朋友们,大家好,
我们时常需要处理格式化过的驱动器。大多数文件系统对于从格式化驱动器恢复数据有特殊的规则。有时,我们处理格式化过的 RAID 阵列。对于 RAID 案例,数据恢复有不同的规则,但主要原则仍然相同。

在今天的案例中,我们有一个包含 6 个驱动器的 RAID 阵列。根据初步分析,每个磁盘的前 125,000,000 个扇区被格式化了:它们被填零,并为整个 RAID 阵列创建了新的 MBR + GPT。

我们的策略是寻找紧邻格式化区域之后的数据。为此,我们专注于格式化前的文件系统结构,而不是新的结构。在 RAID Edition 工作区中添加所有成员。

从 RAID 阵列恢复数据的"瑞士军刀"是 RAW 恢复和统计分析。我们对所有成员在 125,000,000 扇区之后的部分启动 RAW 恢复并查看结果。

关键在于获取有关块大小的信息。这里,它是 512 个扇区。
下一步是进入统计分析,并选择块大小为 512。

将驱动器数量设为 6,并设置延迟 = 1 作为开始。

在此图表上看不到周期性的结构。让我们尝试将延迟值设置为 16。

此图表说明了前 4 个磁盘的 XOR 区域。同时,它显示开头存在约 2000 个扇区的偏移。
其他磁盘的情况相同。

开头的偏移提示我们去定义分区的起始位置(对于软件 RAID,可能是 RAID 阵列的起始位置)。我们该怎么做呢?是的,在 RAW 恢复中。
它在这里:

我们感兴趣的是位于 LBA 503,318,015 处的较大分区。复制此 LBA。
下一个有用的工具是计算器。


在右侧,我们粘贴了 NTFS 引导记录的 LBA。

在左侧,我们得到了此引导记录在 RAID 阵列上的近似 LBA。

复制此值。

并在 RAID 配置中查找它。

请注意,我们现在正在处理推测的配置。并且引导记录在此配置上的位置可能与建议的位置不同。

在我们的案例中,它们是相同的。
我们为找到的 NTFS 引导记录添加虚拟 NTFS 分区。


清空我们的矩阵,并尝试基于 NTFS 结构设置配置。

第 1 个块完成…
第 2 个块…

第 3 个块…

Data Extractor 允许我们使用标准配置参数填充某些单元格。

完成!

文件结构良好。

保存配置。

请记住,初始的 RAID 配置已被格式化。因此,要在保存的配置上打开 NTFS 分区,我们需要手动添加它。
我们记得 NTFS 引导记录的 LBA。

在扇区编辑器中粘贴此 LBA。

并从扇区编辑器添加 NTFS 分区。


本文的主要目的是展示 Data Extractor RAID Edition 的强大功能。Data Extractor RAID Edition 是一个灵活且复杂的数据分析和数据恢复工具。如果您想深入了解 RAID 案例的数据恢复,请随时联系我们的技术支持部门。