Raskused või pikaajaline katse andmete taastamiseks.

Aastal 2019 saabus meie laborisse ebatavaline kõvaketas QUANTUM FIREBALL Plus KA, mille maht oli 9,1 GB. Ketta omanik ütles, et see lakkas töötamast 2004. aastal defektse toiteploki tõttu, mis tõi kaasa kõvaketta ja teiste PC komponentide rikke. Seejärel käidi erinevates teenindus kohtades, et ketast parandada ja andmeid taastada, kuid tulemuseta. Mõnes kohas lubati odavalt, kuid probleem jäi lahendamata, teises aga oli hind liiga kõrge ja klient ei otsustanud andmete taastamise kasuks. Lõpuks läbis ketas mitmeid teeninduskeskusi, kaotades korduvalt oma tee, kuid kuna omanik oli eelnevalt hoolitsenud teavet erinevatelt kleebistelt salvestada, õnnestus tal tagada, et just tema kõvaketas saadeti tagasi mõnest teeninduskeskusest. Need käigud ei olnud asjata, algsel kontrolleri plaadil olid mitmed joodetud jäljed ja visuaalselt tundus, et SMD komponente oli puudu (kiirelt öeldes on see selle ketta kõige väiksem probleem).

Joonis 1 HDD Quantum Fireball Plus KA 9,1 GB

Esimese asjana tuli leida doonorarkvist selle ketta analoog, millel oli korras kontrolleri plaat. Kui see ülesanne oli lahendatud, sai teostada põhjalikke diagnostilisi protseduure. Kontrollides mootori mähiste lühist ja veendudes, et seda pole, paigaldame doonorplaadi patsiendi kettale. Toome voolu sisse ja kuuleme tavapärast pöörlemise heli, läbi kалиibrimise testi laadimise mikroprogrammi ja mõne sekundi pärast teatab kõvaketas registeres, et on valmis käske vastu võtma.

Joonis 2 DRD DSC indikaatorid tähendavad valmidust käskude vastuvõtmiseks.

Kaitseme kõik mikroprogrammi moodulite koopiaid. Teeme mikroprogrammi moodulite vahetuse kontrolli. Moodulite lugemisega ei teki mingeid probleeme, kuid aruannete analüüs näitab, et on mõned veidrad asjad.

Joonis 3. Tsoonide tabel.

Jätame tähelepanu tsoonide jaotustabelile, tähelepanelikud 13845 silindri hulga suhtes.

Joonis 4 P-list (peamine nimekiri - tootmisprotsessi käigus jäetud vead).

Jätame tähelepanu vähesele arvu vigadele ja nende lokaliseerimisele. Vaadates tehase viga peitmismi mooduli (60h), avastame, et see on tühi ja ei sisalda ühtegi kirjet. Selle põhjal võime arvata, et mõnes varasemas teeninduspunktis võidi kettaga tegeleda ja tahtmatult salvestada kellegi teise moodul või kustutada originaalis vigade nimekiri. Selle oletuse kontrollimiseks loome Data Extractoris ülesande, kus valime valikud "loomine sektorite koopia" ja "loomine virtuaalne translator".

Joonis 5 Ülesande parameetrid.

Ülesande loomise järel vaatame tabelis sektori kirjeid null sektoris (LBA 0)

Joonis 6 Peamine laadimissektsioon ja tabeli registreerimine.

Asend 0x1BE on ainus kirje (16 bitti). Failisüsteemi tüüp jaotises on NTFS, asend enne 0x3F (63) sektorit, jaotise suurus on 0x011309A3 (18 024 867) sektorit.
Avame sektoriredaktoris LBA 63.

Joonis 7 NTFS laadimissektor

NTFS laadimissektoris oleva teabe põhjal saab öelda järgmist: sektori suurus, mis on mahus aktsepteeritud, on 512 bitti (asendis 0x0B on sõna 0x0200 (512)), sektori number klastris on 8 (asendis 0x0D on 0x08 bait), klastrisuurus on 512x8=4096 bitti, esimene MFT kirje asub 6 291 519 sektoris kettast (asendis 0x30 on neljakordne sõna 0x00 00 00 00 00 0C 00 00 (786 432) esimese klastrite MFT number. Sektori number arvutatakse valemiga: klastrite number * sektorite arv klastris + asend enne jaotist 786 432 * 8 + 63 = 6 291 519).
Liigume sektorisse 6 291 519.

Joonis 8

Kuid selle sektori andmed ei sarnane sugugi MFT kirjele. Kuigi see osutab võimalikele valele tõlkele vale defektide nimekirja tõttu, ei tõenda see fakti. Jätkamiseks teeme ketta lugemise 10 000 sektoriga mõlemas suunas, arvestades sektori 6 291 519. Pärast seda teeme regulaarsete väljendite otsingu loetuks.

Joonis 9 Esimene MFT kirje

Seerias 6 291 551 avastame esimese MFT kirje. Selle asukoht erineb arvutuslikust 32 sektori võrra ja sellele järgneb pidev 16 kirje grupp (0–15). Kirjutame nihketabelisse sektori 6 291 519 asukoha edasi 32 sektorit.

Joon. 10

Kirje #16 koht peaks olema nihkega 12 551 431, kuid seal avastame nullid, mitte MFT kirje. Teeme sarnase otsingu ümbruskonnas.

Joon. 11 MFT kirje 0x00000011 (17)

Avastame suure MFT fragmendi, mis algab kirje numbriga 17 ja sisaldab 53 646 kirjet) koos nihkega 17 sektori võrra. Positiivne 12 155 431 jaoks paneme nihke +17 sektorit nihketabelisse.
MFT fragmentide asukoha määramisel saame järeldada, et see ei näe välja nagu juhuslik tõrge ja MFT fragmentide kirje vale nihkega. Versioon vale tõlkijaga võib pidada tõestatud.
Edasi liikudes nihketega paikade lokaliseerimiseks määrame maksimaalse lubatud nihke. Selleks määrame, kui palju on lõppmärker NTFS jaotises nihutatud (käivitussektori koopia). Joonisel 7 nihkega 0x28 on neli sõna — see on jaotuse suuruse väärtus 0x00 00 00 00 01 13 09 A2 (18 024 866) sektorit. Liidame jaotuse nihke ketta algusest tema pikkusele ja saame NTFS lõppmärkeri nihke 18 024 866 + 63 = 18 024 929. Oodatavalt ei olnud seal vajalikku käivitussektori koopiat. Ümbruskonnas otsimise käigus avastati see kasvava nihkega +12 sektorit viimase MFT fragmendi suhtes.

Joon. 12 NTFS käivitussektori koopia

Teise käivitussektori koopia nihkega 18 041 006 ignoreeritakse, kuna see ei ole seotud meie jaotisega. Eelnevate tegevuste põhjal on kindlaks tehtud, et jaotises on „väljaulatuvaid” 61 sektori andmete lisandeid, mis on andmeid nihutanud.
Teeme täislugemise andmekandjast, mille tulemuseks on 34 lugemata sektori. Kahjuks ei saa garanteerida, et kõik need on defektid, mis on eemaldatud P-listist, kuid edasise analüüsi käigus on soovitatav arvesse võtta nende asukohta, kuna mõnel juhul suudame täpselt määrata nihke punktid sektori täpsusega, mitte faili täpsusega.

Joon. 13 Ketta lugemise statistika.

Meie järgmine ülesanne on määrata orienteeruvalt nihke kohad (faili täpsusega, milles need tekkisid). Selleks teeme skaneerimise kõigist MFT kirjete ja ehitame failide asukohtade (failifragmentide) ahelad.

Joon. 14 Failide asukohtade ahelad või nende fragmendid.

Seejärel liikudes failist faili otsime, millal oodatud faili pealkirja asemel on teised andmed, ja vajaliku pealkirja avastame mingi positiivse nihkega. Ning nihke punktide täpsustamise käigus täidame tabelit. Tabeli täitmise tulemusena on üle 99% failidest vigadeta.

Joon. 15 Klientide failide loend (klient on andnud nõusoleku selle ekraanipildi avaldamiseks)

Üksikute failide punktide nihkede määramiseks võib teha täiendavaid töid ja failistruktuuri teadmise korral leida andmete lisandeid, mis ei kuuluks sellele. Kuid selles ülesandes ei olnud see majanduslikult mõistlik.

P.S. Sooviksin pöörduda ka kolleegide poole, kelle käes see ketas varem oli. Palun olge seadmete mikrotarkvara töötamisel ettevaatlikud ning varundage teenindusandmed enne, kui midagi muuta, samuti ärge süvendage probleemi tahtlikult, kui te ei ole saanud kliendiga kokku leppida, et töid teostatakse.

Eelmine publikatsioon: Rahade säästmine või andmete taastamine kriitiliselt rikkunud HDD Seagate ST3000NC002-1DY166

Allikas: habr.com