<\/a><\/noindex>Fig. 2 Le spie DRD DSC indicano prontezza ad accettare comandi.<\/i><\/p>\n
Riserviamo tutte le copie dei moduli del firmware. Eseguiamo un controllo dell'integrit\u00e0 dei moduli del firmware. Non ci sono problemi nella lettura dei moduli, ma l'analisi dei rapporti mostra alcune stranezze.<\/p>\n
Fig. 3. Tabella delle zone.<\/i><\/p>\n
Prestate attenzione alla tabella di distribuzione delle zone, notiamo che il numero di cilindri \u00e8 13845.<\/p>\n
Fig. 4 P-list (elenco primario \u2013 elenco dei difetti registrati durante il ciclo di produzione).<\/i><\/p>\n
Attiriamo l'attenzione sul numero eccessivamente ridotto di difetti e sulla loro localizzazione. Esaminiamo il modulo di registrazione degli errori di fabbrica (60h) e scopriamo che \u00e8 vuoto e non contiene alcuna registrazione. Sulla base di ci\u00f2, possiamo supporre che in uno dei precedenti centri di servizio siano state effettuate delle manipolazioni nell'area di servizio del disco, e che accidentalmente o intenzionalmente sia stato registrato un modulo di terzi, oppure sia stata pulita la lista dei difetti nell'originale. Per verificare questa ipotesi, creiamo un'attivit\u00e0 in Data Extractor con le opzioni attivate \"creazione di una copia settoriale\" e \"creazione di un traduttore virtuale\". <\/p>\n
Fig. 5 Parametri dell'attivit\u00e0.<\/i><\/p>\n
Dopo aver creato l'attivit\u00e0, esaminiamo le registrazioni nella tabella delle partizioni nel settore zero (LBA 0).<\/p>\n
Fig. 6 Principal Record di avvio e tabella delle partizioni.<\/i><\/p>\n
Allo spostamento 0x1BE si trova l'unica registrazione (16 byte). Il tipo di file system nella partizione \u00e8 NTFS, spostamento all'inizio 0x3F (63) settori, dimensione della partizione 0x011309A3 (18 024 867) settori.
Fig. 7 Settore di avvio NTFS.<\/i><\/p>\n
Dalle informazioni nel settore di avvio NTFS della partizione possiamo affermare quanto segue: la dimensione del settore accettata nel volume \u00e8 di 512 byte (allo spostamento 0x0B \u00e8 registrata la parola 0x0200 (512)), il numero di settori nel cluster \u00e8 8 (allo spostamento 0x0D \u00e8 registrato il byte 0x08), la dimensione del cluster \u00e8 512\u00d78=4096 byte, la prima registrazione MFT si trova allo spostamento 6 291 519 settori dall'inizio del disco (allo spostamento 0x30 la parola quadrupla 0x00 00 00 00 00 0C 00 00 (786 432) \u00e8 il numero del primo cluster MFT. Il numero di settore viene calcolato con la formula: Numero del cluster * numero di settori nel cluster + spostamento all'inizio della partizione 786 432 * 8 + 63 = 6 291 519).
Fig. 8<\/i><\/p>\n
Ma i dati contenuti in questo settore non assomigliano affatto a una registrazione MFT. Questo indica una possibile errata traduzione a causa di una lista difetti non corretta, ma non dimostra questo fatto. Per ulteriori verifiche, eseguiremo la lettura del disco in entrambe le direzioni ogni 10 000 settori rispetto al settore 6 291 519. Poi eseguiremo la ricerca di espressioni regolari nei dati letti.<\/p>\n
Fig. 9 Prima registrazione MFT<\/i><\/p>\n
Nel settore 6 291 551 scopriamo la prima registrazione MFT. La sua posizione differisce da quella calcolata di 32 settori, e segue quindi un gruppo continuo di 16 registrazioni (da 0 a 15). Inseriamo nella tabella dei movimenti la posizione del settore 6 291 519 spostandolo in avanti di 32 settori.<\/p>\n
Fig. 10<\/i><\/p>\n
La posizione della registrazione n. 16 dovrebbe essere allo spostamento 12 551 431, ma l\u00ec troviamo degli zeri, invece della registrazione MFT. Effettueremo una ricerca simile nelle vicinanze.<\/p>\n
Fig. 11 Registrazione MFT 0x00000011 (17)<\/i><\/p>\n
Si scopre un grande frammento di MFT, che inizia con la registrazione numero 17 e ha una lunghezza di 53 646 registrazioni) con uno spostamento di 17 settori. Per la posizione 12 155 431 impostiamo uno spostamento di +17 settori nella tabella degli spostamenti.
Fig. 12 Copia del settore di avvio NTFS<\/i><\/p>\n
Ignoriamo un'altra copia del settore di avvio con spostamento 18 041 006, poich\u00e9 non \u00e8 correlata alla nostra partizione. Sulla base delle attivit\u00e0 precedenti \u00e8 stato stabilito che all'interno della partizione ci sono inserimenti di 61 settori \"emersi\" nella traslazione, che hanno separato i dati.
Fig. 13 Statistiche di lettura del disco.<\/i><\/p>\n
La nostra prossima task sar\u00e0 stabilire i punti di spostamento indicativi (con precisione al file in cui sono avvenuti). A tal fine, effettueremo una scansione di tutte le voci MFT e creeremo catene di posizionamento dei file (frammenti di file).<\/p>\n
Figura 14 Catene di posizionamento dei file o dei loro frammenti.<\/i><\/p>\n
In seguito, spostandoci da file a file, cerchiamo in quale punto invece dell'intestazione prevista del file ci saranno dati diversi, mentre l'intestazione necessaria verr\u00e0 scoperta con uno spostamento positivo. E man mano che definiamo i punti di spostamento, completiamo la tabella. Il risultato della sua compilazione sar\u00e0 oltre il 99% dei file senza danni.<\/p>\n
Figura 15 Elenco dei file utente (\u00e8 stata ricevuta l'autorizzazione dal cliente per pubblicare questo screenshot)<\/i><\/p>\n
Per stabilire spostamenti puntuali in file singoli, si possono eseguire lavori supplementari e, conoscendo la struttura del file, identificare iniezioni di dati non pertinenti. Ma in questo compito non era economicamente fattibile.<\/p>\n
P.S. Vorrei anche rivolgermi ai colleghi che hanno avuto questo disco tra le mani in precedenza. Per favore, siate cauti quando lavorate con il firmware dei dispositivi e fate un backup dei dati di servizio prima di apportare modifiche, oltre a non aggravare intenzionalmente il problema se non siete riusciti a concordare con il cliente l'esecuzione dei lavori.<\/p>\n
Pubblicazione precedente: Risparmio sulle partite o recupero dati da un HDD Seagate ST3000NC002-1DY166 in sofferenza<\/a><\/noindex> habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"\u041d\u0430 \u0434\u0432\u043e\u0440\u0435 \u0441\u0442\u043e\u044f\u043b 2019 \u0433\u043e\u0434. \u0412 \u043d\u0430\u0448\u0443 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044c QUANTUM FIREBALL Plus KA \u0435\u043c\u043a\u043e\u0441\u0442\u044c\u044e 9.1\u0413\u0431. \u0421\u043e \u0441\u043b\u043e\u0432 \u0432\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0430 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044f \u043e\u0442\u043a\u0430\u0437 \u0441\u043b\u0443\u0447\u0438\u043b\u0441\u044f \u0432 \u0434\u0430\u043b\u0435\u043a\u043e\u043c 2004 \u0433\u043e\u0434\u0443 \u043f\u043e \u0432\u0438\u043d\u0435 \u0432\u044b\u0448\u0435\u0434\u0448\u0435\u0433\u043e \u0438\u0437 \u0441\u0442\u0440\u043e\u044f \u0431\u043b\u043e\u043a\u0430 \u043f\u0438\u0442\u0430\u043d\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u0445\u0432\u0430\u0442\u0438\u043b \u0437\u0430 \u0441\u043e\u0431\u043e\u0439 \u0436\u0435\u0441\u0442\u043a\u0438\u0439 \u0434\u0438\u0441\u043a \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u041f\u041a. \u0414\u0430\u043b\u0435\u0435 \u0431\u044b\u043b\u0438 \u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u043f\u043e \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-52583","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t
![\"Peregrinazioni](\"\/wp-content\/uploads\/2019\/11\/66ae1bd6c82c7e5c6d078c3eebc60e1c.jpg\")