|
|
手工分析NTFS6文件记录和校验扇区在笔者前期的文章中，曾经重点介绍过如何恢复RAID5故障后丢失的数据，参考： 实用技巧：恢复RAID5故障后丢失的数据 接续上文，本文重点讲解一下文件记录的特征，这样大家就可以轻松分辨，从而很快的计算出 RAID5中最重要的参数：每块扇区数！只有同时符合所有的特征，才是文件记录！ 分析文件记录 一个文件记录由 头部、属性集合、结束标志共计三部分组成。系统给每个文件记录都分配两个扇区，但经常用不尽！ 一：文件记录头部特征，下图是“文件记录头部”的范围
扇区中每一横行都有16个字节（编号：0~15）。
偏移14处是38
偏移 2C~2F处不能全为零（此处的值是该文件记录的编号）， 属性集合的特征 从偏移 38开始就是“属性集合的地盘了” 属性集合没有固定的范围，主要取决于属性的个数以及每个属性的长度！ 主要看以下几点：每个属性的属性名是否正确，长度是否与实际长度相同并且在书写上符合规范。属性排列的前后次序是否正确。此外属性两两之间还必须是紧密连接，绝无间隔！ 标准和文件名这两个属性是必须有的，并且标准属性必须排第一，文件名属性必须排第二。（从第三个属性开始就没有“次序”的要求了！ 在本例中还有个不常见的40属性在数据属性之前。） 在属性名后面紧跟的是该属性的长度(绿色框中)，可以把它看成“XY 00 00 00”的形式，表示该属性总长度是X行零Y个字节，（一行是十六个字节，半行就是八个）Y必须是0或8，不许是其他数字！ 分析扇区属性 下面结合图讲解：第一个属性必须是标准属性（属性名：10 00 00 00，属性名位置必须在38~3B长度是六行），
第二个属性必须是文件名属性（属性名30 00 00 00，长度是六行半），文件名属性在结尾处会记录着“文件的完整名”在winhex右侧窗格中能看到该文件的扩展名（JPG），如果扩展名这儿是杂乱的字母则可认为这儿不是文件名属性，这个扇区是校验扇区（P扇区）
第三个属性是 40属性，长两行半
第四个属性是数据属性（属性名 80 00 00 00，长度是四行半）
本例中数据属性是最后一个属性。并且属性两两之间是紧密连接，绝无间隔！ 结束标志：“FF FF FF FF”总共是连续的四个FF 。紧接在属性集合后。
在结束标志以后的任何值都与文件记录无关！ 分析NTFS6下的RAID5 下面看看NTFS6下的RAID5是如何计算“每块扇区数”
例如：在Winhex中的显示为 21 00 00 00 .用鼠标选中这四个字节，并且用左键点选最左边的字符“2”， Winhex 数据解释器中“32位“后的数字就是对应的十进制数。 两个编号分别是 49、33 ，（49—33）*2=32。则每块扇区数是32 下面开始用三个例子（下面的三幅图显示的都是校验扇区）演示如何分辨文件记录扇区和校验扇区，有时这两者只有很小的差别，所以我说文件记录的每个特征都要牢记。在图中我会用红色和绿色框标出不符合文件记录特征的地方！ 图一中记录头中偏移14处是F3，属性长度写法不符合规范！
图二中数据属性的标称长度是B8 00 00 00(十一行半)，但是却在第五行的后半行一开始出项了文件记录的结束标志。典型的标称长度与实际长度不符！
图三中 文件名属性结束后既不是其它属性，也不是结束标志，而是5E，所以肯定是校验！
责编：  微信扫一扫实时了解行业动态 著作权声明：畅享网文章著作权分属畅享网、网友和合作伙伴，部分非原创文章作者信息可能有所缺失，如需补充或修改请与我们联系，工作人员会在1个工作日内配合处理。
|
最新专题 |
《存储前沿趋势开讲啦》第一季 .为大数据再造存..
华赛存储培训：第三章_raid技术_v2.0.ppt|
|
