{"id":52583,"date":"2019-11-12T00:00:00","date_gmt":"2019-11-11T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh"},"modified":"2020-02-18T14:00:21","modified_gmt":"2020-02-18T11:00:21","slug":"hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","title":{"rendered":"Door de pijn of het lange verhaal van een poging tot gegevensherstel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In de tuin was het jaar 2019. Onze laboratorium ontving een niet geheel gebruikelijke opslag QUANTUM FIREBALL Plus KA met een capaciteit van 9.1GB. Volgens de eigenaar van de schijf heeft de storing plaatsgevonden in 2004 door een defecte voeding, die de harde schijf en andere componenten van de pc heeft meegenomen. Daarna waren er bezoeken aan verschillende diensten in een poging om de schijf te repareren en gegevens te herstellen, wat niet succesvol was. Soms werd er goedkoop beloofd, maar het probleem werd niet opgelost, en soms was het te duur en besloot de klant geen gegevens te herstellen, maar uiteindelijk heeft de schijf verschillende servicecentra doorlopen. Meerdere keren ging de schijf verloren, maar dankzij het feit dat de eigenaar van tevoren zorgde voor het vastleggen van informatie van verschillende stickers op de schijf, kon hij ervoor zorgen dat zijn harde schijf uit sommige servicecentra werd teruggegeven. Deze bezoeken bleven niet zonder gevolgen, de originele controllerplaat vertoonde meerdere soldeersporen, en er was visueel een tekort aan SMD-componenten (ik zal van tevoren zeggen dat dit het minste probleem van deze schijf is).<\/p>\n

\"Door
\nFiguur 1 HDD Quantum Fireball Plus KA 9,1GB<\/i>
\n<\/a><\/noindex>
\nHet eerste wat moest gebeuren was het zoeken naar een donorarchief van zo'n oude identieke schijf met een werkende controllerplaat. Toen deze zoektocht succesvol was afgerond, kon de uitgebreide diagnose worden uitgevoerd. Na het controleren van de elektromotorwikkelingen op kortsluiting en het bevestigen dat er geen was, installeren we de plaat van de donor-schijf op de pati\u00ebnt-schijf. We leveren stroom en horen een normaal geluid van de motor, de kalibratietest met het laden van de firmware verloopt succesvol, en na enkele seconden meldt de schijf via de registers dat hij klaar is om commando's van de interface te ontvangen. <\/p>\n

\"Door
\nFiguur 2 De DRD DSC-indicatoren geven aan dat de schijf klaar is om commando's te ontvangen.<\/i><\/p>\n

We reserveren alle kopie\u00ebn van de firmware-modules. We controleren de integriteit van de firmware-modules. Bij het lezen van de modules zijn er geen problemen, maar de analyse van de rapporten toont enkele vreemde zaken aan.<\/p>\n

\"Door
\nFiguur 3. Tabel van zones.<\/i><\/p>\n

Laten we aandacht besteden aan de tabel van de ruimtelijke indeling, en opmerken dat het aantal cilinders gelijk is aan 13845.<\/p>\n

\"Door
\nFiguur 4 P-lijst (primaire lijst \u2013 lijst van defecten ge\u00efntroduceerd tijdens de productiecyclus).<\/i><\/p>\n

Wij wijzen op het te geringe aantal defecten en hun lokalisatie. Wij bekijken de logmodule voor het verbergen van fabrieksfouten (60h) en constateren dat deze leeg is en geen enkele registratie bevat. Op basis hiervan kunnen we veronderstellen dat er in een van de vorige servicecentra mogelijk bepaalde handelingen zijn verricht met de servicezone van de schijf, en per ongeluk of opzettelijk een vreemde module is geregistreerd, of de lijst met defecten in het origineel is gewist. Om deze veronderstelling te verifi\u00ebren, cre\u00ebren we een taak in de Data Extractor met ingeschakelde opties 'cre\u00ebren van sector-voor-sector kopie' en 'cre\u00ebren van virtuele vertaler'. <\/p>\n

\"Door
\nFiguur 5 Taakparameters.<\/i><\/p>\n

Nadat we de taak hebben aangemaakt, bekijken we de registraties in de partitietabel in sector 0 (LBA 0).<\/p>\n

\"Door
\nFiguur 6 Hoofd opstartrecord en partitietabel.<\/i><\/p>\n

Op offset 0x1BE bevindt zich de enige registratie (16 bytes). Het type bestandssysteem op de partitie is NTFS, offset naar het begin is 0x3F (63) sectoren, de grootte van de partitie is 0x011309A3 (18 024 867) sectoren.
\nIn de sectoreditor openen we LBA 63.<\/p>\n

\"Door
\nFiguur 7 Opstartsector NTFS.<\/i><\/p>\n

Op basis van de informatie in de opstartsector van de NTFS-partitie kan het volgende worden gezegd: de grootte van de sector is in de schijf 512 bytes (op offset 0x0B is het woord 0x0200 (512) geregistreerd), het aantal sectoren per cluster is 8 (op offset 0x0D is byte 0x08 geregistreerd), de grootte van het cluster is 512\u00d78=4096 bytes, de eerste registratie van de MFT bevindt zich op een offset van 6 291 519 sectoren vanaf het begin van de schijf (op offset 0x30 is het viervoudige woord 0x00 00 00 00 00 0C 00 00 (786 432) het nummer van het eerste cluster van de MFT. Het sector nummer wordt berekend met de formule: Cluster nummer * aantal sectoren per cluster + offset naar het begin van de partitie 786 432* 8+63= 6 291 519).
\nLaten we naar sector 6 291 519 gaan.<\/p>\n

\"Door
\nFiguur 8.<\/i><\/p>\n

Maar de data in deze sector lijkt helemaal niet op een MFT registratie. Dit wijst weliswaar op een mogelijke verkeerde vertaling door een onjuist defectenlijst, maar bewijst dit feit niet. Voor verdere verificatie zullen we de schijf lezen in 10 000 sectoren in beide richtingen ten opzichte van sector 6 291 519. En daarna zullen we een zoekopdracht uitvoeren met reguliere expressies in de gelezen gegevens.<\/p>\n

\"Door
\nFiguur 9 Eerste registratie MFT.<\/i><\/p>\n

In sector 6 291 551 we find the first MFT entry. Its position differs from the calculated one by 32 sectors, followed by a continuous group of 16 entries (from 0 to 15). We will record the offset of sector 6 291 519, shifting it forward by 32 sectors in the offset table.<\/p>\n

\"Door
\nFig. 10<\/i><\/p>\n

The position of entry No. 16 should be at offset 12 551 431, but we find zeros there instead of the MFT entry. We will conduct a similar search in the vicinity.<\/p>\n

\"Door
\nFig. 11 MFT Entry 0x00000011 (17)<\/i><\/p>\n

A large MFT fragment is detected, starting with entry number 17, spanning 53 646 entries) with an offset of 17 sectors. For position 12 155 431, we will set an offset of +17 sectors in the offset table.
\nHaving determined the positions of the MFT fragments in space, we conclude that this does not resemble a random failure and that the recording of MFT fragments at incorrect offsets is confirmed. The version with the incorrect translator can be considered confirmed.
\nFor further localization of the offset points, we will set the maximum possible offset. To do this, we will determine how much the final marker of the NTFS partition has been shifted (a copy of the boot sector). In Figure 7 at offset 0x28, the quadruple word is the size of the partition 0x00 00 00 00 01 13 09 A2 (18 024 866) sectors. Adding the offset of the partition from the start of the disk to its length gives us the offset of the final NTFS marker 18 024 866 + 63 = 18 024 929. It was expected that the required copy of the boot sector was not found there. When searching in the vicinity, it was found with an increasing offset of +12 sectors relative to the last MFT fragment.<\/p>\n

\"Door
\nFig. 12 Copy of the NTFS boot sector<\/i><\/p>\n

We ignore another copy of the boot sector at offset 18 041 006, as it is not related to our partition. Based on previous activities, it has been established that there are inclusions of \"popped up\" sectors in the translation, which have pushed the data apart.
\nWe perform a complete read of the drive, resulting in 34 unreadable sectors. Unfortunately, we cannot guarantee that all of them are defects removed from the P-list, but in further analysis, it is advisable to take their position into account, as in some cases it may be possible to accurately determine offset points down to the sector rather than to the file.<\/p>\n

\"Door
\nFig. 13 Disk read statistics.<\/i><\/p>\n

Onze volgende taak is het bepalen van de geschatte verschuivingslocaties (tot op het bestand waarbij ze zijn ontstaan). Hiervoor zullen we alle MFT-records scannen en bestandslocatieketens (bestandsfragmenten) opbouwen.<\/p>\n

\"Door
\nFiguur 14 Bestandslocatieketens, of hun fragmenten.<\/i><\/p>\n

Vervolgens, bewegend van bestand naar bestand, zoeken we vanaf welk moment in plaats van de verwachte bestandsheader andere gegevens zullen verschijnen, terwijl de juiste header met een positieve verschuiving zal worden ontdekt. Terwijl we de verschuivingspunten verfijnen, vullen we de tabel in. Het resultaat zal zijn dat meer dan 99% van de bestanden onbeschadigd is.<\/p>\n

\"Door
\nFiguur 15 Lijst van gebruikersbestanden (toestemming van de klant verkregen voor publicatie van deze screenshot)<\/i><\/p>\n

Voor het vaststellen van puntverschuivingen in afzonderlijke bestanden kunnen aanvullende werkzaamheden worden uitgevoerd en bij kennis van de bestandstructuur kunnen er dataverstoringselementen worden gevonden die er niet bij horen. Maar voor deze taak was dit economisch niet haalbaar.<\/p>\n

P.S. Ik zou ook een oproep willen doen aan collega's die deze schijf eerder hebben gehad. Wees alstublieft voorzichtig bij het werken met de firmware van apparaten en reserveer servicegegevens voordat u iets wijzigt, en voorkom dat u opzettelijk het probleem verergert als u er met de klant niet uitkomt over het uitvoeren van werkzaamheden.<\/p>\n

Vorige publicatie: Besparen op lucifers of gegevensherstel van een krakende HDD Seagate ST3000NC002-1DY166<\/a><\/noindex>
\n
Bron: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041d\u0430 \u0434\u0432\u043e\u0440\u0435 \u0441\u0442\u043e\u044f\u043b 2019 \u0433\u043e\u0434. \u0412 \u043d\u0430\u0448\u0443 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044c QUANTUM FIREBALL Plus KA \u0435\u043c\u043a\u043e\u0441\u0442\u044c\u044e 9.1\u0413\u0431. \u0421\u043e \u0441\u043b\u043e\u0432 \u0432\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0430 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044f \u043e\u0442\u043a\u0430\u0437 \u0441\u043b\u0443\u0447\u0438\u043b\u0441\u044f \u0432 \u0434\u0430\u043b\u0435\u043a\u043e\u043c 2004 \u0433\u043e\u0434\u0443 \u043f\u043e \u0432\u0438\u043d\u0435 \u0432\u044b\u0448\u0435\u0434\u0448\u0435\u0433\u043e \u0438\u0437 \u0441\u0442\u0440\u043e\u044f \u0431\u043b\u043e\u043a\u0430 \u043f\u0438\u0442\u0430\u043d\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u0445\u0432\u0430\u0442\u0438\u043b \u0437\u0430 \u0441\u043e\u0431\u043e\u0439 \u0436\u0435\u0441\u0442\u043a\u0438\u0439 \u0434\u0438\u0441\u043a \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u041f\u041a. \u0414\u0430\u043b\u0435\u0435 \u0431\u044b\u043b\u0438 \u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u043f\u043e \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-52583","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Een lijdensweg of het lange verhaal van een poging tot gegevensherstel | ProHoster","description":"Het was 2019. Onze laboratorium ontving een vrij ongebruikelijke opslag, de QUANTUM FIREBALL Plus KA met een capaciteit van 9,1 GB.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0425\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u043f\u043e \u043c\u0443\u043a\u0430\u043c \u0438\u043b\u0438 \u0434\u043e\u043b\u0433\u0430\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u043e\u0434\u043d\u043e\u0439 \u043f\u043e\u043f\u044b\u0442\u043a\u0438 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 | ProHoster","og:description":"\u041d\u0430 \u0434\u0432\u043e\u0440\u0435 \u0441\u0442\u043e\u044f\u043b 2019 \u0433\u043e\u0434. \u0412 \u043d\u0430\u0448\u0443 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044c QUANTUM FIREBALL Plus KA \u0435\u043c\u043a\u043e\u0441\u0442\u044c\u044e 9.1\u0413\u0431.","og:url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-11-11T21:00:00+00:00","article:modified_time":"2020-02-18T11:00:21+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"52583","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 04:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:40:27","updated":"2026-01-24 04:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/52583","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=52583"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/52583\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=52583"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=52583"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=52583"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}