Aasta oli 2019. Meie laborisse jõudis ebatavaline kõvaketas QUANTUM FIREBALL Plus KA, mille maht oli 9.1GB. Kettale kuulunud isiku sõnul juhtus rike 2004. aastal põhjustatud rikkis toiteplokist, mis lõi kaasa kõvaketta ja teiste arvutikomponentide rikke. Edasi käidi erinevates teenindustes, et proovida kõvaketast remontida ja andmeid taastada, kuid need katsed ei olnud edukad. Mõnes kohas lubati odavat remonti, kuid probleem ei lahendatud, teistes oli hind liiga kõrge ning klient ei soovinud andmete taastamiseks raha välja käia. Lõpuks ambulance disk jäi läbi mitmete teeninduskeskuste. Korduvalt kadus see, kuid kuna omanik eelnevalt hoolitses erinevate siltide teabe salvestamise eest, õnnestus tal tagada, et just tema kõvaketas tagastati mõnedest teeninduskeskustest. Käigud ei möödunud jäljetult, originaalsel kontrolleriplaatil jäid mitmed jootmisjäljed ning visuaalselt tundus olema puudus SMD-elementidest (kõrgenüansiline probleem on olnud algusest peale).
Joonis 1 HDD Quantum Fireball Plus KA 9,1GB
Esimese asjana tuli tegeleda doonorite arhiivi otsimisega nii vana ja samasuguse kõvaketta kontrolleriplaadiga. Kui see missioon oli täidetud, sai alustada laiahaardelisi diagnostilisi meetmeid. Kontrollisime mootori mähiste lühiseid ja veendusime, et neid ei ole, seejärel paigaldasime doonorkettalt plaadi patsiendikettale. Toitesüsteemile andes kuuleme normaalset mootori töö heli, kätte saame kalibreerimistesti läbimise koos mikrokoodi laadimisega ja mõne sekundi pärast teavitab ketas registreid, et on valmis nõudmistele vastama.
Joonis 2 DRD DSC indikaatorid tähendavad valmisolekut käskude vastuvõtmiseks.
Reserveerime kõik mikrokoodi moodulite koopiad. Teostame mikrokoodi moodulite terviklikkuse kontrollimise. Moodulite lugemiseks probleeme ei esine, kuid aruannete analüüs näitab, et on mõningaid kummalisi asjaolusid.
Joonis 3. Ameerika - piiritletud ala tabel.
Jätkame tähelepanu tabeli ala jaotusele, märkame, et silindrite arv on 13845.
Joon. 4 P-list (peamine loetelu – defektid, mis on registreeritud tootmisprotsessi käigus).
Tähelepanu juhime liiga väikese defektide arvu ja nende lokaliseerimise peale. Vaadates tehasete defektide maskeerimise moodulit (60h), leiame, et see on tühi ega sisalda mitte ühtegi kirjet. Selle põhjal võime oletada, et mõnes varasemas teeninduskeskuses on ilmselt teostatud mingit tüüpi manipuleerimist teenindusala mälukogumiga, ja juhuslikult või tahtlikult on registreeritud vale moodul, või on originaalis defektide loetelu puhastatud. Selle oletuse kontrollimiseks loome Data Extractoris ülesande, millel on valikud „sektorite koopia loomine“ ja „virtuaalse muunduri loomine“ sisse lülitatud.
Joon. 5 Ülesande parameetrid.
Kuna ülesanne on loodud, vaatame nullsektori (LBA 0) partitsioonide tabelis kirjeid.
Joon. 6 Peamine laadimisrekord ja partitsioonide tabel.
Positsioonil 0x1BE on ainus rekord (16 baiti). Failisüsteemi tüüp partitsioonil on NTFS, positsioon alguses 0x3F (63) sektsioon, partitsiooni suurus 0x011309A3 (18 024 867) sektorit.
Sektori redigeerijas avame LBA 63.
Joon. 7 NTFS laadimissektor.
NTFS laadimissektoris sisalduva teabe põhjal võib öelda järgmist: sektori suurus, mis on vastuvõetud mahus, on 512 baiti (positsioonil 0x0B on sõna 0x0200 (512)), sektorite arv klastris on 8 (positsioonil 0x0D on bait 0x08), klastrisuurus on 512x8=4096 baiti, esimesed MFT kirjed asuvad 6 291 519 sektori kaugusel ketta algusest (positsioonil 0x30 on neljakordne sõna 0x00 00 00 00 00 0C 00 00 (786 432) esimesed MFT klastrite numbrid. Sektsiooni number arvutatakse järgmise valemi põhjal: Klastri number * sektorite arv klastris + positsioon partitsiooni alguses 786 432* 8+63= 6 291 519).
Liigume sektorisse 6 291 519.
Joon. 8
Kuid selle sektori andmed ei ühti üldse MFT kirjega. See viitab küll võimalikele valele tõlkele defektide loendi tõttu, kuid ei tõesta seda fakti. Edasi kontrollimiseks teeme ketta lugemise 10 000 sektorit mõlemas suunas seoses 6 291 519 sektoriga. Seejärel teeme regulaarselt väljendi otsingu loetud andmetes.
Joon. 9 Esimene MFT kirjeldus.
Seoses sektoriga 6 291 551 avastame esimese MFT kande. Selle asukoht erineb arvutatud väärtusest 32 sektori võrra ning sellele järgneb pidev rühm 16 kande (0 kuni 15). Salvestame tabelisse nihke sektori 6 291 519 nihutamiseks edasi 32 sektori võrra.
Joon. 10
Kande №16 asukoht peaks olema nihkega 12 551 431, kuid seal avastame nullid, mitte MFT kande. Teeme sarnase otsingu ümbruses.
Joon. 11 MFT kande 0x00000011 (17)
Avastatakse suur MFT fragment, mis algab kande numbriga 17 ja ulatub 53 646 kanti, nihke 17 sektoriga. Koht 12 155 431 jaoks kirjutame tabelisse nihke +17 sektorit.
MFT fragmentide asukoha määramisel saame järeldada, et see ei näi olevat juhuslik rike ning MFT fragmentide salvestamine vale nihkega. Varianti vale translaatoriga saab pidada kinnitatuks.
Edasi nihkekohtade lokaliseerimiseks seadistame maksimaalselt võimaliku nihke. Selleks määrame, kui palju on nihutatud NTFS osa lõppmärker (buutimise sektorite koopia). Joonisel 7 nihkega 0x28 on quadruple word — see on väärtus osa suurusest 0x00 00 00 00 01 13 09 A2 (18 024 866) sektorit. Liidame partei nihke algusest ketta pikkusele, et saada NTFS lõppmärker 18 024 866 + 63 = 18 024 929. Oodatavalt ei leidunud seal vajalikku buutimise sektori koopiat. Ümbruses otsides leiti see kasvava nihkega +12 sektorit võrreldes viimase MFT fragmendiga.
Joon. 12 NTFS buutimise sektori koopia
Teist NTFS buutimise sektori koopiat nihkega 18 041 006 ignoreerime, kuna see ei kuulu meie osasse. Eelnevate tegevuste põhjal on kindlaks tehtud, et osa sees on esinenud 61 sektori „kasta” tupest puude fragmentide, mis on andmed edasi nihutanud.
Teostame täielikku ketta lugemist, mille tulemuseks on 34 lugemata sektorit. Kahjuks ei saa kindlalt garanteerida, et kõik nad on defektid, mis on eemaldatud P-listist, kuid edasise analüüsi käigus on soovitatav arvesse võtta nende asukohta, kuna mõnes olukorras on võimalik täpselt määrata nihke punktid sektorite, mitte failide tasemel.
Joon. 13 Ketta lugemise statistika.
Meie järgmine ülesanne on määrata eeldatavad nihke kohad (faili täpsusega, kus need tekkisid). Selleks skaneerime kõiki MFT kirjeid ja loome failide (failifragmente) asukohtade aheldusi.
Joon. 14 Failide asukohtade aheldused või nende fragmendid.
Seejuures liikudes failist faili, otsime, kust hetkest ootuspärase faili pealkirja asemel tulevad teised andmed, ning vajalik pealkiri leitakse mingi positiivse nihkega. Ja nihkepunktide täpsustamise käigus täidame tabelit. Tabeli täitmise tulemuseks on üle 99% vigadeta faile.
Joon. 15 Kasutajafaile nimekiri (klient andis nõusoleku selle ekraanipildi avaldamiseks)
Teatud failide täpsete nihke määramiseks võiks teha täiendavaid töid ja kui failistruktuur on teada, leida andmete süvenemisi, mis ei kuulu sellesse. Kuid antud ülesande puhul ei olnud see majanduslikult otstarbekas.
P.S. Sooviksin pöörduda kolleegide poole, kelle käes see kett varem olnud. Palun olge ettevaatlikud seadmete mikrotarkvaraga töötamisel ja varundage teenindusandmed enne muudatuste tegemist ning vältige probleemi tahtlikku süvendamist, kui te ei ole suutnud kliendiga tööde teostamise osas kokkuleppele jõuda.
Allikas: habr.com
