動態(tài)磁盤時需要在磁盤最后有一定的剩余空間.我們上圖顯示的類似根本磁盤的分區(qū)表局部我們管它叫軟分區(qū),分區(qū)類型就是0 x42而根本磁盤的分區(qū)我們就叫硬分區(qū)吧.好了,現(xiàn)在我們對組成RAID 的磁盤有了一個根本的了解了,我們來總結(jié)一下1.成員盤都是動態(tài)磁盤,windows 操作系統(tǒng)有個叫 LDM 的治理它們.2.LDM 會在每個成員盤的最后 1MB 建立一個數(shù)據(jù)庫,記錄一些動態(tài)盤的信息,而且這個數(shù)據(jù)庫還有一個作用,當(dāng)我們的成員盤被卸載了加載到其他機器上去之后

5、,如果那臺機器采用的和原來的機器一樣的 RAID 那么我們的成員盤又可以組建成原來的 RAID 了,而數(shù)據(jù)不會喪失,這就方便了移植.3.LDM 會在動態(tài)磁盤的 0 號扇區(qū)建立一個如上圖所示的軟分區(qū)表.4.LDM 數(shù)據(jù)庫中包含四個區(qū)域,一個叫做 LDM 私有頭,一個內(nèi)容表區(qū)域,一個數(shù)據(jù)庫記錄區(qū)和一個事物處理日志區(qū).5.軟分區(qū)描述的扇區(qū)總數(shù)并沒有包括最后那 1MB 的 LDM 數(shù)據(jù)庫.是 2048 個扇區(qū),我們的磁盤有 409600 個扇區(qū)減去 2048.那么我們的數(shù)據(jù)庫的起始扇區(qū)就是 407553 號扇區(qū)了.好的,我們先看看是不是磁盤的最后1MB 是數(shù)據(jù)庫,看看數(shù)據(jù)庫都寫了些什么.1MB 就看到

6、了嗎,真的是有東西簽名標(biāo)志 544F434C4F434B 具體的數(shù)據(jù)庫分析我們就不做了,太費時了,如果大家有興趣可以加我共同討論.這里我只是想讓大家知道在 RAID0 中的各成員盤的具體結(jié)構(gòu)是怎樣的,寫入的各局部數(shù)據(jù)有什么作用.我們回到 0 號扇區(qū),找到那個軟分區(qū)表,分區(qū)表顯示分區(qū)的起始扇區(qū)是 63 號扇區(qū),那么也就是說磁盤參加陣列的起始扇區(qū)是 63 號扇區(qū).通過搜索發(fā)現(xiàn)前面的 63 個扇區(qū)除了 0 號扇區(qū)有一個軟分區(qū)表 6 號扇區(qū)有一些東西其他扇區(qū)都是零.好的,我們轉(zhuǎn)到 63 號扇區(qū)看看.1 確定盤序:Offset01234567e9ABCD EFOC7OO1E0330000000000OQ

7、 000000 0000ooOQ00 000C7ODLF00000000000000000oo00 0000000000.0C700200Bl4F43424C 4F434B0( DD OB BA000000口口TOCBLOCK.DC7DD21D000000-lhDD 00DD DDDD DD 00DO DO DD QQiDIDOC700220D DD DD DD 636F6E666967 000000 QD Q0 00-,.config0C700230000000000011 00000000 00oo05 eg00 06E.時01000000006C6F67OD 00000000) 0leg

8、扇區(qū)7g3/409600偏移地址0700200=84選塊：Offset01234567B9AB cDEFDC7DD1ED00000000DD DD DD DODO 00 0000oo 00DO 0100C7001FQ0000000000000D0D00OD OD 0000000 000C700200544F43424C 4F434B0000 DB BAco0000叫TOCBLOCK.5.CC70021000DD DD0SDD 0000000000000000000000a 硬盤20C7002200C7002300000006F6E11oo006c000i00006000000000066006

9、F6300DO690067000005C9000067000000000000000000001oooo-.config.-tOffsetD1234567B9 ABCDE FDC7001E0000000DD DD DO DD 0D00000000 D 0000000C7OD1F000000000000000000000OO 00 DDDC700200544F4.3424C 4F434B000000 BA 000000000C70021000DDDD.50000 000000000000 0000 0000OC70022000000000636F CE 6h6967(ID 00 00000000

10、OC7OD2300000000000LI000000000000 05C90006或7口空q0001DD DD 0000EC GF670000 QO 0000000Q底1偏程地址C700200leglogJBEJ07553J409500晅移地址:C70D2T0=84iffia：TOCBLOCK.5.centig.t過比擬 MFT 來判斷盤序和塊大小的方法就沒戲了.那我們怎么辦,馬老師貌似沒有給出方法了.看來我們的自己尋找解決的方法了.由于此RAID采用的是NTFS文件系統(tǒng),那么我們能不能根據(jù)對 NTFS 文件系統(tǒng)的特點,找找看能不能通過其他的一些特征來確定盤序和塊大小呢？我們通過分析DBR 得

11、出：每簇扇區(qū)數(shù) 1 個；$FT 起始簇號 401408 這里就是 401408 號扇區(qū)了；$MFTMIRR 起始簇號 602111 這里也就是 602111 號扇區(qū)了;分區(qū)總扇區(qū)數(shù) 1204223 個扇區(qū)；好的,我們就根據(jù)以 MFT 為線索,我們把每塊成員盤的 MFT 搜索出來,當(dāng)然就搜索前面幾個 MFT 項就行了.這里我就直接給出我搜索出的結(jié)果了硬盤 1 在 20768 號扇區(qū)搜到了第一個 MFT 項,這塊硬盤一共有 3 個 MFT 項分別是uLLNNOOOOZEOD00007E1000007E2D00007E3000007E4000007E50000D0002000200000D80000

12、06000E00O030aoaoa16D000DDBFA004SFB0a00ao33B8530D000D00CO002000000008E0D203FFFFFIFDOEE2D口口5F2F54BCC20FF1209AE00330000口口CO023F0aoa89FBC6DI0DDO00AEBB06000aoocaco000D000DF2700偏移地址.7E20.y/TeAIAd-I0e.,.IA3I1E.二0儂.Offset000D7E0D00007E100DDO7E2D00007E3000007E4000007E50012LE2IEC9F3OBCOEEFl503EFE70BAFEB93B779

13、6S35B5F&9E7401456739AECDE112Z034c11F556aiD76863429FDE08579EE554C65AEFF537CAE3F61.0IEBB9EFB5847EE00E7ICA6E363267FF466E7B22A55FO919694950EA5C363IF2B1.9E5E5154c5B66043Dfi6C2C3DD5E97742C327045mFD0C2E,3.Ewlli.I6A.AA口一曰白刈6?白亡西Ailp.hl?!.Fl.X?.11由百叫門+1.5n.yl.BTalalILlayP-kt3liIbGc*ia=wlOffset012345678 9ABC

14、DEF聞0D0D7ED01S_DFD4 F94B 39ceF7FA DE 3917 2C FL A4 7E.B(5uK8iE-ijtjg.,nHBl00007E1027Fl76077B 7D BC BBE9 FA CAE6 6E 51F4 5400007E20EC 59BC 03177CBE12E9 7C 57 62D2C7 D7 2DiYW.|5i.e|WbdQx-0007E3D0BE2 007D57 89BlFC610E D3 00744016 BBUl)WIiilie.0D007E4DE46E ClEAA2C3 E6 2D2F49 S3 AF922E FDACanAeCAae-/IS00

15、07E50BCIE5F ca02355D D6F271 3E F5AS AF ao 7A!i._A,5O6qd；-.z93BA ED 0E53273B C656DE 3443D9 6170 OEI0P.S網(wǎng)聞艇 633 口 96007偏移地址7E30=139 選塊：看到了嗎,硬盤 1 的 63 號扇區(qū)是 DBR 而其他兩塊盤的這樣我們就能知道硬盤 1 就是這個 RAID0 其他方法確認了,而且我們在這里知道了硬盤3 肯定就是相鄰的了.我們可以通過尋找硬盤小.這個方法不錯.但是很遺憾,我做的這個的第一塊盤了.1 是 RAID063 號扇區(qū)不是 DBR 而是數(shù)據(jù),至于剩下的兩塊盤的盤序就通過的第一

16、塊盤,那么硬盤 2 和硬盤2 和硬盤 3 的 MFT 來確認他們的盤序和塊大RAID 居然找不到適宜的 MFT.也就是說通12,3,4我們就想了,硬盤1 已經(jīng)確定是的后面.那么系統(tǒng)就是先向磁盤寫入RAID0 的第一塊盤了,$MFTMIRR 的起始扇區(qū)在$MFT$MFTMIRR 然后再寫入$MFT 了.4EB529D4E54eRiNTFS9AR0Dtrrrffe-az63/409600J偏移地址:7BOD*Sfi3扇區(qū) E4O 弼0.=1選陜：1 號 2 號 3 號 MFT 項.EJ園區(qū).UEF*t01234567B9AEcDEF06207FFO0000 00 0000 00 0000iQ000

17、 ao 03no-aezDsooo：目6 49犯45 30DO 03口.geDF 200000 0D 000DFILED.1B062DB0100100 01 00 30DO 01DOSBDi 00DO00 04 000D.14d-61.4-kb.14d0620020口口00 00 00 00 i OC4 00 DOQO01口口aoonaszoBoia0300 00 00 00DO oo口.10DO 00DO&a 0D 0QIOCTri!062DB0400000 10 D0 00DO oaDD4日DO 00DOia 0D 000DJ4JBKI.IJH_LL,4a062imSl_耳33日AD74

18、CAl 5033 BUADCB 74 PA01P3-t.P3,-EtL.M區(qū)刖.距后,4的&0口同國北安.2回皿凱 NU=1吧*2:,叵區(qū)1r*a大小:AOffset0123455789A下cD EF62Q7FFQ00 0000 00 00 00 00 0000ao 00口Dao 00 000062DB00Qao 00ao DO aa DO oa DOaoDO oa DO 00 DD 0QDD0g20B0lH00 0000 00 no 00 DO 00ao 00DO 00.口0Q 0000QiQEQD口.口00 oa00 go 00 00 oo口.0000 00 00口口00 0Q1000G2

19、DB030ao 0000 DO ao DO oa DaoDO oa DO 00 DD oa0D0g2D604000 00QO DO ao 00 DO 0nao 00DO 00 00 OD 00口Q兔0日Q5000 00QQw口口00 QQ叩0000 Q0叩QQ 00叩00府移盅址:G2D7FFD=0強快:N3大小:-C.Xof0123-56709ABCDEF62D7FF0FFFF FF FF FF FFFF FFFFFF FF FFEF FF FFFFO62DBOO0PFFFF FFnFF FFFF FFFFFF FF FFFF FF FFFF06206010FFFFFFFF FF FFFF

20、FFFFFFFFFfFFFF FFFFQ6ZDS020FFFF FF FF FF FFFF FFFFFF FF FFFF FF FFFF062DB03DFFFF FF FF FF FFFF FFFFFF FF FFFF FF EFFF06208040FFFFFFFFFFFFFFFFFFFFFFFF FF FF FFFF620B05QIFFFFFFFFFFFFFFFFFFFFFFFFFFFFEFFF扇區(qū)割口漏門的前口塔塔希讓62O002C*觀生3vvyyyyymc*yyvvvvyyyyy/yyyyyyyyyyyyyyyyyyyvvyyyy733I號Mier蚌也白口舊后nfi酬版本號:2.0yyy

21、yyyyyyyyyyyyyyyyyyyyyyyyyyyyy=2fi5iSM岫rnnm：臣向亦中心大小：硬盤 2133823 號扇區(qū)搜到了第一個 MFT 項,這塊硬盤一個找到了從0 號 MFT 項至 IJ36號 MFT 項,我們知道$MFT 記錄的 0 號 MFT 項至 U15 號 MFT項是 NTFS 文件系前面 16 個重要的元文件 16 到 23 號用作保存.而我們這里出現(xiàn)了36 號 MFT 項,顯然這個就是文件的 MFT 項了.硬超OffsetOU60EOO04160E1004ie0E20D416CE300416CE4004160E5004160E607EFFFFFFFFFFFFFFFF

22、FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFSwyyyyyyyyyyyyy力中、母廣帝為小際內(nèi)aqMIliIBIIIIilIilEIliIIIIIilIil1IliyyyyyyyyyyyyyyyyailnnUia(yyyyyyyyyyyyyyyyFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFyyyyyyyyyyyyyyyyar,Bnnaryyyyyyyyyyyyyyyy“ME133895/409

23、600膈福地址.4160E5C=255選塊:*硬盤2Offset0123456789A BCDEF4160EOD46_494C 45,30 0003009C4A2口00 0000000001160E101ao2QD 3600QIaoEGaiao00D 4aoao0416CE2000ao00000000000005aoDO oa 2E0000ao01160E305aoaoaOD 0aoao10aoaoa6D 0aoao04160E400000DO0000OJ000048 00co00IB0000no01160E50DFF2DE87DF 74CA ai00D6&EAODF73CAaiQA1S0E6

24、04W_D6 6EAO DF 73CA 01DFF2DB67 DF 74CADl偏移地址.FILEC.1Jfi&UlfitE.OnBsE.,Onv顯區(qū)吧出.阿041GCE2C=35速塊Offset.1234567a9ABcDEF04L60EOO00ao.口0000 0000 ao00 00 DO oa 0000000004L60E10aoaoaoaOD 0ao ao00 ao aoa000aoao04160E20OU QO 000.OD 0000 0000 000.00 OD 0000口.04L60E30aoaoaoaoD 000 ao00 00 ao00D 00ao4L60E40OU口. .

25、口 .口00 0000 0000 00oa00 000000口.04160E5D0000.口00000 0000 00 ao000000D41G0E60000000QQ QQ 00Q 00QQ口00 QQ 0000QO口扇區(qū)133B昵仙口鴕口.臉地址416OE3C=36選梅硬盤 3200766 號扇區(qū)找到了第一個 MFT 項,這塊硬盤就一個 MFT 項,是 0 號 MFT*趣盤10C000000COCO0C00OCDCDODO00000000QC00OQ叩00QOQO00QO0000QD000(0000000000DO000000000000000000000000000000000QO00O

26、DOOOQ00000000OOOC00ao0000OOCCOOOOOCOODOOD000000oooaoQOoaODOOOOOOOOaaaoDOOOOOOOOC000000000000OD0000000000000000o現(xiàn)在我們應(yīng)該就能判斷了吧,硬盤 2 號記錄的是$MFT 這個元文件,而硬盤 1 和硬盤 3 記錄的是$MFTMIRR 這個元文件,也就是$MFT 這個元文件前 4 個 MFT 項的備份,這個和 NTFS 系統(tǒng)的描述的樣.呵呵,看來分析對了.我們說了系統(tǒng)先寫入$MFT 在寫入$MFTMIRR 而硬盤 2 就是$MFT 硬盤 1 和硬盤 3 是$MFTMIRR 而我們前面已經(jīng)確定

27、硬盤 1 是 RAID 的第一塊盤,這里我想我們就能判斷出硬盤 2 就是 RAID0 的第二塊盤了吧.硬盤 3 是第三塊盤.而且根據(jù)各磁盤上的 MFT 參考號,我們也能判斷出,系統(tǒng)先向硬盤 1 寫入數(shù)據(jù),到該寫入$MFT 元文件的時候,就轉(zhuǎn)到了硬盤 2 向硬盤 2 寫入,寫入完成之后又轉(zhuǎn)到了硬盤 3 開始寫入$MFTMIRR,由于硬盤 3記錄的 MFI 參考號是 0 接著又跳轉(zhuǎn)到了硬盤 1 繼續(xù)寫入沒有寫完的$MFTMIRR 所以硬盤 1 的 MFT 參考號是從1 號開始的,這樣就形成了一個完整的寫入過程了.盤序分析就出了OOO盤序就是硬盤 1 硬盤 2 硬盤 32 確定塊大小2007SEM0

28、9&00臉地址0選段:6207C5CFABCD23785t國gtQ6207C0006207C1005207C206207030&207C4005207C5006207C60000000DO000000000000DODO00000000DaoaoaoocooooaoODOOaooooaooooao0000000000000000口 .0000000.0000000000000000000000000000aoOO00000000ooao叩0000QOOOOOOOOOOOOOOO00DO0C000000COCO0C000C0C00DO00000000D00(JQDOODQ0DOQD00叩0000

29、000000X2GO766J40960C僚移地址6207C2DJ4d769ABCOffset062O7COO06207C1006207C2006207C3006207C40O52O7C5O06207C6D46494C4533QD03FS2C20000D00000001OtFiilDO_33000100980100DO00040000oooaoaoDOODOOoeooao口口口口口口即船000001000000000100000006000oo-oooooLBaooaoooo48ooaaisODOOOO5C33BBADCS71CA015033BBADCB74CA口15033B9ADCB74CA0

30、1SD33B6ADCB74CA010 選塊:FILED.u2口口7日61496應(yīng)二偏移地址.0207030LHP3,-Et-P3+-E：t+P3-EtrS.P3j.-EtE.v3圓丸Offset0620700006207C100B207C2006207C3006207C4006207C5006207C600123方法一：猜,逐個試,這個方法雖然笨了一點,但是很管用,我們已經(jīng)確定了盤序,磁盤參加陣列的起始扇區(qū)是 63 號扇區(qū),而塊大小是 2 的整數(shù)次冥,也就是只可能是 248163264128等等,那么就挨個試,如果塊大小吻合,那么數(shù)據(jù)就能恢復(fù)成功.這里我在選擇塊大小是128 時,數(shù)據(jù)完美重現(xiàn)了

31、,恢復(fù)完成.1Offset0123456789ABCDEF00000000EB52904E544653202020200002010000eRliSITFS.000000100000000000F800003F00FF003F0000000.?.y.000000200000000080008000FF5F120000000000.1.1.y_.000000300020060000000000FF2F090000000000q/000000400200000008000000IF54AECO89AECOF2TA0000005000000000FA33CO8EDOBC007CFBB8CO07.u3

32、Alf)J4.|000000608ED8E81600B8000D8ECO33DBC606OE00106.,.IA3U0000007010E853006800OD686A02CB8A162400B4.eS.h.hj.El0000008008CD137305B9FFFF8AFl66OFB6C64066.I.s.1yylnf.00000090OFB6DI80E23FF7E286CDCOED064166OFOOOOOOAOB7C966F7El66A32000C3B441BBAA558AEfafE.AAOOOOOOBO162400CD1372OF81FB55AA7509F6Cl01.I.r.luUuoo

33、ooooco7404FE061400C36660IE0666Al100066t.p區(qū)f.fOOOOOODO0306IC00663B062000OF823A00IE666A1OOOOOOEO0066500653666810000100803E140000.fP.Sfh.1OOOOOOFOOF85OC00E8B3FF803E140000OF846100.1.e3yl.00000100B4428A16240016IF8BF4CD1366585B07Bl.$.0000011066586658IFEB2D6633D266OFB7OE1800XX.e-30.0000012066F7FlFEC28ACA66

34、8BDO66ClEA10F736f-ntAIEflf)fA000001301A0086D68A1624008AE8COE406OACCB8.101.$.leAa000001400102CD13OF82190082CO0520008ECO66.1.I.lA.00000150FF061000FFOEOE00OF856FFF07IF6661y.y.1oy00000160C3AOF801E80900AOFB01E80300FBEBFEA0.e.u.e.扇區(qū)0/1228800偏移地址：0=235選塊：硬盤3硬盤2硬盤1分區(qū)類型:無法分區(qū)的像盤.1fL012.0MBJCD/DVD)ne/:硬盤1+硬盤.文

35、件大小I創(chuàng)立時間neyv修改時間訪問時間文件linHex-LRAIDD:硬盤J砥盤2+15fi33ValuAe*文件曲編強QJ搜素位置口直假設(shè)切工且專業(yè)工具選項.宦口也幫助盧昌囹曾金-er4D0硬電Li建國.Valwa亡I底1文件名稀擴展4文件大小創(chuàng)國時詞修改阻向訪問時間文件展第1扇區(qū)_lSE)dend344B2021-12-04182.2021-12-0418:2.2021-12-0418:2.SH401430SystemVolumeInformalion296B2021-12-041B2.2021-12-0410:2.2021-12-0416:2.8H401462(376B2021-12-

36、0418:2.2021-12-0418:2.2021d2=0416:2.401466_Jdl8ngYanhiui376B2021-12-0418:2.2021-H2-0418:2.2021-12-0418:2.401468圖自幫41KB202112-0410:2.2021-12-0420:4.2021-12-0420:4.SH6D219QI|SDadClus:Bad_$VDlume由日日日(加國OB2021-120416:2.2021-110410:2.口日 2021-13-0416:2.3009-12-041口日 2021-12-041&2.2DD9-12-0413:2.2021-12-04

37、1S：2.2021-1K418:2.20D9-12-Q413:2.(ADS)SHSHsecure口日 20012-04182.2QQ9-12-041B2,2021-12-0413：2,SHJiBoot80K 日 2021-12-041822021-12-0418:2.20Q9-12-Q4182“SHQiJLogFile5.0MB2021-12-04182.2021-12-0418:2.2021-12-0418:2.SH391248SAttrDef2.5KB2021-12-04182.2021-12-0418:2,.2021-12-0418:2.8HJ01392$Secure:S8DH4.0KB2021-120410:2.2021=12-0418:2.