{"id":52583,"date":"2019-11-12T00:00:00","date_gmt":"2019-11-11T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh"},"modified":"2020-02-18T14:00:21","modified_gmt":"2020-02-18T11:00:21","slug":"hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","title":{"rendered":"Gennem smerte eller en lang historie om et fors\u00f8g p\u00e5 datagendannelse","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I 2019 stod der en us\u00e6dvanlig harddisk modtaget i vores laboratorium: QUANTUM FIREBALL Plus KA med en kapacitet p\u00e5 9,1 GB. If\u00f8lge ejerens oplysninger opstod der problemer med harddisken tilbage i 2004 p\u00e5 grund af en defekt str\u00f8mforsyning, som ogs\u00e5 p\u00e5virkede harddisken og andre komponenter i PC'en. Herefter blev diskene sendt til forskellige services for at fors\u00f8ge at reparere dem og genoprette data, men uden held. Nogle steder lovede de billig hj\u00e6lp, men l\u00f8ste ikke problemet, andre steder var det for dyrt, og kunden \u00f8nskede ikke at genoprette data. I sidste ende gennemgik disken mange servicecentre. Den blev ofte v\u00e6k, men takket v\u00e6re ejerens omhyggelige notering af information fra forskellige m\u00e6rkater p\u00e5 harddisken lykkedes det ham at f\u00e5 netop sin harddisk tilbage fra nogle af servicecentrene. Disse eskapader gik ikke ubem\u00e6rket hen; p\u00e5 det originale controllerkort var der synlige tegn p\u00e5 oms\u00e6tning, og der manglede synligt SMD-komponenter (jeg vil springe frem og sige, at det er den mindste af dette dykers problemer).<\/p>\n

\"Gennem
\nFig. 1 HDD Quantum Fireball Plus KA 9,1 GB<\/i>
\n<\/a><\/noindex>
\nF\u00f8rst m\u00e5tte vi finde en donor fra arkivet med en arbejdende controller til denne gamle tvilling af harddisken. Da denne opgave var l\u00f8st, kunne vi udf\u00f8re omfattende diagnostiske test. Efter at have kontrolleret motorviklingerne for kortslutning og bekr\u00e6ftet, at der ikke var nogen, installerede vi donorens controllerkort p\u00e5 patientens harddisk. Vi tilslutter str\u00f8mmen og h\u00f8rer den normale lyd af akslen, gennemg\u00e5r kalibreringstesten med opstart af firmware, og efter et par sekunder rapporterer harddisken, at den er klar til at modtage kommandoer fra gr\u00e6nsefladen. <\/p>\n

\"Gennem
\nFig. 2 DRD DSC-indikatorerne angiver klarhed til at modtage kommandoer.<\/i><\/p>\n

Vi reserverer alle kopier af firmwaremodulerne. Vi udf\u00f8rer en integritetskontrol af firmwaremodulerne. Der er ingen problemer med at l\u00e6se modulene, men en analyse af rapporterne viser, at der er nogle m\u00e6rkelige ting.<\/p>\n

\"Gennem
\nFig. 3. Zonekort.<\/i><\/p>\n

Vi bem\u00e6rker zonefordelingstabelen og ser, at antallet af cylindere er 13845.<\/p>\n

\"Gennem
\nFig. 4 P-list (prim\u00e6r liste \u2013 liste over defekter indf\u00f8rt i produktionscyklussen).<\/i><\/p>\n

Vi bem\u00e6rker det alt for lave antal defekter og deres lokalisering. Vi gennemg\u00e5r modulet for skjult log af fabriksdefekter (60h) og finder ud af, at det er tomt og ikke indeholder nogen poster. P\u00e5 baggrund af dette kan vi antage, at der muligvis er blevet foretaget nogle manipulationer med serviceomr\u00e5det for lagermodulerne i et af de tidligere servicecentre, og enten ved en fejl eller med vilje er der blevet skrevet et fremmed modul, eller defektlisten i den originale er blevet renset. For at bekr\u00e6fte denne antagelse opretter vi en opgave i Data Extractor med de aktiverede indstillinger 'oprettelse af sektor-copy' og 'oprettelse af virtuel overs\u00e6tter'. <\/p>\n

\"Gennem
\nFig. 5 Opgaveparametre.<\/i><\/p>\n

N\u00e5r opgaven er oprettet, gennemg\u00e5r vi posterne i partitionstabelen i sektor 0 (LBA 0)<\/p>\n

\"Gennem
\nFig. 6 Prim\u00e6r opstartsoptegnelse og partitionstabel.<\/i><\/p>\n

P\u00e5 offset 0x1BE findes der en eneste post (16 byte). Fil-systemtypen for partitionen er NTFS, offset til begyndelsen er 0x3F (63) sekunder, st\u00f8rrelsen p\u00e5 partitionen er 0x011309A3 (18 024 867) sekunder.
\nI sektor-editoren \u00e5bner vi LBA 63.<\/p>\n

\"Gennem
\nFig. 7 Opstartssektor NTFS<\/i><\/p>\n

If\u00f8lge oplysningerne i opstartssektoren for NTFS-partitionen kan man sige f\u00f8lgende: den accepterede sektorst\u00f8rrelse i volumen er 512 byte (p\u00e5 offset 0x0B er ordet 0x0200 (512) skrevet), antallet af sektioner i clusteret er 8 (p\u00e5 offset 0x0D er byte 0x08 gemt), st\u00f8rrelsen p\u00e5 clusteret er 512x8=4096 byte, den f\u00f8rste MFT-post ligger p\u00e5 offset 6 291 519 sektioner fra diskens begyndelse (p\u00e5 offset 0x30 er det firdobbelte ord 0x00 00 00 00 00 0C 00 00 (786 432) nummeret p\u00e5 den f\u00f8rste cluster MFT. Sektornummeret beregnes ved hj\u00e6lp af formlen: Cluster nummer * antal sektioner i cluster + offset til begyndelsen af partitionen 786 432* 8+63= 6 291 519).
\nVi g\u00e5r videre til sektor 6 291 519.<\/p>\n

\"Gennem
\nFig. 8<\/i><\/p>\n

Men dataene i denne sektor ligner overhovedet ikke en MFT-post. Selvom dette indikerer en mulig forkert overs\u00e6ttelse p\u00e5 grund af en ukorrekt defekt-liste, beviser det ikke dette faktum. Til yderligere kontrol vil vi l\u00e6se disken i 10 000 sektioner i begge retninger i forhold til sektor 6 291 519. Og derefter vil vi udf\u00f8re et s\u00f8gning med regul\u00e6re udtryk i det l\u00e6ste.<\/p>\n

\"Gennem
\nFig. 9 F\u00f8rste MFT-post<\/i><\/p>\n

I sektor 6 291 551 finder vi den f\u00f8rste MFT-post. Dens position afviger fra den beregnede med 32 sektorer, og der f\u00f8lger derefter en kontinuerlig gruppe af 16 poster (fra 0 til 15). Vi indskriver i forskydningstabellen positionen for sektor 6 291 519, som skal flyttes fremad med 32 sektorer.<\/p>\n

\"Gennem
\nFig. 10<\/i><\/p>\n

Positionen for post nr. 16 skal v\u00e6re med en forskydning p\u00e5 12 551 431, men der finder vi nuller i stedet for en MFT-post. Vi udf\u00f8rer en lignende s\u00f8gning i n\u00e6rheden.<\/p>\n

\"Gennem
\nFig. 11 MFT-post 0x00000011 (17)<\/i><\/p>\n

Der opdages et stort fragment af MFT, der begynder med posten nummer 17 med en l\u00e6ngde p\u00e5 53 646 poster) med en forskydning p\u00e5 17 sektorer. For positionen 12 155 431 s\u00e6tter vi forskydningen +17 sektorer i forskydningstabellen.
\nVed at bestemme placeringen af MFT-fragmenterne i rummet kan vi konkludere, at dette ikke ligner en tilf\u00e6ldig fejl, og at registreringen af MFT-fragmenter ved forkerte forskydninger er verificeret. Versionen med den forkerte overs\u00e6tter kan betragtes som bekr\u00e6ftet.
\nFor videre lokalisering af forskydningspunkterne vil vi etablere den maksimalt mulige forskydning. For dette form\u00e5l bestemmer vi, hvor meget slutelementet for NTFS-partitionen (kopien af boot-sektoren) er forskudt. P\u00e5 billede 7 ved forskydning 0x28 er det fjerde ord v\u00e6rdien for partitionens st\u00f8rrelse 0x00 00 00 00 01 13 09 A2 (18 024 866) sektorer. Vi l\u00e6gger forskydningen af selve partitionen fra diskens begyndelse til dens l\u00e6ngde og f\u00e5r forskydningen af slutelementet for NTFS 18 024 866 + 63= 18 024 929. Som forventet, der fandtes ikke den n\u00f8dvendige kopi af boot-sektoren der. Under s\u00f8gningen i n\u00e6rheden blev den fundet med en stigende forskydning p\u00e5 +12 sektorer i forhold til det sidste MFT-fragment.<\/p>\n

\"Gennem
\nFig. 12 Kopi af boot-sektoren NTFS<\/i><\/p>\n

Den anden kopi af boot-sektoren med forskydning 18 041 006 ignoreres, da den ikke vedr\u00f8rer vores partition. Baseret p\u00e5 tidligere aktiviteter er det konstateret, at der i partitionen er indskud af 'fremtr\u00e6dende' i 61 sektorer, som har skubbet dataene.
\nVi udf\u00f8rer en fuld l\u00e6sning af lagermediet, hvor resultatet er 34 ul\u00e6ste sektorer. Desv\u00e6rre kan vi ikke med sikkerhed garantere, at alle de er defekter, der er fjernet fra P-listen, men ved yderligere analyse er det \u00f8nskeligt at tage h\u00f8jde for deres placering, da man i nogle tilf\u00e6lde med sikkerhed kan bestemme forskydningspunkterne med pr\u00e6cision til sektoren i stedet for til filen.<\/p>\n

\"Gennem
\nFig. 13 Statistisk l\u00e6sning af disken.<\/i><\/p>\n

Vores n\u00e6ste opgave vil v\u00e6re at fastl\u00e6gge de omtrentlige forskydningspunkter (ned til den fil, hvor de opstod). For at g\u00f8re dette vil vi scanne alle MFT-poster og opbygge k\u00e6der af filplaceringer (filfragmenter).<\/p>\n

\"Gennem
\nFig. 14 K\u00e6der af filplaceringer eller deres fragmenter.<\/i><\/p>\n

Derefter, bev\u00e6gende os fra fil til fil, leder vi efter, hvorn\u00e5r der i stedet for den forventede filoverskrift vil v\u00e6re andre data, og at den n\u00f8dvendige overskrift vil blive opdaget med en vis positiv forskydning. Og efterh\u00e5nden som vi afklarer forskydningspunkterne, fylder vi tabellen ud. Resultatet af denne udfyldning vil v\u00e6re over 99% filer uden skader.<\/p>\n

\"Gennem
\nFig. 15 Liste over brugerfiler (klienten har givet samtykke til offentligg\u00f8relse af dette skud)<\/i><\/p>\n

For at fastsl\u00e5 punktsforskydninger i enkelte filer kan der udf\u00f8res yderligere arbejde, og ved at kende filstrukturen kan man finde indl\u00e6g af data, der ikke tilh\u00f8rer den. Men i dette tilf\u00e6lde var det ikke \u00f8konomisk rentabelt.<\/p>\n

P.S. Jeg vil ogs\u00e5 gerne henvende mig til kolleger, der tidligere har haft denne disk. V\u00e6r venlig at v\u00e6re opm\u00e6rksom ved arbejde med enhedens firmware og sikkerhedskopier de serviceoplysninger, inden du \u00e6ndrer noget, og undg\u00e5 ogs\u00e5 bevidst at forv\u00e6rre problemet, hvis du ikke har kunnet indg\u00e5 en aftale med klienten om udf\u00f8relsen af arbejdet.<\/p>\n

Tidligere publikation: Besparelser p\u00e5 t\u00e6ndstikker eller datarestitution fra den skrigende HDD Seagate ST3000NC002-1DY166<\/a><\/noindex>
\n
Kilde: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041d\u0430 \u0434\u0432\u043e\u0440\u0435 \u0441\u0442\u043e\u044f\u043b 2019 \u0433\u043e\u0434. \u0412 \u043d\u0430\u0448\u0443 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044c QUANTUM FIREBALL Plus KA \u0435\u043c\u043a\u043e\u0441\u0442\u044c\u044e 9.1\u0413\u0431. \u0421\u043e \u0441\u043b\u043e\u0432 \u0432\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0430 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044f \u043e\u0442\u043a\u0430\u0437 \u0441\u043b\u0443\u0447\u0438\u043b\u0441\u044f \u0432 \u0434\u0430\u043b\u0435\u043a\u043e\u043c 2004 \u0433\u043e\u0434\u0443 \u043f\u043e \u0432\u0438\u043d\u0435 \u0432\u044b\u0448\u0435\u0434\u0448\u0435\u0433\u043e \u0438\u0437 \u0441\u0442\u0440\u043e\u044f \u0431\u043b\u043e\u043a\u0430 \u043f\u0438\u0442\u0430\u043d\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u0445\u0432\u0430\u0442\u0438\u043b \u0437\u0430 \u0441\u043e\u0431\u043e\u0439 \u0436\u0435\u0441\u0442\u043a\u0438\u0439 \u0434\u0438\u0441\u043a \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u041f\u041a. \u0414\u0430\u043b\u0435\u0435 \u0431\u044b\u043b\u0438 \u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u043f\u043e \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-52583","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47At g\u00e5 gennem lidelserne eller en lang historie om et fors\u00f8g p\u00e5 dataredning | ProHoster","description":"\u00c5ret var 2019. Vores laboratorium modtog en ikke helt almindelig lagerenhed for vores tid, QUANTUM FIREBALL Plus KA med en kapacitet p\u00e5 9,1 GB.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0425\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u043f\u043e \u043c\u0443\u043a\u0430\u043c \u0438\u043b\u0438 \u0434\u043e\u043b\u0433\u0430\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u043e\u0434\u043d\u043e\u0439 \u043f\u043e\u043f\u044b\u0442\u043a\u0438 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 | ProHoster","og:description":"\u041d\u0430 \u0434\u0432\u043e\u0440\u0435 \u0441\u0442\u043e\u044f\u043b 2019 \u0433\u043e\u0434. \u0412 \u043d\u0430\u0448\u0443 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044c QUANTUM FIREBALL Plus KA \u0435\u043c\u043a\u043e\u0441\u0442\u044c\u044e 9.1\u0413\u0431.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-11-11T21:00:00+00:00","article:modified_time":"2020-02-18T11:00:21+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"52583","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 04:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:40:27","updated":"2026-01-24 04:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/52583","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=52583"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/52583\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=52583"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=52583"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=52583"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}