वेदना किंवा डेटा पुनर्प्राप्ती प्रयत्नांच्या दीर्घ इतिहासातून चालणे

ते 2019 होते. आमच्या प्रयोगशाळेला 9.1GB क्षमतेची क्वांटम फायरबॉल प्लस KA ड्राइव्ह मिळाली, जी आमच्या काळासाठी सामान्य नाही. ड्राइव्हच्या मालकाच्या म्हणण्यानुसार, 2004 मध्ये अयशस्वी वीज पुरवठ्यामुळे बिघाड झाला, ज्याने हार्ड ड्राइव्ह आणि इतर पीसी घटक घेतले. नंतर ड्राइव्ह दुरुस्त करण्यासाठी आणि डेटा पुनर्संचयित करण्याच्या प्रयत्नांसह विविध सेवांना भेटी दिल्या, जे अयशस्वी झाले. काही प्रकरणांमध्ये त्यांनी वचन दिले की ते स्वस्त असेल, परंतु त्यांनी कधीही समस्येचे निराकरण केले नाही, इतरांमध्ये ते खूप महाग होते आणि क्लायंट डेटा पुनर्संचयित करू इच्छित नव्हता, परंतु शेवटी डिस्क अनेक सेवा केंद्रांमधून गेली. हे बर्याच वेळा हरवले गेले होते, परंतु मालकाने ड्राइव्हवरील विविध स्टिकर्सवरील माहिती रेकॉर्डिंगची काळजी घेतल्याबद्दल धन्यवाद, काही सेवा केंद्रांमधून त्याची हार्ड ड्राइव्ह परत आली याची खात्री करण्यात त्याने व्यवस्थापित केले. चालणे ट्रेसशिवाय पास झाले नाही, सोल्डरिंगचे अनेक ट्रेस मूळ कंट्रोलर बोर्डवर राहिले आणि एसएमडी घटकांची कमतरता देखील दृष्यदृष्ट्या जाणवली (पुढे पाहता, मी म्हणेन की या ड्राइव्हच्या समस्यांपैकी ही सर्वात कमी आहे).

तांदूळ. 1 HDD क्वांटम फायरबॉल प्लस KA 9,1GB

या ड्राइव्हच्या अशा प्राचीन जुळ्या भावाचा एक कार्यरत कंट्रोलर बोर्ड असलेल्या दाता संग्रहात शोध घेणे ही पहिली गोष्ट होती. हा शोध पूर्ण झाल्यावर, व्यापक निदान उपाय करणे शक्य झाले. शॉर्ट सर्किटसाठी मोटर विंडिंग तपासल्यानंतर आणि शॉर्ट सर्किट नसल्याचे सुनिश्चित केल्यानंतर, आम्ही डोनर ड्राईव्हपासून पेशंट ड्राइव्हवर बोर्ड स्थापित करतो. आम्ही पॉवर लागू करतो आणि शाफ्टचा सामान्य आवाज ऐकतो, फर्मवेअर लोड करताना कॅलिब्रेशन चाचणी उत्तीर्ण करतो आणि काही सेकंदांनंतर ड्राइव्ह नोंदवतो की ते इंटरफेसवरील आदेशांना प्रतिसाद देण्यासाठी तयार आहे.

तांदूळ. 2 DRD DSC निर्देशक आदेश प्राप्त करण्याची तयारी दर्शवतात.

आम्ही फर्मवेअर मॉड्यूल्सच्या सर्व प्रतींचा बॅकअप घेतो. आम्ही फर्मवेअर मॉड्यूलची अखंडता तपासतो. मॉड्युल वाचण्यात कोणतीही अडचण नाही, परंतु अहवालांचे विश्लेषण असे दर्शविते की काही विचित्रता आहेत.

तांदूळ. 3. झोन टेबल.

आम्ही झोनल वितरण सारणीकडे लक्ष देतो आणि लक्षात घ्या की सिलेंडरची संख्या 13845 आहे.

तांदूळ. 4 पी-सूची (प्राथमिक सूची – उत्पादन चक्रादरम्यान सादर केलेल्या दोषांची यादी).

आम्ही दोषांची संख्या आणि त्यांच्या स्थानाकडे लक्ष वेधतो. आम्ही फॅक्टरी दोष लपविणारे लॉग मॉड्यूल (60h) पाहतो आणि आढळतो की ते रिकामे आहे आणि त्यात एकही एंट्री नाही. या आधारावर, आम्ही असे गृहीत धरू शकतो की मागील सेवा केंद्रांपैकी एकामध्ये, ड्राइव्हच्या सेवा क्षेत्रासह काही फेरफार केले गेले असावेत आणि चुकून किंवा हेतुपुरस्सर परदेशी मॉड्यूल लिहिले गेले असेल किंवा मूळमधील दोषांची यादी. एक साफ करण्यात आला. या गृहीतकाची चाचणी घेण्यासाठी, आम्ही डेटा एक्स्ट्रॅक्टरमध्ये “सेक्टर-बाय-सेक्टर कॉपी तयार करा” आणि “आभासी अनुवादक तयार करा” पर्याय सक्षम केलेले कार्य तयार करतो.

तांदूळ. 5 कार्य पॅरामीटर्स.

कार्य तयार केल्यावर, आम्ही सेक्टर शून्य (LBA 0) मधील विभाजन सारणीमधील नोंदी पाहतो.

तांदूळ. 6 मास्टर बूट रेकॉर्ड आणि विभाजन तक्ता.

ऑफसेट 0x1BE वर एकच एंट्री आहे (16 बाइट्स). विभाजनावरील फाइल सिस्टम प्रकार NTFS आहे, 0x3F (63) सेक्टर्सच्या सुरूवातीस ऑफसेट, विभाजन आकार 0x011309A3 (18) सेक्टर.
सेक्टर एडिटरमध्ये, LBA 63 उघडा.

तांदूळ. 7 NTFS बूट सेक्टर

NTFS विभाजनाच्या बूट सेक्टरमधील माहितीनुसार, आम्ही खालील म्हणू शकतो: खंडात स्वीकारलेले सेक्टर आकार 512 बाइट्स आहे (शब्द 0x0 (0) ऑफसेट 0200x512B वर लिहिलेला आहे), क्लस्टरमधील सेक्टरची संख्या आहे 8 (बाइट 0x0 ऑफसेट 0x08D वर लिहिलेले आहे), क्लस्टरचा आकार 512x8=4096 बाइट्स आहे, पहिला MFT रेकॉर्ड डिस्कच्या सुरुवातीपासून 6 सेक्टर्सच्या ऑफसेटवर स्थित आहे (291x519 चतुर्भुज शब्द 0x30 0 च्या ऑफसेटवर पहिल्या MFT क्लस्टरची 00 00C 00 00 (00) संख्या. सेक्टर क्रमांकाची गणना सूत्रानुसार केली जाते: क्लस्टर क्रमांक * क्लस्टरमधील सेक्टरची संख्या + विभागाच्या सुरूवातीस 0* 00+00= 786 ऑफसेट).
चला सेक्टर 6 वर जाऊ.

अंजीर 8

परंतु या क्षेत्रातील डेटा एमएफटी रेकॉर्डपेक्षा पूर्णपणे भिन्न आहे. चुकीच्या दोष सूचीमुळे हे संभाव्य चुकीचे भाषांतर सूचित करत असले तरी, हे तथ्य सिद्ध करत नाही. पुढील तपासण्यासाठी, आम्ही 10 सेक्टर्सच्या तुलनेत दोन्ही दिशांमध्ये 000 सेक्टरद्वारे डिस्क वाचू. आणि मग आपण जे वाचतो त्यामध्ये आपण नियमित अभिव्यक्ती शोधू.

तांदूळ. 9 प्रथम MFT रेकॉर्डिंग

सेक्टर 6 मध्ये आम्हाला पहिला MFT रेकॉर्ड सापडतो. त्याची स्थिती गणना केलेल्या 291 क्षेत्रांपेक्षा भिन्न आहे आणि नंतर 551 रेकॉर्डचा एक गट (32 ते 16 पर्यंत) सतत अनुसरण करतो. शिफ्ट टेबलमध्ये सेक्टर 0 चे स्थान प्रविष्ट करू आणि 15 सेक्टर्सने पुढे जाऊ.

अंजीर 10

रेकॉर्ड क्रमांक 16 ची स्थिती ऑफसेट 12 वर असावी, परंतु आम्हाला तेथे MFT रेकॉर्डऐवजी शून्य आढळते. आजूबाजूच्या परिसरात असाच शोध घेऊ.

तांदूळ. 11 MFT एंट्री 0x00000011 (17)

MFT चा एक मोठा तुकडा आढळून आला आहे, ज्याची लांबी 17 रेकॉर्ड्ससह रेकॉर्ड क्रमांक 53 पासून सुरू होते) 646 सेक्टर्सच्या शिफ्टसह. स्थान 17 साठी, शिफ्ट टेबलमध्ये +12 सेक्टर्सची शिफ्ट ठेवा.
अंतराळातील एमएफटी तुकड्यांची स्थिती निश्चित केल्यावर, आम्ही असा निष्कर्ष काढू शकतो की हे यादृच्छिक अपयश आणि चुकीच्या ऑफसेटवर एमएफटी तुकड्यांच्या रेकॉर्डिंगसारखे दिसत नाही. चुकीचा अनुवादक असलेली आवृत्ती पुष्टी मानली जाऊ शकते.
शिफ्ट पॉइंट्सचे आणखी स्थानिकीकरण करण्यासाठी, आम्ही जास्तीत जास्त संभाव्य विस्थापन सेट करू. हे करण्यासाठी, आम्ही NTFS विभाजनाचा शेवटचा मार्कर (बूट सेक्टरची प्रत) किती हलविला आहे हे निर्धारित करतो. आकृती 7 मध्ये, ऑफसेट 0x28 वर, क्वाडवर्ड हे 0x00 00 00 00 01 13 09 A2 (18) सेक्टर्सचे विभाजन आकाराचे मूल्य आहे. डिस्कच्या सुरुवातीपासूनच त्याच्या लांबीपर्यंत विभाजनाचा ऑफसेट जोडू या, आणि आपल्याला NTFS मार्कर 024 + 866= 18 च्या शेवटी ऑफसेट मिळेल. अपेक्षेप्रमाणे, बूट सेक्टरची आवश्यक प्रत तेथे नव्हती. आजूबाजूचा परिसर शोधताना, ते शेवटच्या MFT तुकड्याच्या तुलनेत +024 क्षेत्रांच्या वाढत्या शिफ्टसह आढळले.

तांदूळ. 12 NTFS बूट सेक्टरची प्रत

आम्ही ऑफसेट 18 वर बूट सेक्टरची दुसरी प्रत दुर्लक्षित करतो, कारण ती आमच्या विभाजनाशी संबंधित नाही. मागील क्रियाकलापांवर आधारित, हे स्थापित केले गेले की विभागात 041 क्षेत्रांचा समावेश आहे जे प्रसारणात "पॉप अप" झाले, ज्याने डेटाचा विस्तार केला.
आम्ही ड्राइव्हचे पूर्ण वाचन करतो, ज्यामुळे 34 न वाचलेले क्षेत्र सोडले जातात. दुर्दैवाने, ते सर्व दोष पी-सूचीमधून काढून टाकले आहेत याची विश्वासार्हपणे हमी देणे अशक्य आहे, परंतु पुढील विश्लेषणात त्यांची स्थिती विचारात घेणे उचित आहे, कारण काही प्रकरणांमध्ये शिफ्ट पॉइंट्ससह विश्वसनीयरित्या निर्धारित करणे शक्य होईल. सेक्टरची अचूकता, फाईलची नाही.

तांदूळ. 13 डिस्क वाचन आकडेवारी.

आमचे पुढील कार्य शिफ्ट्सची अंदाजे स्थाने स्थापित करणे (ज्या फाईलमध्ये ती आली त्या अचूकतेपर्यंत) स्थापित करणे असेल. हे करण्यासाठी, आम्ही सर्व MFT रेकॉर्ड स्कॅन करू आणि फाइल स्थानांची साखळी तयार करू (फाइलचे तुकडे).

तांदूळ. 14 फाइल्स किंवा त्यांच्या तुकड्यांच्या स्थानाची साखळी.

पुढे, फाईलमधून फाईलवर जाताना, आम्ही त्या क्षणाचा शोध घेतो ज्यावेळी अपेक्षित फाइल हेडरऐवजी इतर डेटा असेल आणि इच्छित शीर्षलेख एका विशिष्ट सकारात्मक शिफ्टसह सापडेल. आणि जसे आपण शिफ्ट पॉइंट्स परिष्कृत करतो, आपण टेबल भरतो. ते भरल्याचा परिणाम 99% पेक्षा जास्त फायली नुकसान न होता.

तांदूळ. 15 वापरकर्ता फाइल्सची यादी (हा स्क्रीनशॉट प्रकाशित करण्यासाठी क्लायंटकडून संमती प्राप्त झाली होती)

वैयक्तिक फायलींमध्ये पॉइंट शिफ्ट स्थापित करण्यासाठी, आपण अतिरिक्त कार्य करू शकता आणि, जर आपल्याला फाइलची रचना माहित असेल तर, त्याच्याशी संबंधित नसलेल्या डेटाचा समावेश शोधा. पण हे काम आर्थिकदृष्ट्या शक्य नव्हते.

PS मी माझ्या सहकाऱ्यांना देखील संबोधित करू इच्छितो, ज्यांच्या हातात ही डिस्क पूर्वी होती. कृपया डिव्हाइस फर्मवेअरसह कार्य करताना सावधगिरी बाळगा आणि काहीही बदलण्यापूर्वी सेवा डेटाचा बॅकअप घ्या आणि जर तुम्ही कामावर क्लायंटशी सहमत होऊ शकत नसाल तर मुद्दाम समस्या वाढवू नका.

मागील प्रकाशन: मॅचवर बचत करणे किंवा ग्राइंडिंग HDD Seagate ST3000NC002-1DY166 वरून डेटा पुनर्प्राप्त करणे

स्त्रोत: www.habr.com