<\/a><\/noindex>Fig. 2 Gli indicatori DRD DSC mostrano che \u00e8 pronto ad accettare comandi.<\/i><\/p>\n
Riserviamo tutte le copie dei moduli del firmware. Eseguiamo un controllo di integrit\u00e0 dei moduli del firmware. Non ci sono problemi nella lettura dei moduli, ma l'analisi dei rapporti mostra alcune stranezze.<\/p>\n
Fig. 3. Tabella delle zone.<\/i><\/p>\n
Facciamo attenzione alla tabella di distribuzione delle zone e notiamo che il numero di cilindri \u00e8 pari a 13845.<\/p>\n
Fig. 4 P-list (lista primaria \u2013 elenco dei difetti registrati durante il ciclo di produzione).<\/i><\/p>\n
Notiamo un numero sorprendentemente basso di difetti e la loro localizzazione. Controlliamo il modulo di log dei difetti di fabbrica (60h) e scopriamo che \u00e8 vuoto e non contiene alcuna registrazione. A questo punto possiamo ipotizzare che in uno dei centri di assistenza precedenti siano state fatte manipolazioni con la zona di servizio del disco, e che per errore o intenzionalmente sia stato registrato un modulo estraneo, oppure sia stato cancellato l'elenco dei difetti originale. Per verificare questa ipotesi, creiamo un'attivit\u00e0 nel Data Extractor attivando le opzioni \"creare una copia settoriale\" e \"creare un traslatore virtuale\". <\/p>\n
Fig. 5 Parametri dell'attivit\u00e0.<\/i><\/p>\n
Creata l'attivit\u00e0, consultiamo le registrazioni nella tabella delle partizioni nel settore zero (LBA 0)<\/p>\n
Fig. 6 Record di avvio principale e tabella delle partizioni.<\/i><\/p>\n
All'offset 0x1BE troviamo l'unico record (16 byte). Il tipo di file system nella partizione \u00e8 NTFS, l'offset d'inizio \u00e8 0x3F (63) settori, la dimensione della partizione \u00e8 0x011309A3 (18.024.867) settori.
Fig. 7 Settore di avvio NTFS<\/i><\/p>\n
Dalle informazioni nel settore di avvio NTFS della partizione possiamo dedurre: la dimensione del settore accettata nel volume \u00e8 512 byte (all'offset 0x0B \u00e8 registrata la parola 0x0200 (512)), il numero di settori in un cluster \u00e8 8 (all'offset 0x0D \u00e8 registrato il byte 0x08), la dimensione del cluster \u00e8 512x8=4096 byte, il primo record MFT si trova all'offset 6.291.519 settori dall'inizio del disco (all'offset 0x30 un quadruplo di parole 0x00 00 00 00 00 0C 00 00 (786.432) numero del primo cluster MFT. Il numero del settore \u00e8 calcolato con la formula: numero del cluster * numero di settori nel cluster + offset d'inizio della partizione 786.432 * 8 + 63 = 6.291.519).
Fig. 8<\/i><\/p>\n
Ma i dati contenuti in questo settore non assomigliano affatto a un record MFT. Ci\u00f2 indica che potrebbe esserci stata una traduzione errata a causa di un difetto nella lista difettosa, ma non lo dimostra. Per ulteriori verifiche procederemo a leggere il disco in entrambe le direzioni a partire da 10.000 settori rispetto al settore 6.291.519. E dopo faremo una ricerca con espressioni regolari nei dati letti.<\/p>\n
Fig. 9 Primo record MFT<\/i><\/p>\n
Nel settore 6 291 551 troviamo il primo record MFT. La sua posizione rispetto a quella calcolata \u00e8 diversa di 32 settori, e segue un gruppo continuo di 16 record (da 0 a 15). Aggiungeremo alla tabella degli spostamenti la posizione del settore 6 291 519 spostandolo in avanti di 32 settori.<\/p>\n
Fig. 10<\/i><\/p>\n
La posizione del record n. 16 dovrebbe corrispondere allo spostamento 12 551 431, ma l\u00ec troviamo degli zeri, anzich\u00e9 un record MFT. Effettueremo una ricerca analoga nei dintorni.<\/p>\n
Fig. 11 Record MFT 0x00000011 (17)<\/i><\/p>\n
Si trova un ampio frammento MFT, che inizia con il record numero 17 e contiene 53 646 record, con uno spostamento di 17 settori. Per la posizione 12 155 431 imposteremo uno spostamento di +17 settori nella tabella degli spostamenti.
Fig. 12 Copia del settore di avvio NTFS<\/i><\/p>\n
Ignoriamo un'altra copia del settore di avvio allo spostamento 18 041 006, poich\u00e9 non \u00e8 pertinente alla nostra partizione. A seguito delle operazioni precedenti, \u00e8 stato stabilito che all'interno della partizione ci sono inclusioni di 61 settori \u00abapparentemente\u00bb presenti nella traduzione, che hanno espanso i dati.
Fig. 13 Statistiche di lettura del disco.<\/i><\/p>\n
Il nostro prossimo compito sar\u00e0 quello di determinare i luoghi approssimativi degli spostamenti (fino al file in cui si sono verificati). Per questo, scanneremo tutti i record MFT e costruiremo le catene di posizionamento dei file (frammenti di file).<\/p>\n
Fig. 14 Catene di posizionamento dei file, o dei loro frammenti.<\/i><\/p>\n
Procedendo da file a file, cerchiamo a partire da quale momento, invece dell'intestazione prevista del file, ci saranno altri dati, e la necessaria intestazione verr\u00e0 trovata con uno spostamento positivo. Man mano che definiamo i punti di spostamento, riempiamo la tabella. Il risultato del suo riempimento sar\u00e0 oltre il 99% dei file senza danni.<\/p>\n
Fig. 15 Elenco dei file utente (il cliente ha dato il consenso alla pubblicazione di questo screenshot)<\/i><\/p>\n
Per stabilire spostamenti puntuali in singoli file, \u00e8 possibile eseguire ulteriori lavori e, conoscendo la struttura del file, individuare inclusioni di dati non pertinenti. Tuttavia, in questo caso, non \u00e8 stato economicamente conveniente.<\/p>\n
P.S. Vorrei anche rivolgermi ai colleghi che hanno avuto questo disco in mano in precedenza. Per favore, fate attenzione quando lavorate con il firmware dei dispositivi e riservate i dati di servizio prima di fare qualsiasi modifica, e non aggravate intenzionalmente il problema se non riuscite a concordare con il cliente sull'esecuzione dei lavori.<\/p>\n
Pubblicazione precedente: Risparmiare sui fiammiferi o recupero dati da un HDD Seagate ST3000NC002-1DY166 che scricchiola<\/a><\/noindex> habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u041d\u0430 \u0434\u0432\u043e\u0440\u0435 \u0441\u0442\u043e\u044f\u043b 2019 \u0433\u043e\u0434. \u0412 \u043d\u0430\u0448\u0443 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044c QUANTUM FIREBALL Plus KA \u0435\u043c\u043a\u043e\u0441\u0442\u044c\u044e 9.1\u0413\u0431. \u0421\u043e \u0441\u043b\u043e\u0432 \u0432\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0430 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044f \u043e\u0442\u043a\u0430\u0437 \u0441\u043b\u0443\u0447\u0438\u043b\u0441\u044f \u0432 \u0434\u0430\u043b\u0435\u043a\u043e\u043c 2004 \u0433\u043e\u0434\u0443 \u043f\u043e \u0432\u0438\u043d\u0435 \u0432\u044b\u0448\u0435\u0434\u0448\u0435\u0433\u043e \u0438\u0437 \u0441\u0442\u0440\u043e\u044f \u0431\u043b\u043e\u043a\u0430 \u043f\u0438\u0442\u0430\u043d\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u0445\u0432\u0430\u0442\u0438\u043b \u0437\u0430 \u0441\u043e\u0431\u043e\u0439 \u0436\u0435\u0441\u0442\u043a\u0438\u0439 \u0434\u0438\u0441\u043a \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u041f\u041a. \u0414\u0430\u043b\u0435\u0435 \u0431\u044b\u043b\u0438 \u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u043f\u043e \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-52583","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t
![\"Soffrire](\"\/wp-content\/uploads\/2019\/11\/66ae1bd6c82c7e5c6d078c3eebc60e1c.jpg\")