한 번의 데이터 복구 시도의 오랜 역사와 고뇌를 헤쳐나가다

2019년이었습니다. 우리 연구실은 우리 시대에는 흔하지 않은 9.1GB 용량의 QUANTUM FIREBALL Plus KA 드라이브를 받았습니다. 드라이브 소유자에 따르면 2004년에 전원 공급 장치 고장으로 인해 하드 드라이브 및 기타 PC 구성 요소가 손상되어 고장이 발생했습니다. 그런 다음 드라이브를 수리하고 데이터를 복원하려는 시도로 다양한 서비스를 방문했지만 실패했습니다. 어떤 경우에는 저렴할 것이라고 약속했지만 문제를 해결하지 못했고, 다른 경우에는 너무 비싸서 클라이언트가 데이터 복원을 원하지 않았지만 결국 디스크는 여러 서비스 센터를 거쳤습니다. 여러 번 분실했지만 소유자가 드라이브에 있는 다양한 스티커의 정보를 미리 기록해 두었기 때문에 일부 서비스 센터에서 하드 드라이브를 반환할 수 있었습니다. 산책은 흔적 없이 통과되지 않았고 원래 컨트롤러 보드에 여러 개의 납땜 흔적이 남아 있었으며 SMD 요소 부족도 시각적으로 느껴졌습니다.

쌀. HDD Quantum Fireball Plus KA 1GB 9,1개

우리가 가장 먼저 해야 할 일은 기증자 기록 보관소에서 작동하는 컨트롤러 보드가 있는 이 드라이브의 고대 쌍둥이 형제를 검색하는 것이었습니다. 이 퀘스트가 완료되면 광범위한 진단 조치를 수행하는 것이 가능해졌습니다. 모터 권선에 단락이 있는지 확인하고 단락이 없는지 확인한 후 도너 드라이브에서 환자 드라이브로 보드를 설치합니다. 전원을 공급하고 샤프트가 회전하는 정상적인 소리를 듣고 펌웨어 로딩과 함께 보정 테스트를 통과했으며 몇 초 후에 드라이브는 레지스터를 통해 인터페이스의 명령에 응답할 준비가 되었음을 보고합니다.

쌀. 2개의 DRD DSC 표시기는 명령 수신 준비 상태를 나타냅니다.

우리는 펌웨어 모듈의 모든 사본을 백업합니다. 펌웨어 모듈의 무결성을 확인합니다. 모듈을 읽는 데에는 문제가 없지만 보고서를 분석해 보면 몇 가지 이상한 점이 있는 것으로 나타났습니다.

쌀. 3. 구역 테이블.

구역 분포 테이블에 주목하고 실린더 수가 13845임을 확인합니다.

쌀. 4 P-목록(XNUMX차 목록 – 생산 주기 동안 발생한 결함 목록).

결함 수와 위치가 너무 적다는 점에 주목합니다. 우리는 로그 모듈(60h)을 숨기고 있는 공장 결함을 살펴보고 그것이 비어 있고 단일 항목을 포함하지 않는다는 것을 발견합니다. 이를 토대로 이전 서비스 센터 중 한 곳에서 드라이브의 서비스 영역에 대해 일부 조작이 이루어졌을 수 있으며, 실수로 또는 의도적으로 외국 모듈이 작성되었거나 원본의 결함 목록이 작성되었을 수 있음을 추측할 수 있습니다. 하나는 클리어했습니다. 이 가정을 테스트하기 위해 "섹터별 복사본 생성" 및 "가상 번역기 생성" 옵션을 활성화하여 데이터 추출기에서 작업을 생성합니다.

쌀. 5 작업 매개변수.

작업을 생성한 후 섹터 0(LBA XNUMX)의 파티션 테이블에 있는 항목을 살펴봅니다.

쌀. 6 마스터 부트 레코드 및 파티션 테이블.

오프셋 0x1BE에는 단일 항목(16바이트)이 있습니다. 파티션의 파일 시스템 유형은 NTFS이며 0x3F(63) 섹터의 시작 부분까지 오프셋되고 파티션 크기는 0x011309A3(18) 섹터입니다.
섹터 편집기에서 LBA 63을 엽니다.

쌀. 7 NTFS 부팅 섹터

NTFS 파티션의 부트 섹터 정보에 따르면 다음과 같이 말할 수 있습니다. 볼륨에 허용되는 섹터 크기는 512바이트(워드 0x0(0)는 오프셋 0200x512B에 기록됨), 클러스터의 섹터 수는 8(바이트 0x0은 오프셋 0x08D에 기록됨), 클러스터 크기는 512x8=4096바이트, 첫 번째 MFT 레코드는 디스크 시작부터 6 섹터 오프셋에 위치합니다(291x519 쿼드러플 워드 오프셋 0x30 0 00 00 00 00C 00 0 첫 번째 MFT 클러스터의 (00) 번호 섹터 번호는 클러스터 번호 * 클러스터의 섹터 수 + 섹션 시작 부분의 오프셋 00* 786+432= 786) 공식으로 계산됩니다.
섹터 6로 이동해 보겠습니다.

그림. 8

하지만 이 섹터에 포함된 데이터는 MFT 레코드와 완전히 다릅니다. 이는 잘못된 결함 목록으로 인해 잘못된 번역이 있을 수 있음을 나타내지만 이를 증명하지는 않습니다. 추가 확인을 위해 10 섹터를 기준으로 양방향으로 000 섹터씩 디스크를 읽습니다. 그런 다음 읽은 내용에서 정규식을 검색해 보겠습니다.

쌀. 9 첫 번째 MFT 녹음

섹터 6에서 첫 번째 MFT 레코드를 찾습니다. 그 위치는 계산된 위치와 291개 섹터만큼 다르며, 551개 레코드(32~16) 그룹이 연속적으로 이어집니다. 0 섹터의 위치를 ​​쉬프트 테이블에 입력하고 15 섹터씩 앞으로 이동해보자.

그림. 10

16번 레코드의 위치는 오프셋 12에 있어야 하지만 MFT 레코드 대신 거기에서 551이 발견됩니다. 주변 지역에서도 비슷한 검색을 해보자.

쌀. 11 MFT 항목 0x00000011 (17)

MFT의 큰 조각이 17개 섹터 이동으로 레코드 번호 53부터 시작하여 646개 레코드 길이로 감지됩니다. 위치 17의 경우 시프트 테이블에 +12 섹터의 시프트를 입력합니다.
공간에서 MFT 조각의 위치를 ​​결정한 후에는 이것이 무작위 실패 및 잘못된 오프셋에서 MFT 조각의 기록처럼 보이지 않는다는 결론을 내릴 수 있습니다. 번역이 잘못된 버전은 확인된 것으로 간주될 수 있습니다.
변속 지점을 더욱 지역화하기 위해 가능한 최대 변위를 설정합니다. 이를 위해 NTFS 파티션(부팅 섹터의 복사본)의 끝 표시가 얼마나 이동되었는지 확인합니다. 그림 7에서 오프셋 0x28에서 쿼드워드는 0x00 00 00 00 01 13 09 A2(18) 섹터의 파티션 크기 값입니다. 디스크 시작 부분부터 파티션 자체의 오프셋을 길이에 추가하면 끝 NTFS 마커의 오프셋 024 + 866= 18를 얻습니다. 예상대로 필요한 부팅 섹터 복사본이 없습니다. 주변 지역을 검색한 결과 마지막 MFT 조각에 비해 +024 섹터가 증가하는 것으로 나타났습니다.

쌀. 12 NTFS 부트 섹터 복사본

오프셋 18에 있는 부트 섹터의 다른 복사본은 파티션과 관련이 없으므로 무시합니다. 이전 활동을 토대로 해당 섹션 내에는 방송에서 '뜬' 041개 부문이 포함된 것으로 확인돼 데이터가 확대됐다.
드라이브 전체 읽기를 수행하여 읽지 않은 섹터 34개가 남습니다. 불행하게도 이들 모두가 P-목록에서 제거된 결함임을 확실하게 보장하는 것은 불가능합니다. 그러나 추가 분석에서는 해당 위치를 고려하는 것이 좋습니다. 어떤 경우에는 다음을 사용하여 이동 지점을 안정적으로 결정하는 것이 가능하기 때문입니다. 파일이 아닌 섹터의 정확성.

쌀. 13 디스크 읽기 통계.

다음 작업은 교대근무의 대략적인 위치를 설정하는 것입니다(교대가 발생한 파일의 정확성까지). 이를 위해 모든 MFT 레코드를 스캔하고 파일 위치 체인(파일 조각)을 구축합니다.

쌀. 14 파일 또는 해당 조각의 위치 체인입니다.

다음으로 파일에서 파일로 이동하면서 예상되는 파일 헤더 대신 다른 데이터가 있는 순간을 찾고 특정 양수 이동으로 원하는 헤더를 찾을 수 있습니다. 그리고 시프트 포인트를 개선하면서 표를 작성합니다. 이를 채우면 99% 이상의 파일이 손상되지 않을 것입니다.

쌀. 15 사용자 파일 목록(이 스크린샷을 게시하기 위해 클라이언트로부터 동의를 받았습니다)

개별 파일에 포인트 이동을 설정하려면 추가 작업을 수행하고 파일 구조를 알고 있는 경우 파일과 관련되지 않은 데이터 포함을 찾을 수 있습니다. 그러나 이 작업에서는 경제적으로 실현 가능하지 않았습니다.

추신: 이전에 이 디스크를 손에 넣었던 동료들에게도 말씀드리고 싶습니다. 기기 펌웨어 작업 및 서비스 데이터 백업 시 주의하시기 바라며, 작업에 대해 고객과 합의하지 못한 경우 고의로 문제를 악화시키지 마십시오.

이전 발행물: 일치 항목 저장 또는 연삭 HDD Seagate ST3000NC002-1DY166에서 데이터 복구

출처 : habr.com