苹果系统阵列RAID5磁盘阵列数据恢复分析

硬盘爱好者 · 发表于 2016-12-9 22:30:25

第一次做苹果下的阵列，2天的样子零零散散把苹果的文件系统熟悉了，然后通过winhex逐步分析。通过客户描述，这个阵列只有1个分区，由于是6个盘的RAID5，每个盘是2T，所以数据的大小大致为10T左右。用winhex加载6个硬盘后，2个盘中第一个扇区都是保护MBR，即该阵列采用的是GPT分区。通过跳转到数据区，分析HFS+文件系统的卷头，从中获取编录文件的开始位置。编录文件的内容开始是头节点，标志是01，并得到每节点字节数是16个扇区。然后在其他盘中相近的位置也找到节点信息。然后通过节点的结构，分析出盘的顺序和条带大小。不过这里的盘的顺序并没完全分析出来，也用了一些推测和假设。硬盘顺序为4-1-5-0-2-6，条带大小为128KB，方向为右循环异步。恢复文件后发现全是一些广告的素材视频资料。