{"id":52583,"date":"2019-11-12T00:00:00","date_gmt":"2019-11-11T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh"},"modified":"2020-02-18T14:00:21","modified_gmt":"2020-02-18T11:00:21","slug":"hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","title":{"rendered":"Der Weg durch das Leiden oder eine lange Geschichte eines Versuchs zur Datenwiederherstellung","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Im Jahr 2019 kam ein nicht ganz gew\u00f6hnlicher Speicher QUANTUM FIREBALL Plus KA mit einer Kapazit\u00e4t von 9,1 GB in unser Labor. Laut dem Besitzer trat der Ausfall im Jahr 2004 durch einen defekten Netzteil auf, der die Festplatte und andere PC-Komponenten besch\u00e4digte. Anschlie\u00dfend gab es zahlreiche Versuche, den Speicher in verschiedenen Servicecentern zu reparieren und die Daten wiederherzustellen, die jedoch erfolglos blieben. An manchen Orten wurde eine g\u00fcnstige L\u00f6sung versprochen, jedoch ohne das Problem zu l\u00f6sen, und an anderen Stellen waren die Kosten zu hoch, sodass der Kunde auf eine Datenwiederherstellung verzichtete. Letztendlich durchlief die Festplatte viele Servicezentren. Sie ging mehrfach verloren, doch der Eigent\u00fcmer hatte vorgesorgt und Informationen von verschiedenen Aufklebern auf dem Speicher notiert, sodass er sicherstellen konnte, dass seine Festplatte aus einigen Servicezentren zur\u00fcckgegeben wurde. Die ganzen Umg\u00e4nge blieben nicht ohne Folgen: Auf der Originalplatine des Controllers fanden sich zahlreiche L\u00f6tspuren, und es war visuell ein Mangel an SMD-Elementen zu beobachten (vorweggenommen sei gesagt, dass dies das geringste Problem dieses Speichers ist).<\/p>\n

\"Der
\nAbb. 1 HDD Quantum Fireball Plus KA 9,1 GB<\/i>
\n<\/a><\/noindex>
\nZuerst mussten wir uns bem\u00fchen, einen so alten Zwillingsspeicher mit funktionierender Controllerplatine im Donorarchiv zu finden. Nachdem dieses Abenteuer abgeschlossen war, war es m\u00f6glich, umfassende Diagnoseschritte durchzuf\u00fchren. Nachdem wir die Wicklungen des Motors auf Kurzschluss \u00fcberpr\u00fcft und dessen Abwesenheit festgestellt hatten, installieren wir die Platine des Spenders auf den Speicher - Patienten. Wir schalten die Stromversorgung ein und h\u00f6ren das normale Ger\u00e4usch des Anlaufens der Welle, der erfolgreiche Abschluss des Kalibrierungstests mit dem Laden der Firmware, und nach wenigen Sekunden meldet der Speicher \u00fcber die Register seine Bereitschaft, auf Befehle des Interfaces zu reagieren. <\/p>\n

\"Der
\nAbb. 2 Die Indikatoren DRD DSC zeigen die Bereitschaft zur Annahme von Befehlen an.<\/i><\/p>\n

Wir reservieren alle Kopien der Firmware-Module. Wir f\u00fchren eine Integrit\u00e4tspr\u00fcfung der Firmware-Module durch. Es gibt keine Probleme beim Lesen der Module, aber die Analyse der Berichte zeigt einige Merkw\u00fcrdigkeiten.<\/p>\n

\"Der
\nAbb. 3. Zonentabelle.<\/i><\/p>\n

Achten Sie auf die Tabelle der Zonenzuweisung und stellen Sie fest, dass die Anzahl der Zylinder 13845 betr\u00e4gt.<\/p>\n

\"Der
\nAbb. 4 P-Liste (Prim\u00e4rliste \u2013 Liste der M\u00e4ngel, die im Produktionszyklus erfasst wurden).<\/i><\/p>\n

Wir weisen auf die zu geringe Anzahl der M\u00e4ngel und deren Lokalisierung hin. Wir \u00fcberpr\u00fcfen das Protokollmodul zur Versteckung von Herstellerm\u00e4ngeln (60h) und stellen fest, dass es leer ist und keinen einzigen Eintrag enth\u00e4lt. Auf dieser Grundlage k\u00f6nnen wir annehmen, dass in einem der vorherigen Servicezentren m\u00f6glicherweise irgendwelche Manipulationen mit dem Dienstleistungsbereich des Speichers stattgefunden haben, und versehentlich oder absichtlich ein fremdes Modul aufgezeichnet oder die M\u00e4ngelliste im Original gel\u00f6scht wurde. Um diese Vermutung zu \u00fcberpr\u00fcfen, erstellen wir eine Aufgabe im Data Extractor mit den aktivierten Optionen \u201eSektorkopie erstellen\u201c und \u201eVirtuellen \u00dcbersetzer erstellen\u201c. <\/p>\n

\"Der
\nAbb. 5 Aufgabenparameter.<\/i><\/p>\n

Nachdem wir die Aufgabe erstellt haben, \u00fcberpr\u00fcfen wir die Eintr\u00e4ge in der Partitionstabelle im Nullsektor (LBA 0)<\/p>\n

\"Der
\nAbb. 6 Hauptboot-Eintrag und Partitionstabelle.<\/i><\/p>\n

Bei Offset 0x1BE befindet sich der einzige Eintrag (16 Byte). Der Dateisystemtyp der Partition ist NTFS, Offset bis zum Anfang 0x3F (63) Sektoren, die Gr\u00f6\u00dfe der Partition betr\u00e4gt 0x011309A3 (18 024 867) Sektoren.
\nIm Sektor-Editor \u00f6ffnen wir LBA 63.<\/p>\n

\"Der
\nAbb. 7 Bootsektor NTFS<\/i><\/p>\n

Nach den Informationen im Bootsektor der NTFS-Partition kann Folgendes gesagt werden: Die Sektorgr\u00f6\u00dfe, die im Volume verwendet wird, betr\u00e4gt 512 Byte (bei Offset 0x0B ist das Wort 0x0200 (512) aufgezeichnet), die Anzahl der Sektoren pro Cluster betr\u00e4gt 8 (bei Offset 0x0D ist das Byte 0x08 aufgezeichnet), die Clustergr\u00f6\u00dfe betr\u00e4gt 512x8=4096 Byte, der erste MFT-Eintrag befindet sich bei Offset 6 291 519 Sektoren vom Beginn der Festplatte (bei Offset 0x30 ist das vierfache Wort 0x00 00 00 00 00 0C 00 00 (786 432) die Nummer des ersten Clusters der MFT. Die Sektorennummer wird nach der Formel berechnet: Cluster-Nummer * Anzahl der Sektoren pro Cluster + Offset bis zum Anfang der Partition 786 432* 8+63= 6 291 519).
\nWir gehen zu Sektor 6 291 519.<\/p>\n

\"Der
\nAbb. 8<\/i><\/p>\n

Die Daten in diesem Sektor weichen jedoch ganz erheblich vom MFT-Eintrag ab. Dies deutet zwar auf m\u00f6gliche falsche \u00dcbersetzungen aufgrund einer inkorrekten M\u00e4ngelliste hin, beweist diesen Fakt jedoch nicht. Um dies weiter zu \u00fcberpr\u00fcfen, f\u00fchren wir das Lesen der Festplatte in beide Richtungen \u00fcber 10 000 Sektoren im Verh\u00e4ltnis zum Sektor 6 291 519 durch und suchen danach mit regul\u00e4ren Ausdr\u00fccken in den gelesenen Daten.<\/p>\n

\"Der
\nAbb. 9 Erster MFT-Eintrag<\/i><\/p>\n

Im Sektor 6 291 551 entdecken wir den ersten MFT-Eintrag. Seine Position weicht um 32 Sektoren von der berechneten ab, und danach folgt kontinuierlich eine Gruppe von 16 Eintr\u00e4gen (von 0 bis 15). Wir tragen die Position des Sektors 6 291 519 mit einer Verschiebung von 32 Sektoren in die Verschiebungstabelle ein.<\/p>\n

\"Der
\nAbb. 10<\/i><\/p>\n

Die Position des Eintrags Nr. 16 sollte gem\u00e4\u00df der Verschiebung 12 551 431 sein, jedoch finden wir dort Nullen statt eines MFT-Eintrags. F\u00fchren wir eine \u00e4hnliche Suche in der Umgebung durch.<\/p>\n

\"Der
\nAbb. 11 MFT-Eintrag 0x00000011 (17)<\/i><\/p>\n

Ein gro\u00dfer MFT-Ausschnitt wird gefunden, der mit dem Eintrag Nr. 17 beginnt und 53 646 Eintr\u00e4ge (mit einer Verschiebung von 17 Sektoren) umfasst. F\u00fcr die Position 12 155 431 setzen wir die Verschiebung um +17 Sektoren in die Verschiebungstabelle ein.
\nNachdem wir die Positionen der MFT-Fragmente im Raum festgelegt haben, k\u00f6nnen wir schlie\u00dfen, dass dies nicht wie ein zuf\u00e4lliger Fehler aussieht und die Aufzeichnung der MFT-Fragmenten mit fehlerhaften Verschiebungen. Die Version mit einem fehlerhaften Translator kann als best\u00e4tigt angesehen werden.
\nF\u00fcr eine weitere Lokalisierung der Verschiebungspunkte setzen wir die maximal m\u00f6gliche Verschiebung. Dazu bestimmen wir, wie stark der Endmarker des NTFS-Partitions (eine Kopie des Bootsektors) verschoben ist. In Abbildung 7 ergibt sich aus der Verschiebung 0x28 das Quadwort \u2014 dies ist der Wert der Partitionsgr\u00f6\u00dfe 0x00 00 00 00 01 13 09 A2 (18 024 866) Sektoren. Addieren wir die Verschiebung der Partition von Beginn der Festplatte zu ihrer L\u00e4nge, erhalten wir die Verschiebung des Endmarkers NTFS von 18 024 866 + 63 = 18 024 929. Erwartungsgem\u00e4\u00df fanden wir dort nicht die ben\u00f6tigte Kopie des Bootsektors. Bei der Suche in der Umgebung wurde er mit einer ansteigenden Verschiebung von +12 Sektoren relativ zum letzten MFT-Fragment gefunden.<\/p>\n

\"Der
\nAbb. 12 Kopie des NTFS-Bootsektors<\/i><\/p>\n

Eine weitere Kopie des Bootsektors bei einer Verschiebung von 18 041 006 ignorieren wir, da sie nichts mit unserer Partition zu tun hat. Basierend auf den vorherigen Aktivit\u00e4ten wurde festgestellt, dass innerhalb der Partition Einsch\u00fcsse von \u201eaufgetauchten\u201c 61 Sektoren vorliegen, die die Daten verschoben haben.
\nWir f\u00fchren ein vollst\u00e4ndiges Lesen des Speichermediums durch, wobei 34 unlesbare Sektoren \u00fcbrig bleiben. Leider kann man nicht zuverl\u00e4ssig garantieren, dass all diese Sektoren Defekte sind, die aus der P-Liste entfernt wurden, aber bei einer weiteren Analyse ist es w\u00fcnschenswert, ihre Position zu ber\u00fccksichtigen, da in einigen F\u00e4llen die Verschiebungspunkte mit einer Genauigkeit bis auf den Sektor und nicht nur bis zur Datei bestimmt werden k\u00f6nnen.<\/p>\n

\"Der
\nAbb. 13 Lese-Statistik der Festplatte.<\/i><\/p>\n

Unsere n\u00e4chste Aufgabe wird es sein, die ungef\u00e4hren Verschiebungsorte (mit der Genauigkeit bis zur Datei, in der sie aufgetreten sind) zu bestimmen. Dazu werden wir alle MFT-Eintr\u00e4ge scannen und Ketten der Dateipositionierung (Dateifragmenten) aufbauen.<\/p>\n

\"Der
\nAbb. 14 Ketten der Dateipositionierung oder ihrer Fragmente.<\/i><\/p>\n

Als N\u00e4chstes suchen wir von Datei zu Datei, ab wann anstelle des erwarteten Dateikopfes andere Daten vorhanden sind und der ben\u00f6tigte Kopf mit einer positiven Verschiebung entdeckt wird. W\u00e4hrend wir die Verschiebungspunkte pr\u00e4zisieren, f\u00fcllen wir die Tabelle aus. Das Ergebnis wird mehr als 99 % fehlerfreie Dateien sein.<\/p>\n

\"Der
\nAbb. 15 Liste der benutzerdefinierten Dateien (vom Kunden wurde das Einverst\u00e4ndnis zur Ver\u00f6ffentlichung dieses Screenshots eingeholt)<\/i><\/p>\n

Um punktuelle Verschiebungen in einzelnen Dateien festzustellen, k\u00f6nnen zus\u00e4tzliche Arbeiten durchgef\u00fchrt werden. Wenn man die Struktur der Datei kennt, kann man Datenentmischungen finden, die nicht zu ihr geh\u00f6ren. Aber in dieser Aufgabe war das wirtschaftlich nicht sinnvoll.<\/p>\n

P.S. Ich m\u00f6chte auch an die Kollegen appellieren, die diese Festplatte zuvor in ihren H\u00e4nden hatten. Bitte seien Sie vorsichtig beim Arbeiten mit der Firmware der Ger\u00e4te und sichern Sie die Systemdaten, bevor Sie etwas \u00e4ndern, und verhindern Sie absichtlich eine Versch\u00e4rfung des Problems, wenn Sie keine Vereinbarung mit dem Kunden \u00fcber die Durchf\u00fchrung der Arbeiten getroffen haben.<\/p>\n

Fr\u00fchere Ver\u00f6ffentlichung: Sparen an Streichh\u00f6lzern oder Datenwiederherstellung aus einer zerschrammten HDD Seagate ST3000NC002-1DY166<\/a><\/noindex>
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041d\u0430 \u0434\u0432\u043e\u0440\u0435 \u0441\u0442\u043e\u044f\u043b 2019 \u0433\u043e\u0434. \u0412 \u043d\u0430\u0448\u0443 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044c QUANTUM FIREBALL Plus KA \u0435\u043c\u043a\u043e\u0441\u0442\u044c\u044e 9.1\u0413\u0431. \u0421\u043e \u0441\u043b\u043e\u0432 \u0432\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0430 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044f \u043e\u0442\u043a\u0430\u0437 \u0441\u043b\u0443\u0447\u0438\u043b\u0441\u044f \u0432 \u0434\u0430\u043b\u0435\u043a\u043e\u043c 2004 \u0433\u043e\u0434\u0443 \u043f\u043e \u0432\u0438\u043d\u0435 \u0432\u044b\u0448\u0435\u0434\u0448\u0435\u0433\u043e \u0438\u0437 \u0441\u0442\u0440\u043e\u044f \u0431\u043b\u043e\u043a\u0430 \u043f\u0438\u0442\u0430\u043d\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u0445\u0432\u0430\u0442\u0438\u043b \u0437\u0430 \u0441\u043e\u0431\u043e\u0439 \u0436\u0435\u0441\u0442\u043a\u0438\u0439 \u0434\u0438\u0441\u043a \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u041f\u041a. \u0414\u0430\u043b\u0435\u0435 \u0431\u044b\u043b\u0438 \u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u043f\u043e \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-52583","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Der Leidensweg oder die lange Geschichte eines Versuchs zur Datenwiederherstellung | ProHoster","description":"Es war das Jahr 2019. In unser Labor kam ein nicht ganz gew\u00f6hnliches Speichermedium f\u00fcr unsere Zeit, die QUANTUM FIREBALL Plus KA mit einer Kapazit\u00e4t von 9,1 GB.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0425\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u043f\u043e \u043c\u0443\u043a\u0430\u043c \u0438\u043b\u0438 \u0434\u043e\u043b\u0433\u0430\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u043e\u0434\u043d\u043e\u0439 \u043f\u043e\u043f\u044b\u0442\u043a\u0438 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 | ProHoster","og:description":"\u041d\u0430 \u0434\u0432\u043e\u0440\u0435 \u0441\u0442\u043e\u044f\u043b 2019 \u0433\u043e\u0434. \u0412 \u043d\u0430\u0448\u0443 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044c QUANTUM FIREBALL Plus KA \u0435\u043c\u043a\u043e\u0441\u0442\u044c\u044e 9.1\u0413\u0431.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-11-11T21:00:00+00:00","article:modified_time":"2020-02-18T11:00:21+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"52583","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 04:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:40:27","updated":"2026-01-24 04:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/52583","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=52583"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/52583\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=52583"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=52583"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=52583"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}