苦痛や XNUMX 回のデータ回復試行の長い歴史を経験する

2019年のことでした。 私たちの研究室には、9.1 GB の容量を持つ QUANTUM FIREBALL Plus KA ドライブが届きましたが、これは現代ではあまり一般的ではありません。 ドライブの所有者によると、この障害は 2004 年に電源の故障により発生し、ハード ドライブやその他の PC コンポーネントも一緒に失われてしまいました。 その後、さまざまなサービスを利用してドライブを修復し、データを復元しようと試みましたが、失敗しました。 安いと約束したにもかかわらず問題が解決しなかったケースもあれば、費用が高すぎてクライアントがデータの復元を望まなかったにもかかわらず、最終的にディスクが多くのサービスセンターを経由したケースもありました。 何度か紛失しましたが、所有者が事前にドライブのさまざまなステッカーに情報を記録していたおかげで、いくつかのサービスセンターからハードドライブを確実に返却することができました。 ウォークは跡形もなく通過せず、元のコントローラーボードには複数のはんだ付けの跡が残り、SMD要素の欠如も視覚的に感じられました（将来を見据えて、これはこのドライブの問題の中で最も少ないと言えます）。

米。 1 HDD Quantum Fireball Plus KA 9,1GB

私たちが最初にしなければならなかったのは、動作するコントローラー ボードを備えた、このドライブの古代の双子の兄弟をドナー アーカイブで検索することでした。 このクエストを完了すると、広範囲にわたる診断措置を実行できるようになりました。 モーター巻線に短絡がないか確認し、短絡がないことを確認した後、ボードをドナードライブから患者ドライブに取り付けます。 電源を投入すると、シャフトが回転する通常の音が聞こえ、ファームウェアのロードによる校正テストに合格し、数秒後、ドライブはインターフェイスからのコマンドに応答する準備ができていることをレジスタによって報告します。

米。 2 DRD DSC インジケーターは、コマンドを受信する準備ができていることを示します。

ファームウェア モジュールのすべてのコピーをバックアップします。 ファームウェアモジュールの整合性をチェックします。 モジュールの読み取りには問題ありませんが、レポートの分析により、いくつかの奇妙な点があることがわかりました。

米。 3. ゾーンテーブル。

ゾーン分布テーブルに注目すると、シリンダーの数が 13845 であることがわかります。

米。 4 P リスト (一次リスト – 生産サイクル中に導入された欠陥のリスト)。

私たちは、欠陥の数が少なすぎることとその位置に注意を払います。 工場出荷時の欠陥隠蔽ログ モジュール (60h) を確認すると、空でエントリが XNUMX つも含まれていないことがわかります。 これに基づいて、以前のサービスセンターのいずれかで、ドライブのサービスエリアに対して何らかの操作が行われ、偶然または意図的に外部モジュールが書き込まれた可能性があり、または元のモジュールの欠陥リストが書き込まれた可能性があると推測できます。一つクリアできました。 この仮定をテストするために、Data Extractor で「セクターごとのコピーの作成」オプションと「仮想トランスレーターの作成」オプションを有効にしてタスクを作成します。

米。 5 タスクパラメータ。

タスクを作成したら、セクター 0 (LBA XNUMX) のパーティション テーブルのエントリを調べます。

米。 6 マスターブートレコードとパーティションテーブル。

オフセット 0x1BE には 16 つのエントリ (0 バイト) があります。 パーティションのファイル システム タイプは NTFS、オフセットは 3x63F (0) セクターの先頭、パーティション サイズは 011309x3A18 (024) セクターです。
セクター エディターで、LBA 63 を開きます。

米。 7 NTFSブートセクター

NTFS パーティションのブート セクターの情報によると、次のことが言えます。ボリュームで受け入れられるセクター サイズは 512 バイト (ワード 0x0 (0) はオフセット 0200x512B に書き込まれます)、クラスター内のセクター数は8 (バイト 0x0 はオフセット 0x08D に書き込まれる)、クラスター サイズは 512x8=4096 バイト、最初の MFT レコードはディスクの先頭から 6 セクターのオフセットに配置されます (オフセット 291x519 クワドル ワード 0x30 0 00 00) 00 00C 00 0 (00) 最初の MFT クラスターの番号セクター番号は次の式で計算されます: クラスター番号 * クラスター内のセクター数 + セクションの先頭までのオフセット 00 * 786+432= 786)。
セクター 6 に移りましょう。

図。 8

しかし、このセクターに含まれるデータは、MFT レコードとはまったく異なります。 これは、不正確な欠陥リストによる誤った翻訳の可能性を示していますが、この事実を証明するものではありません。 さらに確認するために、10 セクターに対して両方向で 000 セクターずつディスクを読み取ります。 次に、読み取った内容から正規表現を検索します。

米。 9 最初の MFT 録音

セクター 6 で、最初の MFT レコードが見つかります。 計算上の位置と291セクタ分異なり、551から32までの16レコードの集合が連続します。 セクター 0 の位置をシフト テーブルに入力し、15 セクター進めてみましょう。

図。 10

レコード番号 16 の位置はオフセット 12 にあるはずですが、MFT レコードの代わりにゼロがそこに見つかります。 周囲でも同様の捜索をしてみましょう。

米。 11 MFT エントリ 0x00000011 (17)

MFT の大きなフラグメントが検出されます。レコード番号 17 から始まり、長さは 53 レコードで、646 セクターのシフトがあります。 位置 17 の場合、シフト テーブルに +12 セクターのシフトを入れます。
空間内の MFT フラグメントの位置を特定したので、これはランダムな障害や誤ったオフセットでの MFT フラグメントの記録とは思えないと結論付けることができます。 間違った翻訳者を含むバージョンは、確認済みであるとみなされる可能性があります。
シフト ポイントをさらに局所化するために、可能な最大変位を設定します。 これを行うには、NTFS パーティション (ブート セクターのコピー) の終了マーカーがどれだけシフトされるかを決定します。 図 7 では、オフセット 0x28 で、クワッドワードは 0x00 00 00 00 01 13 09 A2 (18) セクターのパーティション サイズ値です。 ディスクの先頭からパーティション自体のオフセットをその長さに加えて、最後の NTFS マーカーのオフセット 024 + 866= 18 を取得します。予想どおり、必要なブート セクターのコピーは存在しませんでした。 周囲を検索すると、最後の MFT フラグメントと比較して +024 セクターのシフトが増加していることがわかりました。

米。 12 NTFSブートセクタのコピー

オフセット 18 にあるブート セクターのもう 041 つのコピーは、パーティションに関連していないため、無視します。 これまでの活動に基づいて、このセクション内には放送内で「ポップアップ」した 006 のセクターが含まれていることが確認され、データが拡張されました。
ドライブの完全な読み取りを実行すると、34 個の未読み取りセクターが残ります。 残念ながら、それらすべてが P リストから削除された欠陥であることを確実に保証することは不可能ですが、さらなる分析では、それらの位置を考慮することをお勧めします。ファイルではなくセクターの精度です。

米。 13 ディスク読み取り統計。

次のタスクは、シフトのおおよその位置を (シフトが発生したファイルの精度で) 確立することです。 これを行うには、すべての MFT レコードをスキャンし、ファイルの場所のチェーン (ファイル フラグメント) を構築します。

米。 14 ファイルまたはそのフラグメントの場所のチェーン。

次に、ファイルからファイルに移動して、期待されるファイル ヘッダーの代わりに他のデータが存在する瞬間を探します。すると、目的のヘッダーが一定のプラスのシフトで見つかります。 そして、シフト ポイントを調整しながら、テーブルを埋めていきます。 埋めた結果、99%以上のファイルは損傷しません。

米。 15 ユーザーファイルのリスト (このスクリーンショットを公開するためにクライアントから同意を受け取りました)

個々のファイルでポイント シフトを確立するには、追加作業を実行し、ファイルの構造がわかっている場合は、それに関連しないデータが含まれていることを見つけることができます。 しかし、この仕事では経済的に実行可能ではありませんでした。

PS また、このディスクを以前に手にしていた同僚にも伝えておきたいと思います。 デバイスのファームウェアを操作するときは注意し、何かを変更する前にサービス データをバックアップしてください。作業に関してクライアントと合意できなかった場合でも、故意に問題を悪化させないでください。

前の出版物: マッチの保存または研削 HDD からのデータの回復 Seagate ST3000NC002-1DY166

出所： habr.com