RAID与逻辑卷取证——多块硬盘“拼图”

有些设备用多块硬盘组成存储系统，数据分散在不同盘上。取证第一步是把所有硬盘重组起来。

RAID基础：

RAID 0：两块硬盘轮流存数据（条带化），速度快但一块坏了全丢

RAID 1：两块存一模一样的数据（镜像），安全但空间利用率只有一半

RAID 5：至少三块，数据分散存加校验，允许坏一块

RAID 6：类似RAID 5，允许坏两块

RAID 10：RAID 1+RAID 0，四块起步

RAID取证关键参数：

RAID级别（0/1/5/6/10）

条带大小（Stripe Size）——常见64KB或128KB

盘的顺序——哪块是第一块、第二块

LVM（逻辑卷管理）——Linux的多盘合并方案。取证时用vgscan识别卷组→lvdisplay查看逻辑卷→vgimport导入→lvchange -ay激活→像访问普通分区一样访问数据。

重组工具：UFS Explorer和R-Studio都支持。把所有硬盘镜像加载到软件里，指定RAID级别和参数，软件合成逻辑卷，然后正常分析。

CTF应对：RAID题目通常是几块小容量盘（每块10MB）。用file命令确认是磁盘镜像→加载到R-Studio自动检测→检测不出来就手动分析：用十六进制编辑器看每块盘开头，找数据分布规律，推断条带大小和盘的顺序。CTF题目规模不大，硬啃也能啃下来。