0x30属性在RAID分析中比较有用的是文件名信息。通过各成员盘文件名的比较能够判断出哪个条带是校验块。

下面通过实例说明,一个3块成员盘组成的RAID-5。同时跳转到3块成员盘的3145797号扇区,这是$MFT的文件记录部分,它们的0x30属性如图17-18所示。

0x30属性在RAID分析中的作用-数据恢复迷

图17-18 3块成员盘的0x30属性

图17-18中阴影部分是3块成员盘同一扇区0x30属性中的文件名信息,很明显1.img的文件名部分都是乱码,所以1.img当前扇区所在条带是校验块。