PC-3000 Data Extractor RAID Edition案例研究,从典型的Linux RAID中恢复数据

案例研究从典型Linux RAID中恢复数据

来自客户的原始数据盘:10个硬盘

让我们创建RAID

扩展每个驱动器

我们看到每个成员都有相同的分区。在Linux RAID是典型的——在开始时有一些小型分区构建为RAID-1(镜像)，而大分区则具有另一个具有数据的RAID级别。

让我们检查我们的假设并构建RAID-1。

看起来不错，就像典型的Linux FHS一样。我们可以通过检查intergity来确保镜像和数据是相同的。

分区有4 980 480 LBA, RAID验证表明LBA 0…4 980 351是可以的(几乎所有)，这意味着RAID-1配置是正确的。

我对第二个分区也是这样做的。

无法打开分区，所以让我们检查原始RAW恢复。

以上是截图。没有什么signifitact。看起来这个分区是Linux swap。

最后，我们找到数据分割。让我们将交换分区旁边的扇区设置为新RAID的开始扇区，并在每个成员处启动原始恢复。

在本例中，我发现10个成员中有9个位于同一个位置(LBA 9 453 288)，并且Superblock描述相同的配置。所以我们可以得出结论，这是有效的，在没有找到超级块的地方RAID可能是错误的驱动。

为这个超级块是1.0版本，所以我们可以构建map并确切地知道RAID的初始LBA。

从截图可以看到，是9455328。我们将它设置为RAID开始。

提示:记住，您只能对一个驱动器使用set“from”或“till”LBA，然后使用快捷方式对每个成员进行应用

According metadata of RAID superblock we know that it was RAID 5 LS, block size was 128.

让我们创建这样的类型RAID并清除表

现在转到资源管理器选项卡。

正如您所看到的，Data Extractor在I2单元中发现了block 0，这是在真正的RAID5
LS中无法实现的。它遵循两个结论——分区开始的LBA是不正确的(但是我们可以相信建立超级块的可能性较小)或者是错误的。让我们检查第二个假设并将0设置为A0。

分区。让我们使用“查找raid -block的最终版本”特性。

正如你看到的，它创建了9个块。让我们对Ext3文件系统的元数据再次使用这个特性。

它创立了更多块，现在很明显，它确实是raid5ls。

在此之后，我们可以看到文件夹srtucture。

现在完成RAID配置的最快方法是在RAID空间中搜索头有问题的文件和文件夹，然后使用“查找RAID-blocks的最终版本”特性。

建立了一些这样的文件和RAID配置!

现在可以扩展RAID。最后一步-检查完整性。

另外，如果您将看到一些文件被损坏——您可以排除在超级块没有被发现的情况下，并创建SPECIAL_XOR而不是它。