Godina je bila 2019. U naš laboratorij stigao je prilično neobičan uređaj za pohranu QUANTUM FIREBALL Plus KA kapaciteta 9,1 GB. Prema riječima vlasnika, uređaj je otkazao 2004. godine zbog kvara napajanja, koje je povuklo za sobom tvrdi disk i druge komponente računala. Nakon toga, vlasnik je obišao razne servise u pokušaju da popravi uređaj i vrati izgubljene podatke, ali bez uspjeha. Negdje su obećali jeftinu uslugu, ali problem nije riješen, negdje je cijena bila previsoka i klijent nije želio obnoviti podatke. Na kraju je disk prošao kroz brojne servise. Često se gubio, no zahvaljujući činjenici da je vlasnik unaprijed zapisao informacije s različitih naljepnica na uređaju, uspio je osigurati da mu se tvrdi disk vrati iz nekih servisnih centara. Ove posjete nisu prošle bez traga; na originalnoj ploči kontrolera ostale su brojne oznake lemljenja, a vizualno se osjećao nedostatak SMD elemenata (u nastavku ću reći da je to najmanji problem ovog uređaja).
Sl. 1 HDD Quantum Fireball Plus KA 9,1 GB
Prvo je trebalo uložiti trud u pronalaženje u donatorskom arhivu ovakvog starog blizanca s ispravnom pločom kontrolera. Kada je ovaj zadatak završen, postalo je moguće provesti opsežne dijagnostičke aktivnosti. Provjeravajući namotaje motora na kratki spoj i uvjeravajući se da ga nema, postavljamo ploču s donatorskog uređaja na pacijentovski uređaj. Napajamo uređaj i čujemo normalan zvuk okretanja osovine, prolazimo kalibracijski test s učitavanjem mikroprograma, a nakon nekoliko sekundi uređaj putem registara javlja da je spreman reagirati na naredbe s sučelja.
Sl. 2 Indikatori DRD DSC označavaju spremnost za primanje naredbi.
Rezerviramo sve kopije modula mikroprograma. Izvršavamo provjeru integriteta modula mikroprograma. Nema problema s čitanjem modula, ali analiza izvještaja pokazuje da postoje neke nejasnoće.
Sl. 3. Tablica zona.
Obraćamo pažnju na tablicu zoniranja, primjećujemo da je broj cilindara 13845.
Slika 4 P-lista (primarna lista – popis nedostataka unesenih tijekom proizvodnog ciklusa).
Obraćamo pažnju na iznimno mali broj nedostataka i njihovu lokalizaciju. Pregledamo modul loga skrivanja tvorničkih nedostataka (60h) i otkrivamo da je prazan i ne sadrži niti jednu evidenciju. Na temelju toga možemo pretpostaviti da su u nekom od prethodnih servisnih centara možda izvršene određene manipulacije sa servisnom zonom pohrane, i slučajno ili namjerno je zabilježen strani modul, ili je popis nedostataka u originalu očišćen. Kako bismo provjerili ovu pretpostavku, kreiramo zadatak u Data Extractoru s uključenim opcijama „izrada po-sektorske kopije“ i „izrada virtualnog prevoditelja“.
Slika 5 Parametri zadatka.
Nakon što smo stvorili zadatak, pregledavamo evidencije u tablici particija u nultom sektoru (LBA 0).
Slika 6 Glavni pokretački zapis i tablica particija.
Na pomaku 0x1BE nalazi se jedini zapis (16 bajtova). Tip datotečnog sustava na particiji je NTFS, pomak do početka 0x3F (63) sektora, veličina particije je 0x011309A3 (18 024 867) sektora.
U uređivaču sektora otvaramo LBA 63.
Slika 7 Pokretački sektor NTFS.
Na temelju informacija u pokretačkom sektoru NTFS-a može se reći sljedeće: veličina sektora, prihvaćena u volumenu, je 512 bajtova (na pomaku 0x0B zapisano je riječi 0x0200 (512)), broj sektora u klasteru iznosi 8 (na pomaku 0x0D je zapisani bajt 0x08), veličina klastera je 512x8=4096 bajtova, prvi zapis MFT-a nalazi se na pomaku 6 291 519 sektora od početka diska (na pomaku 0x30 je četverostruka riječ 0x00 00 00 00 00 0C 00 00 (786 432) broj prvog klastera MFT-a. Broj sektora se izračunava prema formuli: Broj klastera * broj sektora u klasteru + pomak do početka particije 786 432* 8+63= 6 291 519).
Prelazimo na sektor 6 291 519.
Slika 8
No, podaci sadržani u ovom sektoru uopće ne nalikuju zapisu MFT-a. To ukazuje na moguću pogrešnu translaciju uslijed nepravilnog popisa nedostataka, ali ne dokazuje ovaj fakt. Za daljnju provjeru provest ćemo čitanje diska po 10 000 sektora u oba smjera u odnosu na sektor 6 291 519. A nakon toga ćemo provesti pretraživanje regularnih izraza u pročitano.
Slika 9 Prvi zapis MFT.
U sektoru 6 291 551 pronalazimo prvu MFT zapis. Njegova pozicija se razlikuje od izračunate za 32 sektora, a zatim slijedi kontinuirana grupa od 16 zapisa (od 0 do 15). Upisat ćemo u tablicu pomaka poziciju sektora 6 291 519 pomaknutu unaprijed za 32 sektora.
Slika 10
Pozicija zapisa br. 16 treba biti prema pomaku 12 551 431, ali tamo otkrivamo nule umjesto MFT zapisa. Izvršit ćemo sličnu pretragu u okolici.
Slika 11 MFT zapis 0x00000011 (17)
Otkriven je veliki MFT fragment koji počinje sa zapisom pod brojem 17 dužine 53 646 zapisa, s pomakom od 17 sektora. Za poziciju 12 155 431 stavit ćemo pomak +17 sektora u tablicu pomaka.
Određivanjem pozicija MFT fragmenata u prostoru možemo zaključiti da se ne radi o slučajnom kvaru i zapisu MFT fragmenata s nekorektnim pomacima. Verziju s nekorektnim prevoditeljem možemo smatrati potvrđenom.
Za daljnju lokalizaciju točaka pomaka postavit ćemo maksimalno moguće pomak. Za to ćemo odrediti koliko je pomaknut krajnji marker NTFS particije (kopija pokretačkog sektora). Na slici 7 prema pomaku 0x28 četverostruka riječ predstavlja vrijednost veličine particije 0x00 00 00 00 01 13 09 A2 (18 024 866) sektora. Dodavanjem pomaka same particije od početka diska na njezinu dužinu dobit ćemo pomak krajnjeg markera NTFS 18 024 866 + 63 = 18 024 929. Očekivano, ondje nije bila potrebna kopija pokretačkog sektora. Prilikom pretraživanja u okolici, on je pronađen s rastućim pomakom od +12 sektora u odnosu na posljednji MFT fragment.
Slika 12 Kopija pokretačkog sektora NTFS
Drugu kopiju pokretačkog sektora prema pomaku 18 041 006 ignoriramo, budući da nema veze s našom particijom. Na temelju prethodnih aktivnosti utvrđeno je da unutar particije ima ugradnje iz "isplivane" u prevođenju 61 sektora, koje su razdvojile podatke.
Izvršavamo potpuno čitanje uređaja, a rezultat su 34 nepročitana sektora. Nažalost, ne možemo jamčiti da su svi oni defekti uklonjeni iz P-liste, ali pri daljnjoj analizi poželjno je uzeti u obzir njihovu poziciju, jer u nekim slučajevima možemo pouzdano odrediti točke pomaka s točnošću do sektora, a ne do datoteke.
Slika 13 Statistika čitanja diska.
Naš sljedeći zadatak bit će uspostaviti okvire pomaka (do datoteke u kojoj su nastali). U tu svrhu provest ćemo skeniranje svih MFT zapisa i izgraditi lance lokacije datoteka (fragmenta datoteka).
Sl. 14 Lanci lokacije datoteka ili njihovih fragmenta.
Nakon toga, krećući se od datoteke do datoteke, tražimo od kojeg trenutka umjesto očekivanog zaglavlja datoteke dolaze drugi podaci, a potrebno zaglavlje bit će otkriveno s nekim pozitivnim pomakom. I dok preciziramo točke pomaka, ispunjavamo tablicu. Rezultat ispunjavanja bit će više od 99% neometanih datoteka.
Sl. 15 Popis korisničkih datoteka (dobiveno dopuštenje klijenta za objavu ovog snimka zaslona)
Za utvrđivanje točkastih pomaka u pojedinim datotekama moguće je provesti dodatne radove i uz poznavanje strukture datoteke pronaći umiješane podatke koji se ne odnose na nju. No, za ovaj zadatak to nije bilo ekonomski isplativo.
P.S. Također bih želio uputiti apel kolegama koji su prethodno imali ovaj disk u rukama. Molimo vas da budete oprezni prilikom rada s mikropogramskim uređajima i da rezervirate uslužne podatke prije nego što nešto promijenite, kao i da ne dopuštate namjerno pogoršanje problema ako niste uspjeli postići dogovor s klijentom o obavljanju radova.
Izvor: habr.com
