पीड़ा से गुजरना या एक डेटा पुनर्प्राप्ति प्रयास का लंबा इतिहास

यह 2019 था. हमारी प्रयोगशाला को 9.1GB की क्षमता वाला क्वांटम फ़ायरबॉल प्लस KA ड्राइव प्राप्त हुआ, जो हमारे समय के लिए बिल्कुल सामान्य नहीं है। ड्राइव के मालिक के अनुसार, यह विफलता 2004 में एक असफल बिजली आपूर्ति के कारण हुई थी, जो हार्ड ड्राइव और अन्य पीसी घटकों को अपने साथ ले गई थी। फिर ड्राइव की मरम्मत और डेटा को पुनर्स्थापित करने के प्रयासों के साथ विभिन्न सेवाओं का दौरा किया गया, जो असफल रहे। कुछ मामलों में उन्होंने वादा किया था कि यह सस्ता होगा, लेकिन उन्होंने कभी समस्या का समाधान नहीं किया, दूसरों में यह बहुत महंगा था और ग्राहक डेटा को पुनर्स्थापित नहीं करना चाहते थे, लेकिन अंत में डिस्क कई सेवा केंद्रों से गुज़री। यह कई बार खो गया, लेकिन इस तथ्य के लिए धन्यवाद कि मालिक ने पहले से ही ड्राइव पर विभिन्न स्टिकर से जानकारी रिकॉर्ड करने का ध्यान रखा, वह यह सुनिश्चित करने में कामयाब रहा कि उसकी हार्ड ड्राइव कुछ सेवा केंद्रों से वापस कर दी गई थी। चलना बिना किसी निशान के नहीं गुजरा, मूल नियंत्रक बोर्ड पर सोल्डरिंग के कई निशान बने रहे, और एसएमडी तत्वों की कमी भी दृष्टिगत रूप से महसूस की गई (आगे देखते हुए, मैं कहूंगा कि यह इस ड्राइव की कम से कम समस्या है)।

चावल। 1 एचडीडी क्वांटम फायरबॉल प्लस केए 9,1 जीबी

पहली चीज़ जो हमें करनी थी, वह कार्यशील नियंत्रक बोर्ड के साथ इस ड्राइव के ऐसे प्राचीन जुड़वां भाई को दाता संग्रह में खोजना था। जब यह खोज पूरी हो गई, तो व्यापक नैदानिक ​​उपाय करना संभव हो गया। शॉर्ट सर्किट के लिए मोटर वाइंडिंग की जांच करने और यह सुनिश्चित करने के बाद कि कोई शॉर्ट सर्किट नहीं है, हम डोनर ड्राइव से रोगी ड्राइव पर बोर्ड स्थापित करते हैं। हम शक्ति लागू करते हैं और शाफ्ट के घूमने की सामान्य ध्वनि सुनते हैं, फर्मवेयर लोड करने के साथ अंशांकन परीक्षण पास करते हैं, और कुछ सेकंड के बाद ड्राइव रजिस्टरों द्वारा रिपोर्ट करती है कि यह इंटरफ़ेस से आदेशों का जवाब देने के लिए तैयार है।

चावल। 2 डीआरडी डीएससी संकेतक कमांड प्राप्त करने की तैयारी का संकेत देते हैं।

हम फर्मवेयर मॉड्यूल की सभी प्रतियों का बैकअप लेते हैं। हम फर्मवेयर मॉड्यूल की अखंडता की जांच करते हैं। मॉड्यूल पढ़ने में कोई समस्या नहीं है, लेकिन रिपोर्ट के विश्लेषण से पता चलता है कि कुछ विषमताएं हैं।

चावल। 3. ज़ोन टेबल.

हम क्षेत्रीय वितरण तालिका पर ध्यान देते हैं और ध्यान देते हैं कि सिलेंडरों की संख्या 13845 है।

चावल। 4 पी-सूची (प्राथमिक सूची - उत्पादन चक्र के दौरान पेश किए गए दोषों की सूची)।

हम दोषों की बहुत कम संख्या और उनके स्थान की ओर ध्यान आकर्षित करते हैं। हम फ़ैक्टरी दोष छिपाने वाले लॉग मॉड्यूल (60एच) को देखते हैं और पाते हैं कि यह खाली है और इसमें एक भी प्रविष्टि नहीं है। इसके आधार पर, हम मान सकते हैं कि पिछले सेवा केंद्रों में से एक में, ड्राइव के सेवा क्षेत्र के साथ कुछ हेरफेर किया गया होगा, और गलती से या जानबूझकर एक विदेशी मॉड्यूल लिखा गया था, या मूल में दोषों की सूची एक को साफ़ कर दिया गया. इस धारणा का परीक्षण करने के लिए, हम डेटा एक्सट्रैक्टर में "सेक्टर-दर-सेक्टर कॉपी बनाएं" और "वर्चुअल ट्रांसलेटर बनाएं" विकल्प सक्षम करके एक कार्य बनाते हैं।

चावल। 5 कार्य पैरामीटर।

कार्य बनाने के बाद, हम सेक्टर शून्य (एलबीए 0) में विभाजन तालिका में प्रविष्टियों को देखते हैं

चावल। 6 मास्टर बूट रिकॉर्ड और विभाजन तालिका।

ऑफसेट 0x1BE पर एक एकल प्रविष्टि (16 बाइट्स) है। विभाजन पर फ़ाइल सिस्टम प्रकार NTFS है, जो 0x3F (63) सेक्टर की शुरुआत में ऑफसेट है, विभाजन का आकार 0x011309A3 (18) सेक्टर है।
सेक्टर संपादक में, एलबीए 63 खोलें।

चावल। 7 एनटीएफएस बूट सेक्टर

एनटीएफएस विभाजन के बूट सेक्टर में जानकारी के अनुसार, हम निम्नलिखित कह सकते हैं: वॉल्यूम में स्वीकृत सेक्टर का आकार 512 बाइट्स है (शब्द 0x0 (0) ऑफसेट 0200x512B पर लिखा गया है), क्लस्टर में सेक्टरों की संख्या है 8 (बाइट 0x0 ऑफसेट 0x08डी पर लिखा गया है), क्लस्टर आकार 512x8=4096 बाइट्स है, पहला एमएफटी रिकॉर्ड डिस्क की शुरुआत से 6 सेक्टरों के ऑफसेट पर स्थित है (291x519 चतुर्भुज शब्द 0x30 0 00 00 के ऑफसेट पर) 00 00सी 00 0 (00) पहले एमएफटी क्लस्टर की संख्या। सेक्टर संख्या की गणना सूत्र द्वारा की जाती है: क्लस्टर संख्या * क्लस्टर में सेक्टरों की संख्या + अनुभाग की शुरुआत में ऑफसेट 00* 786+432= 786)।
चलिए सेक्टर 6 पर चलते हैं।

अंजीर. 8

लेकिन इस क्षेत्र में मौजूद डेटा एमएफटी रिकॉर्ड से बिल्कुल अलग है। हालाँकि यह गलत दोष सूची के कारण संभावित गलत अनुवाद का संकेत देता है, लेकिन यह इस तथ्य को साबित नहीं करता है। आगे की जाँच करने के लिए, हम 10 सेक्टरों के सापेक्ष दोनों दिशाओं में 000 सेक्टरों द्वारा डिस्क को पढ़ेंगे। और फिर हम जो पढ़ते हैं उसमें नियमित अभिव्यक्ति की खोज करेंगे।

चावल। 9 पहली एमएफटी रिकॉर्डिंग

सेक्टर 6 में हमें पहला एमएफटी रिकॉर्ड मिला। इसकी स्थिति गणना की गई एक से 291 सेक्टरों से भिन्न होती है, और फिर 551 रिकॉर्ड (32 से 16 तक) का एक समूह लगातार अनुसरण करता है। आइए शिफ्ट टेबल में सेक्टर 0 की स्थिति दर्ज करें और 15 सेक्टरों से आगे बढ़ें।

अंजीर. 10

रिकॉर्ड संख्या 16 की स्थिति ऑफसेट 12 पर होनी चाहिए, लेकिन हमें एमएफटी रिकॉर्ड के बजाय वहां शून्य मिलता है। आइए आसपास के इलाके में भी ऐसी ही खोजबीन करें.

चावल। 11 एमएफटी प्रविष्टि 0x00000011 (17)

एमएफटी के एक बड़े टुकड़े का पता चला है, जिसकी शुरुआत रिकॉर्ड संख्या 17 से 53 रिकॉर्ड की लंबाई के साथ) 646 सेक्टरों के बदलाव के साथ हुई है। स्थिति 17 के लिए, शिफ्ट तालिका में +12 सेक्टरों की शिफ्ट डालें।
अंतरिक्ष में एमएफटी टुकड़ों की स्थिति निर्धारित करने के बाद, हम यह निष्कर्ष निकाल सकते हैं कि यह एक यादृच्छिक विफलता और गलत ऑफसेट पर एमएफटी टुकड़ों की रिकॉर्डिंग की तरह नहीं दिखता है। गलत अनुवादक वाले संस्करण को पुष्ट माना जा सकता है।
शिफ्ट बिंदुओं को और अधिक स्थानीयकृत करने के लिए, हम अधिकतम संभव विस्थापन निर्धारित करेंगे। ऐसा करने के लिए, हम यह निर्धारित करते हैं कि एनटीएफएस विभाजन (बूट सेक्टर की प्रतिलिपि) का अंतिम मार्कर कितना स्थानांतरित किया गया है। चित्र 7 में, ऑफसेट 0x28 पर, क्वाडवर्ड 0x00 00 00 00 01 13 09 A2 (18) सेक्टर का विभाजन आकार मान है। आइए डिस्क की शुरुआत से विभाजन के ऑफसेट को उसकी लंबाई में जोड़ें, और हमें अंत एनटीएफएस मार्कर 024 + 866=18 का ऑफसेट मिलता है। जैसा कि अपेक्षित था, बूट सेक्टर की आवश्यक प्रतिलिपि वहां नहीं थी। आसपास के क्षेत्र की खोज करने पर, यह अंतिम एमएफटी टुकड़े के सापेक्ष +024 सेक्टरों की बढ़ती पारी के साथ पाया गया।

चावल। 12 एनटीएफएस बूट सेक्टर की प्रतिलिपि

हम ऑफसेट 18 पर बूट सेक्टर की दूसरी प्रति को नजरअंदाज कर देते हैं, क्योंकि यह हमारे विभाजन से संबंधित नहीं है। पिछली गतिविधियों के आधार पर, यह स्थापित किया गया था कि अनुभाग के भीतर 041 क्षेत्रों का समावेश है जो प्रसारण में "पॉप अप" हुए, जिससे डेटा का विस्तार हुआ।
हम ड्राइव का पूरा अध्ययन करते हैं, जिसमें 34 अपठित सेक्टर छोड़ दिए जाते हैं। दुर्भाग्य से, यह विश्वसनीय रूप से गारंटी देना असंभव है कि वे सभी पी-सूची से हटाए गए दोष हैं, लेकिन आगे के विश्लेषण में उनकी स्थिति को ध्यान में रखना उचित है, क्योंकि कुछ मामलों में शिफ्ट बिंदुओं को विश्वसनीय रूप से निर्धारित करना संभव होगा। सेक्टर की सटीकता, फ़ाइल की नहीं।

चावल। 13 डिस्क पढ़ने के आँकड़े।

हमारा अगला कार्य बदलावों के अनुमानित स्थानों को स्थापित करना होगा (उस फ़ाइल की सटीकता के अनुसार जिसमें वे घटित हुए थे)। ऐसा करने के लिए, हम सभी एमएफटी रिकॉर्ड स्कैन करेंगे और फ़ाइल स्थानों (फ़ाइल टुकड़े) की श्रृंखला बनाएंगे।

चावल। फ़ाइलों या उनके टुकड़ों के स्थान की 14 श्रृंखलाएँ।

इसके बाद, फ़ाइल से फ़ाइल की ओर बढ़ते हुए, हम उस क्षण की तलाश करते हैं जब अपेक्षित फ़ाइल हेडर के बजाय अन्य डेटा होगा, और वांछित हेडर एक निश्चित सकारात्मक बदलाव के साथ मिलेगा। और जैसे ही हम शिफ्ट बिंदुओं को परिष्कृत करते हैं, हम तालिका भरते हैं। इसे भरने का नतीजा यह होगा कि 99% से अधिक फ़ाइलें बिना किसी क्षति के होंगी।

चावल। 15 उपयोगकर्ता फ़ाइलों की सूची (इस स्क्रीनशॉट को प्रकाशित करने के लिए क्लाइंट से सहमति प्राप्त हुई थी)

अलग-अलग फ़ाइलों में बिंदु बदलाव स्थापित करने के लिए, आप अतिरिक्त कार्य कर सकते हैं और, यदि आप फ़ाइल की संरचना जानते हैं, तो उन डेटा के समावेशन का पता लगा सकते हैं जो इससे संबंधित नहीं हैं। लेकिन इस कार्य में यह आर्थिक रूप से संभव नहीं था।

पीएस मैं अपने सहकर्मियों को भी संबोधित करना चाहूंगा, जिनके हाथों में यह डिस्क पहले थी। कृपया डिवाइस फर्मवेयर के साथ काम करते समय सावधान रहें और कुछ भी बदलने से पहले सेवा डेटा का बैकअप लें, और यदि आप काम पर ग्राहक के साथ सहमत होने में असमर्थ हैं तो जानबूझकर समस्या को न बढ़ाएं।

पिछला प्रकाशन: मैचों पर बचत करना या ग्राइंडिंग HDD Seagate ST3000NC002-1DY166 से डेटा पुनर्प्राप्त करना

स्रोत: www.habr.com