编者按磁盘阵列（RAID），将多个物理磁盘按照一定的形式和方案组织起来，虚拟化成一个或者多个虚拟磁盘，这些虚拟磁盘的数据以条带的方式分布存储于所有的物理磁盘中，以此来获得更大的存储空间以及更快的传输性能。

按照RAID的构建方式，可以将RAID分成两类：硬RAID和软RAID。硬RAID需要依托硬件RAID控制器来实现RAID的构建，而软RAID则不需要，直接依托的操作系统和相关软件来实现RAID的构建。

针对MDADM管理软件创建的RAID取证，美亚柏科技术专家对Linux服务器上常用的软RAID管理软件MDADM进行了深入研究，为大家提供了一种更为简单的新方法。

一、MDADM简介

MDADM是Linux操作系统上开源的软RAID用户层管理工具，允许用户创建和管理软RAID磁盘阵列。

目前，MDADM支持大部分常见的阵列类型，如JBOD、RAID0、RAID1、RAID4、RAID5、RAID6、MULTIPATH、RAID10等，创建和管理RAID也十分的方便，同时，MDADM使用非常灵活，磁盘或者分区都可以作为RAID的成员盘来创建软RAID。

在Linux下采用MDADM工具的--create命令来创建软RAID磁盘组，其中MDADM创建软RAID部分重要参数说明如下：

以上，技术专家使用MDADM创建软RAID的命令行如下：

mdadm --create /dev/md/testmd001 -l 5 -p right-symmetric -n 4 -x 1 /dev/sdb{1,2,3,4,5}

当命令行成功执行后，即在/dev/md设备目录下成功创建名称为testmd001的磁盘阵列，阵列为RAID5常规右同步类型，未指定条带大小情况下默认条带大小为512K，其中RAID的成员盘分别为设备 /dev/sdb1，/dev/sdb2，/dev/sdb3和/dev/sdb4，此外还有个热备盘为 /dev/sdb5。

MDADM查询创建好的软RAID详细信息也十分方便，可以直接MDADM工具的--detail命令来查看对应的软RAID的参数，其中部分RIAD部分重要参数说明如下：

以上，技术专家用mdadm --detail /dev/md/testmd001命令查询/dev/md设备目录下名称为testmd001的软RAID的相关信息。

如下图，通过MDADM命令在Linux上成功创建并启用磁盘阵列/dev/md/testmd001。

如下图，通过MDADM命令查看创建好的软RAID的相关参数。

二、MDADM技术方案

MDADM管理的软RAID的成员盘可以分为三个部分：系统预留区、参数配置信息区以及实际的组成软RAID的数据区。组成RAID的每一个成员盘的结构都是一样，结构图如下图所示。

参数配置信息中保存了对应软RAID组的所有参数信息，包括：MDADM的版本、创建时间、修改时间、RAID盘序、条带大小、RAID类型、名称、UUID等信息。其中，参数配置信息部分重要字段如下表：

对于同一组软RAID来说，组成RAID的成员盘（磁盘或者分区皆可）的UUID是一致的，可以一起来唯一确定一组软RAID的所有成员盘，并根据主磁盘中记录的软RAID的参数对这些成员盘进行重组，组成最终结果，因此，可通过以下流程对Linux软RAID进行离线解析。

其中的核心都在于如何识别出MDADM的成员盘以及对MDADM的成员盘参数的解析处理。

三、总结

随着Linux服务器取证需求的日益增多，取证人员可能会越来越多的遇到MDADM结构的软RAID。本文从MDADM的结构入手，对MDADM的磁盘结构进行深入分析并提出了MDADM软RAID的取证思路。

近期技术分享文章：

1、macOS Unified Log取证分析【美亚技术分享VOL.65】

2、Laravel PHP框架网站重建技术分析【美亚技术分享VOL.64】

3、音频文件损坏怎么办？恢复教程看这里【美亚技术分享VOL.63】

4、干货|想知道如何下载物理镜像吗？快来get吧！【美亚技术分享VOL.62】

5、视频中的行为识别【美亚技术分享VOL.61】