{"id":52583,"date":"2019-11-12T00:00:00","date_gmt":"2019-11-11T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh"},"modified":"2020-02-18T14:00:21","modified_gmt":"2020-02-18T11:00:21","slug":"hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","title":{"rendered":"Camino de sufrimiento o la larga historia de un intento de recuperar datos.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Era el a\u00f1o 2019. En nuestro laboratorio recibimos un dispositivo de almacenamiento QUANTUM FIREBALL Plus KA, bastante inusual para su tiempo, con una capacidad de 9.1GB. Seg\u00fan el due\u00f1o del dispositivo, la falla ocurri\u00f3 en el lejano 2004, debido a un bloque de alimentaci\u00f3n que fall\u00f3 y arrastr\u00f3 consigo el disco duro y otros componentes del PC. Posteriormente, hubo intentos de reparaci\u00f3n en varios servicios para restaurar los datos, los cuales no tuvieron \u00e9xito. En algunos lugares prometieron precios bajos, pero no resolvieron el problema, en otros el costo fue demasiado alto y el cliente decidi\u00f3 no recuperar los datos, pero al final el disco pas\u00f3 por muchos centros de servicio. Se perdi\u00f3 en varias ocasiones, pero gracias a que el propietario se preocup\u00f3 por registrar la informaci\u00f3n de las diversas etiquetas en el dispositivo, pudo asegurarse de que su disco duro fuera devuelto de algunos centros de servicio. Las traves\u00edas no fueron en vano, la placa del controlador original presentaba m\u00faltiples marcas de soldadura, y adem\u00e1s se notaba a simple vista la falta de elementos SMD (para adelantarme, dir\u00e9 que este era el menor de los problemas de este dispositivo).<\/p>\n

\"Camino
\nFig. 1 HDD Quantum Fireball Plus KA 9.1GB<\/i>
\n<\/a><\/noindex>
\nLo primero que se tuvo que hacer fue buscar en el archivo de donantes un hermano gemelo tan antiguo de este dispositivo, pero con una placa de controlador funcional. Una vez completada esta b\u00fasqueda, fue posible llevar a cabo extensas actividades de diagn\u00f3stico. Tras comprobar que no hab\u00eda cortocircuitos en los devanados del motor, instalamos la placa del dispositivo donante en el dispositivo paciente. Conectamos la alimentaci\u00f3n y o\u00edmos el sonido normal de arranque del eje, completando la prueba de calibraci\u00f3n con la carga del firmware, y despu\u00e9s de unos segundos, el dispositivo informa a trav\u00e9s de los registros que est\u00e1 listo para recibir comandos desde la interfaz. <\/p>\n

\"Camino
\nFig. 2 Los indicadores DRD DSC indican que est\u00e1 listo para recibir comandos.<\/i><\/p>\n

Reservamos todas las copias de los m\u00f3dulos de firmware. Realizamos una verificaci\u00f3n de la integridad de los m\u00f3dulos de firmware. No se presentan problemas al leer los m\u00f3dulos, pero el an\u00e1lisis de los informes muestra algunas irregularidades.<\/p>\n

\"Camino
\nFig. 3. Tabla de zonas.<\/i><\/p>\n

Prestamos atenci\u00f3n a la tabla de distribuci\u00f3n de zonas y notamos que el n\u00famero de cilindros es 13845.<\/p>\n

\"Camino
\nFig. 4 P-list (lista primaria \u2013 lista de defectos registrados durante el ciclo de producci\u00f3n).<\/i><\/p>\n

Llamamos la atenci\u00f3n sobre la cantidad demasiado baja de defectos y su localizaci\u00f3n. Revisamos el m\u00f3dulo de registro oculto de defectos de f\u00e1brica (60h) y descubrimos que est\u00e1 vac\u00edo y no contiene ninguna entrada. Bas\u00e1ndonos en esto, podemos suponer que en alguno de los centros de servicio previos, se realizaron ciertas manipulaciones en la zona de servicio del disco, y accidental o intencionadamente se grab\u00f3 un m\u00f3dulo ajeno, o se limpi\u00f3 la lista de defectos de la original. Para verificar esta suposici\u00f3n, creamos una tarea en Data Extractor con las opciones activadas de \"creaci\u00f3n de copia sectorial\" y \"creaci\u00f3n de traductor virtual.\" <\/p>\n

\"Camino
\nFig. 5 Par\u00e1metros de la tarea.<\/i><\/p>\n

Al crear la tarea, revisamos las entradas en la tabla de particiones en el sector cero (LBA 0).<\/p>\n

\"Camino
\nFig. 6 Registro de arranque principal y tabla de particiones.<\/i><\/p>\n

En el desplazamiento 0x1BE se encuentra la \u00fanica entrada (16 bytes). El tipo de sistema de archivos en la partici\u00f3n es NTFS, el desplazamiento hasta el principio es de 0x3F (63) sectores, el tama\u00f1o de la partici\u00f3n es de 0x011309A3 (18 024 867) sectores.
\nEn el editor de sectores abrimos LBA 63.<\/p>\n

\"Camino
\nFig. 7 Sector de arranque NTFS.<\/i><\/p>\n

Seg\u00fan la informaci\u00f3n en el sector de arranque NTFS de la partici\u00f3n, se puede decir lo siguiente: el tama\u00f1o de sector registrado en el volumen es de 512 bytes (en el desplazamiento 0x0B se ha escrito la palabra 0x0200 (512)), el n\u00famero de sectores en un cl\u00faster es igual a 8 (en el desplazamiento 0x0D se ha escrito el byte 0x08), el tama\u00f1o del cl\u00faster es de 512x8=4096 bytes, la primera entrada MFT est\u00e1 ubicada a un desplazamiento de 6 291 519 sectores desde el principio del disco (en el desplazamiento 0x30 se encuentra la palabra cu\u00e1druple 0x00 00 00 00 00 0C 00 00 (786 432) n\u00famero del primer cl\u00faster MFT. El n\u00famero de sector se calcula con la f\u00f3rmula: N\u00famero de cl\u00faster * N\u00famero de sectores en el cl\u00faster + Desplazamiento hasta el inicio de la partici\u00f3n 786 432 * 8 + 63 = 6 291 519).
\nProcedemos al sector 6 291 519.<\/p>\n

\"Camino
\nFig. 8<\/i><\/p>\n

Pero los datos contenidos en este sector no se parecen en nada a una entrada MFT. Esto, aunque indica una posible traducci\u00f3n incorrecta debido a una lista de defectos err\u00f3nea, no prueba este hecho. Para una verificaci\u00f3n adicional, realizaremos la lectura del disco de 10 000 sectores en ambas direcciones en relaci\u00f3n con el sector 6 291 519. Y luego realizaremos la b\u00fasqueda de expresiones regulares en lo le\u00eddo.<\/p>\n

\"Camino
\nFig. 9 Primera entrada MFT<\/i><\/p>\n

En el sector 6 291 551 encontramos el primer registro MFT. Su posici\u00f3n difiere de la calculada en 32 sectores, y a continuaci\u00f3n sigue un grupo de 16 registros (del 0 al 15). Anotaremos en la tabla de desplazamientos que la posici\u00f3n del sector 6 291 519 se debe mover hacia adelante 32 sectores.<\/p>\n

\"Camino
\nFig. 10<\/i><\/p>\n

La posici\u00f3n del registro n.\u00ba 16 deber\u00eda estar en el desplazamiento 12 551 431, pero all\u00ed encontramos ceros, en lugar del registro MFT. Realizaremos una b\u00fasqueda similar en las cercan\u00edas.<\/p>\n

\"Camino
\nFig. 11 Registro MFT 0x00000011 (17)<\/i><\/p>\n

Se detecta un gran fragmento de MFT, que comienza con el registro n\u00famero 17 y tiene una longitud de 53 646 registros, con un desplazamiento de 17 sectores. Para la posici\u00f3n 12 155 431, agregaremos un desplazamiento de +17 sectores en la tabla de desplazamientos.
\nAl determinar la posici\u00f3n de los fragmentos de MFT en el espacio, podemos concluir que esto no parece un fallo aleatorio, sino que los registros de fragmentos de MFT tienen desplazamientos incorrectos. La versi\u00f3n con el traductor incorrecto puede considerarse confirmada.
\nPara la posterior localizaci\u00f3n de los puntos de desplazamiento, estableceremos el desplazamiento m\u00e1ximo posible. Para ello, determinaremos cu\u00e1nto se ha desplazado el marcador final de la partici\u00f3n NTFS (copia del sector de arranque). En la figura 7, en el desplazamiento 0x28, la palabra doble es el valor del tama\u00f1o de la partici\u00f3n 0x00 00 00 00 01 13 09 A2 (18 024 866) sectores. Sumaremos el desplazamiento de la partici\u00f3n desde el inicio del disco a su longitud, obteniendo el desplazamiento del marcador final NTFS: 18 024 866 + 63 = 18 024 929. Como era de esperar, no se encontr\u00f3 la copia necesaria del sector de arranque. Al buscar en las cercan\u00edas, fue descubierto con un desplazamiento creciente de +12 sectores respecto al \u00faltimo fragmento de MFT.<\/p>\n

\"Camino
\nFig. 12 Copia del sector de arranque NTFS<\/i><\/p>\n

Ignoramos otra copia del sector de arranque en el desplazamiento 18 041 006, ya que no tiene relaci\u00f3n con nuestra partici\u00f3n. Con base en las actividades anteriores se ha determinado que dentro de la partici\u00f3n hay embebidos de 61 sectores que \u2018emergieron\u2019 en la traducci\u00f3n, lo que ha desplazado los datos.
\nRealizamos una lectura completa del dispositivo, cuyo resultado son 34 sectores no le\u00eddos. Lamentablemente, no se puede garantizar de manera fiable que todos ellos sean defectos eliminados de la P-list, pero en un an\u00e1lisis posterior es deseable tener en cuenta su posici\u00f3n, ya que en algunos casos se podr\u00e1n determinar con precisi\u00f3n los puntos de desplazamiento hasta el sector, y no hasta el archivo.<\/p>\n

\"Camino
\nFig. 13 Estad\u00edsticas de lectura del disco.<\/i><\/p>\n

La siguiente tarea ser\u00e1 establecer ubicaciones aproximadas de desplazamiento (con precisi\u00f3n al archivo en el que ocurrieron). Para ello, escanearemos todas las entradas del MFT y construiremos cadenas de ubicaci\u00f3n de archivos (fragmentos de archivos).<\/p>\n

\"Camino
\nFig. 14 Cadenas de ubicaci\u00f3n de archivos, o sus fragmentos.<\/i><\/p>\n

A continuaci\u00f3n, movi\u00e9ndonos de archivo a archivo, buscamos desde qu\u00e9 momento, en lugar del encabezado de archivo esperado, habr\u00e1 otros datos, y el encabezado necesario se encontrar\u00e1 con alg\u00fan desplazamiento positivo. A medida que afinamos los puntos de desplazamiento, completamos la tabla. El resultado de su llenado ser\u00e1 m\u00e1s del 99% de archivos sin da\u00f1os.<\/p>\n

\"Camino
\nFig. 15 Lista de archivos personalizados (se obtuvo el consentimiento del cliente para publicar esta captura de pantalla)<\/i><\/p>\n

Para establecer desplazamientos puntuales en archivos individuales, se pueden realizar trabajos adicionales y, conociendo la estructura del archivo, encontrar incrustaciones de datos que no le pertenecen. Pero en esta tarea no era econ\u00f3micamente viable.<\/p>\n

P.D. Me gustar\u00eda tambi\u00e9n dirigirme a los colegas que tuvieron este disco anteriormente. Por favor, sean cuidadosos al trabajar con el microprograma de los dispositivos y respalden los datos de servicio antes de hacer cualquier cambio, y no contribuyan intencionalmente a agravar el problema si no han logrado llegar a un acuerdo con el cliente sobre la realizaci\u00f3n de trabajos.<\/p>\n

Publicaci\u00f3n anterior: Ahorrando en cerillas o recuperaci\u00f3n de datos de un HDD Seagate ST3000NC002-1DY166 que chirr\u00eda<\/a><\/noindex>
\n
Fuente: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041d\u0430 \u0434\u0432\u043e\u0440\u0435 \u0441\u0442\u043e\u044f\u043b 2019 \u0433\u043e\u0434. \u0412 \u043d\u0430\u0448\u0443 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044c QUANTUM FIREBALL Plus KA \u0435\u043c\u043a\u043e\u0441\u0442\u044c\u044e 9.1\u0413\u0431. \u0421\u043e \u0441\u043b\u043e\u0432 \u0432\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0430 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044f \u043e\u0442\u043a\u0430\u0437 \u0441\u043b\u0443\u0447\u0438\u043b\u0441\u044f \u0432 \u0434\u0430\u043b\u0435\u043a\u043e\u043c 2004 \u0433\u043e\u0434\u0443 \u043f\u043e \u0432\u0438\u043d\u0435 \u0432\u044b\u0448\u0435\u0434\u0448\u0435\u0433\u043e \u0438\u0437 \u0441\u0442\u0440\u043e\u044f \u0431\u043b\u043e\u043a\u0430 \u043f\u0438\u0442\u0430\u043d\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u0445\u0432\u0430\u0442\u0438\u043b \u0437\u0430 \u0441\u043e\u0431\u043e\u0439 \u0436\u0435\u0441\u0442\u043a\u0438\u0439 \u0434\u0438\u0441\u043a \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u041f\u041a. \u0414\u0430\u043b\u0435\u0435 \u0431\u044b\u043b\u0438 \u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u043f\u043e \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-52583","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Las pruebas sufridas o la larga historia de un intento de recuperaci\u00f3n de datos | ProHoster","description":"Era el a\u00f1o 2019. En nuestro laboratorio lleg\u00f3 un dispositivo de almacenamiento QUANTUM FIREBALL Plus KA de 9.1 GB, algo poco com\u00fan para nuestra \u00e9poca.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0425\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u043f\u043e \u043c\u0443\u043a\u0430\u043c \u0438\u043b\u0438 \u0434\u043e\u043b\u0433\u0430\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u043e\u0434\u043d\u043e\u0439 \u043f\u043e\u043f\u044b\u0442\u043a\u0438 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 | ProHoster","og:description":"\u041d\u0430 \u0434\u0432\u043e\u0440\u0435 \u0441\u0442\u043e\u044f\u043b 2019 \u0433\u043e\u0434. \u0412 \u043d\u0430\u0448\u0443 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044c QUANTUM FIREBALL Plus KA \u0435\u043c\u043a\u043e\u0441\u0442\u044c\u044e 9.1\u0413\u0431.","og:url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-11-11T21:00:00+00:00","article:modified_time":"2020-02-18T11:00:21+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"52583","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 04:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:40:27","updated":"2026-01-24 04:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/52583","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=52583"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/52583\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=52583"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=52583"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=52583"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}