对于当前的这个案例来讲，从图5上可以看出：在窗口的左面均是绿色的，说明XOR测试通过，这四块磁盘上的数据是同步的；在窗口的右面，列出了在Disk1.img的第8扇区上有MBR，第71扇区上有DBR。在Disk3.img的1402扇区上有未知格式DBR。从基本情况描述上了解到，这个RAID内只有一个NTFS的分区，所以这个未知格式DBR不是我们要寻找的。
我们现在来看Disk1.img上的MBR和DBR：MBR里定义了一个NTFS的分区，这个分区是从63扇区开始，大小是578277个扇区。这些信息和这个RAID的基本情况描述的比较接近，所以这个MBR应该是这个RAID的MBR。根据在准备知识里提到的MBR所在的扇区就是RAID的起始扇区，所以这个RAID在各个磁盘上的起始扇区就是8号扇区（扇区的编号是从0号开始的），即每块磁盘的前面8个扇区是没有用处的，在重组RAID时需要剔除掉。
使用DE3打开Disk1.img，找到DBR的位置（71扇区），在view菜单里选择as Boot Record或者直接按F10键，会看到如图6所示内容。
图6
注意红框内的内容，它们分别表示每簇扇区数和$MFT所在的簇。用$MFT所在簇乘以每簇扇区数得到$MFT位于当前分区的哪个扇区上。因为在每个分区前面都有一部分的隐藏扇区，所以用$MFT在当前分区的位置加上当前分区前面的隐藏扇区数便得到了这个$MFT在RAID内的绝对位置（从这个RAID的0扇区开始）。RAID5的使用容量比磁盘的实际容量少一块盘的容量（用来存储交验数据了），所以$MFT在每块磁盘上的位置就应该是用$MFT的绝对位置除以盘数减一。又因为每块磁盘前面存有一部分RAID信息，所以$MFT在单块磁盘上的位置还要再加上RAID信息所占用的扇区数（起始扇区数）。具体公式如下：
由于数据是按照条带存储在硬盘上的，所以这个公式计算出来的MFT位置只是个大概位置，MFT在每块磁盘上的实际位置应该在这个位置附近。而且，在这之后的有关计算会因为计算时所选取的扇区号等原因出现一些误差，一般在±4个扇区之内。
在这个例子中，MFT所在的位置=192759*1/(4-1) 8 =64261。所以，MFT在每块磁盘上的位置为64261扇区附近。使用DE3打开每个镜像文件的64261扇区，在view菜单里选择as File entry或者按F6键，会看到如图7所示内容。
图7
这里面的每一条记录对应MFT里的一条记录。这时，向下拖拽滑动条，会在记录文件名的地方出现乱码、文件名内出现非法字符（* ? \ / : ”
