Ext3文件系统的块组描述符表由很多块组描述符组成,每个块组描述符会记录该块组的块位图的起始块号、i-节点位图的起始块号、i-节点表的起始块号等参数。

块组描述符表的第一条描述符就是0号块组的描述符,其内容包含了0号块组的块位图起始块号、i-节点位图起始块号、i-节点表起始块号,将这些块号乘以每块扇区数,就可以换算出它们的扇区号,然后分别跳转到这些结构所对应的扇区加以验证,这样可以分析出条带大小的范围,也能辨别出校验信息所在。

一个RAID-0由3块成员盘组成,其中“硬盘0”的第一个扇区都为0字节,“硬盘1”的第一个扇区是MBR,MBR中第一个分区表项描述了分区的开始位置在63号扇区。“硬盘2”的第一个扇区也全部为0字节,但其第二个扇区是超级块。通过3块成员盘第一个扇区的内容以及超级块的位置,大致可以判断这个RAID-0的条带大小是小于64的,等于32的可能性很大。

再进一步分析,从超级块的参数中可以看出该分区每个块的大小为8扇区,从而可以算出块组描述符表的开始位置在该成员盘的6号扇区。跳转到“硬盘2”的6号扇区,其内容如图18-9所示。

Ext3文件系统块组描述符在RAID分析中的作用-数据恢复迷

图18-9 “硬盘2”的6号扇区

从图18-9中可以看出“硬盘2”的6号扇区就是块组描述符表,第一个块组描述符的具体参数如图18-10所示。

Ext3文件系统块组描述符在RAID分析中的作用-数据恢复迷

图18-10 第一个块组描述符的具体参数

第一个块组描述符中记录了该块组的i-节点表开始于4号块,因为该文件系统每个块大小是8扇区,所以i-节点表开始于文件系统的32号扇区,换算到“硬盘2”中的物理扇区号是30号扇区。跳转到“硬盘2”的30号扇区,其内容如图18-11所示。

Ext3文件系统块组描述符在RAID分析中的作用-数据恢复迷

图18-11 硬盘2的30号扇区

“硬盘2”的30号扇区确实就是i-节点表的开始,这就证明了该RAID-0的条带大小为32扇区。