{"id":52583,"date":"2019-11-12T00:00:00","date_gmt":"2019-11-11T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh"},"modified":"2020-02-18T14:00:21","modified_gmt":"2020-02-18T11:00:21","slug":"hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","title":{"rendered":"Caminhando por dificuldades ou a longa hist\u00f3ria de uma tentativa de recupera\u00e7\u00e3o de dados","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Estava no ano de 2019. Em nosso laborat\u00f3rio, recebemos um dispositivo de armazenamento QUANTUM FIREBALL Plus KA, com capacidade de 9.1 GB, que n\u00e3o era exatamente comum para a \u00e9poca. Segundo o propriet\u00e1rio, a falha ocorreu em 2004, devido a uma fonte de alimenta\u00e7\u00e3o que havia deixado de funcionar e afetou o disco r\u00edgido e outros componentes do PC. Em seguida, ele percorreu v\u00e1rios servi\u00e7os na tentativa de reparar o dispositivo e recuperar os dados, sem sucesso. Em alguns lugares prometeram solu\u00e7\u00f5es baratas, mas n\u00e3o resolveram o problema, em outros, o custo era muito alto e o cliente optou por n\u00e3o restaurar os dados. No final, o disco passou por muitos centros de servi\u00e7o. Perdeu-se v\u00e1rias vezes, mas, gra\u00e7as ao fato de que o propriet\u00e1rio havia feito anota\u00e7\u00f5es das informa\u00e7\u00f5es das etiquetas do dispositivo, ele conseguiu garantir que seu disco r\u00edgido fosse devolvido de alguns centros de servi\u00e7o. Essas idas ao servi\u00e7o n\u00e3o foram em v\u00e3o; na placa original do controlador, havia m\u00faltiplos sinais de soldagem, al\u00e9m de tamb\u00e9m se perceber visualmente a falta de elementos SMD (adiantando, posso dizer que esse \u00e9 o menor dos problemas deste dispositivo).<\/p>\n

\"Caminhando
\nFig. 1 HDD Quantum Fireball Plus KA 9,1GB<\/i>
\n<\/a><\/noindex>
\nA primeira tarefa foi a busca em um arquivo de doadores por um irm\u00e3o g\u00eameo t\u00e3o antigo deste dispositivo com uma placa de controlador funcional. Quando essa busca foi conclu\u00edda, foi poss\u00edvel realizar diagn\u00f3sticos mais aprofundados. Ap\u00f3s verificar as bobinas do motor quanto a curtos-circuitos e garantir a aus\u00eancia deles, instalamos a placa do dispositivo doador no dispositivo paciente. Ligamos a energia e ouvimos o som normal de rota\u00e7\u00e3o do eixo, passando no teste de calibra\u00e7\u00e3o com o carregamento do firmware, e ap\u00f3s alguns segundos, o dispositivo reporta por meio de registros que est\u00e1 pronto para responder a comandos da interface. <\/p>\n

\"Caminhando
\nFig. 2 Os indicadores DRD DSC sinalizam a prontid\u00e3o para receber comandos.<\/i><\/p>\n

Reservamos todas as c\u00f3pias dos m\u00f3dulos do firmware. Realizamos uma verifica\u00e7\u00e3o de integridade dos m\u00f3dulos do firmware. N\u00e3o h\u00e1 problemas com a leitura dos m\u00f3dulos, mas a an\u00e1lise dos relat\u00f3rios mostra que existem algumas anomalias.<\/p>\n

\"Caminhando
\nFig. 3. Tabela de zonas.<\/i><\/p>\n

Prestamos aten\u00e7\u00e3o na tabela de distribui\u00e7\u00e3o de zonas e notamos que o n\u00famero de cilindros \u00e9 igual a 13845.<\/p>\n

\"Caminhando
\nFig. 4 P-list (lista prim\u00e1ria \u2013 lista de defeitos registrados durante o ciclo de produ\u00e7\u00e3o).<\/i><\/p>\n

Observamos a quantidade excessivamente baixa de defeitos e sua localiza\u00e7\u00e3o. Analisamos o m\u00f3dulo de registro oculto de defeitos de f\u00e1brica (60h) e descobrimos que est\u00e1 vazio e n\u00e3o cont\u00e9m nenhuma entrada. Com base nisso, podemos supor que em algum dos centros de servi\u00e7o anteriores, pode ter ocorrido alguma manipula\u00e7\u00e3o na \u00e1rea de servi\u00e7o do dispositivo, e acidentalmente ou intencionalmente foi gravado um m\u00f3dulo estrangeiro, ou a lista de defeitos original foi apagada. Para verificar essa suposi\u00e7\u00e3o, criamos uma tarefa no Data Extractor com as op\u00e7\u00f5es \"cria\u00e7\u00e3o de c\u00f3pia setorial\" e \"cria\u00e7\u00e3o de tradutor virtual\" ativadas. <\/p>\n

\"Caminhando
\nFig. 5 Par\u00e2metros da tarefa.<\/i><\/p>\n

Ap\u00f3s criar a tarefa, analisamos as entradas na tabela de parti\u00e7\u00f5es no setor zero (LBA 0).<\/p>\n

\"Caminhando
\nFig. 6 Registro de inicializa\u00e7\u00e3o principal e tabela de parti\u00e7\u00f5es.<\/i><\/p>\n

No deslocamento 0x1BE, h\u00e1 uma \u00fanica entrada (16 bytes). O tipo de sistema de arquivos na parti\u00e7\u00e3o \u00e9 NTFS, deslocamento at\u00e9 o in\u00edcio 0x3F (63) setores, tamanho da parti\u00e7\u00e3o 0x011309A3 (18.024.867) setores.
\nNo editor de setores, abrimos LBA 63.<\/p>\n

\"Caminhando
\nFig. 7 Setor de inicializa\u00e7\u00e3o NTFS.<\/i><\/p>\n

Com base nas informa\u00e7\u00f5es do setor de inicializa\u00e7\u00e3o NTFS da parti\u00e7\u00e3o, podemos afirmar o seguinte: o tamanho do setor, considerado no volume, \u00e9 de 512 bytes (no deslocamento 0x0B est\u00e1 registrada a palavra 0x0200 (512)), o n\u00famero de setores por cluster \u00e9 8 (no deslocamento 0x0D est\u00e1 registrado o byte 0x08), o tamanho do cluster \u00e9 512x8=4096 bytes, a primeira entrada MFT est\u00e1 localizada no deslocamento de 6.291.519 setores a partir do in\u00edcio do disco (no deslocamento 0x30 est\u00e1 registrada a palavra quadrupla 0x00 00 00 00 00 0C 00 00 (786.432) n\u00famero do primeiro cluster MFT. O n\u00famero do setor \u00e9 calculado pela f\u00f3rmula: N\u00famero do cluster * n\u00famero de setores por cluster + deslocamento at\u00e9 o in\u00edcio da parti\u00e7\u00e3o 786.432 * 8 + 63 = 6.291.519).
\nPassamos para o setor 6.291.519.<\/p>\n

\"Caminhando
\nFig. 8<\/i><\/p>\n

Mas os dados contidos neste setor n\u00e3o se parecem de forma alguma com uma entrada MFT. Isso, embora indique uma poss\u00edvel tradu\u00e7\u00e3o incorreta devido a uma lista de defeitos incorreta, n\u00e3o prova esse fato. Para uma verifica\u00e7\u00e3o adicional, realizaremos a leitura do disco em 10.000 setores em ambas as dire\u00e7\u00f5es em rela\u00e7\u00e3o ao setor 6.291.519. Em seguida, realizaremos uma busca de express\u00f5es regulares nos dados lidos.<\/p>\n

\"Caminhando
\nFig. 9 Primeira entrada MFT<\/i><\/p>\n

No setor 6 291 551, encontramos a primeira entrada MFT. Sua posi\u00e7\u00e3o difere da calculada em 32 setores, e, em seguida, segue continuamente um grupo de 16 entradas (de 0 a 15). Vamos registrar na tabela de deslocamentos a posi\u00e7\u00e3o do setor 6 291 519, deslocando-a para frente em 32 setores.<\/p>\n

\"Caminhando
\nFig. 10<\/i><\/p>\n

A posi\u00e7\u00e3o da entrada n\u00ba 16 deve ter um deslocamento de 12 551 431, mas l\u00e1 encontramos zeros, em vez da entrada MFT. Vamos realizar uma busca semelhante nas proximidades.<\/p>\n

\"Caminhando
\nFig. 11 Entrada MFT 0x00000011 (17)<\/i><\/p>\n

Detecta-se um grande fragmento MFT, come\u00e7ando com a entrada de n\u00famero 17 e abrangendo 53 646 entradas, com um deslocamento de 17 setores. Para a posi\u00e7\u00e3o 12 155 431, vamos colocar um deslocamento de +17 setores na tabela de deslocamentos.
\nAo determinar a posi\u00e7\u00e3o dos fragmentos MFT no espa\u00e7o, podemos concluir que isso n\u00e3o se parece com uma falha aleat\u00f3ria e que a entrada dos fragmentos MFT possui deslocamentos incorretos. A vers\u00e3o com um tradutor incorreto pode ser considerada confirmada.
\nPara a localiza\u00e7\u00e3o adicional dos pontos de deslocamento, vamos estabelecer o deslocamento m\u00e1ximo poss\u00edvel. Para isso, determinaremos o quanto o marcador final da parti\u00e7\u00e3o NTFS (c\u00f3pia do setor de inicializa\u00e7\u00e3o) est\u00e1 deslocado. Na figura 7, o deslocamento 0x28 indica que o valor do tamanho da parti\u00e7\u00e3o \u00e9 0x00 00 00 00 01 13 09 A2 (18 024 866) setores. Vamos adicionar o deslocamento da pr\u00f3pria parti\u00e7\u00e3o desde o in\u00edcio do disco ao seu comprimento, resultando no deslocamento do marcador final NTFS de 18 024 866 + 63 = 18 024 929. Esperadamente, n\u00e3o havia a c\u00f3pia necess\u00e1ria do setor de inicializa\u00e7\u00e3o l\u00e1. Durante a busca nas proximidades, ela foi encontrada com um deslocamento crescente de +12 setores em rela\u00e7\u00e3o ao \u00faltimo fragmento MFT.<\/p>\n

\"Caminhando
\nFig. 12 C\u00f3pia do setor de inicializa\u00e7\u00e3o NTFS<\/i><\/p>\n

Ignoramos outra c\u00f3pia do setor de inicializa\u00e7\u00e3o com deslocamento 18 041 006, pois ela n\u00e3o tem rela\u00e7\u00e3o com nossa parti\u00e7\u00e3o. Com base nas atividades anteriores, foi determinado que dentro da parti\u00e7\u00e3o h\u00e1 fragmentos de 61 setores que \"surgiram\" na tradu\u00e7\u00e3o, os quais espalharam os dados.
\nRealizamos a leitura completa do dispositivo, resultando em 34 setores n\u00e3o lidos. Infelizmente, n\u00e3o \u00e9 poss\u00edvel garantir com certeza que todos s\u00e3o defeitos removidos da P-list, mas durante a an\u00e1lise adicional, \u00e9 desej\u00e1vel considerar sua posi\u00e7\u00e3o, pois em alguns casos ser\u00e1 poss\u00edvel determinar com precis\u00e3o os pontos de deslocamento at\u00e9 o setor, e n\u00e3o apenas at\u00e9 o arquivo.<\/p>\n

\"Caminhando
\nFig. 13 Estat\u00edsticas de leitura do disco.<\/i><\/p>\n

Nossa pr\u00f3xima tarefa ser\u00e1 estabelecer os locais estimados de deslocamento (com precis\u00e3o at\u00e9 o arquivo em que ocorreram). Para isso, realizaremos uma varredura de todos os registros MFT e construiremos cadeias de localiza\u00e7\u00e3o de arquivos (fragmentos de arquivos).<\/p>\n

\"Caminhando
\nFig. 14 Cadeias de localiza\u00e7\u00e3o de arquivos, ou seus fragmentos.<\/i><\/p>\n

Em seguida, ao mover de arquivo para arquivo, procuramos a partir de que momento, em vez do cabe\u00e7alho esperado do arquivo, existem outros dados, e que o cabe\u00e7alho correto ser\u00e1 encontrado com algum deslocamento positivo. \u00c0 medida que refinamos os pontos de deslocamento, preenchemos a tabela. O resultado do preenchimento ser\u00e1 mais de 99% dos arquivos sem danos.<\/p>\n

\"Caminhando
\nFig. 15 Lista de arquivos do usu\u00e1rio (o cliente deu consentimento para a publica\u00e7\u00e3o desta captura de tela)<\/i><\/p>\n

Para estabelecer deslocamentos pontuais em arquivos individuais, podem ser realizados trabalhos adicionais e, conhecendo a estrutura do arquivo, encontrar dados que n\u00e3o pertencem a ele. No entanto, para esta tarefa, isso n\u00e3o era economicamente vi\u00e1vel.<\/p>\n

P.S. Gostaria tamb\u00e9m de fazer um apelo aos colegas que manusearam este disco anteriormente. Por favor, sejam cautelosos ao trabalhar com o firmware dos dispositivos e fa\u00e7am backup dos dados de servi\u00e7o antes de realizar qualquer altera\u00e7\u00e3o, al\u00e9m de n\u00e3o agravarem intencionalmente o problema se n\u00e3o conseguirem entrar em acordo com o cliente sobre a execu\u00e7\u00e3o dos trabalhos.<\/p>\n

Publica\u00e7\u00e3o anterior: Economia nas pequenas coisas ou recupera\u00e7\u00e3o de dados do HDD barulhento Seagate ST3000NC002-1DY166<\/a><\/noindex>
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041d\u0430 \u0434\u0432\u043e\u0440\u0435 \u0441\u0442\u043e\u044f\u043b 2019 \u0433\u043e\u0434. \u0412 \u043d\u0430\u0448\u0443 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044c QUANTUM FIREBALL Plus KA \u0435\u043c\u043a\u043e\u0441\u0442\u044c\u044e 9.1\u0413\u0431. \u0421\u043e \u0441\u043b\u043e\u0432 \u0432\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0430 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044f \u043e\u0442\u043a\u0430\u0437 \u0441\u043b\u0443\u0447\u0438\u043b\u0441\u044f \u0432 \u0434\u0430\u043b\u0435\u043a\u043e\u043c 2004 \u0433\u043e\u0434\u0443 \u043f\u043e \u0432\u0438\u043d\u0435 \u0432\u044b\u0448\u0435\u0434\u0448\u0435\u0433\u043e \u0438\u0437 \u0441\u0442\u0440\u043e\u044f \u0431\u043b\u043e\u043a\u0430 \u043f\u0438\u0442\u0430\u043d\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438\u0445\u0432\u0430\u0442\u0438\u043b \u0437\u0430 \u0441\u043e\u0431\u043e\u0439 \u0436\u0435\u0441\u0442\u043a\u0438\u0439 \u0434\u0438\u0441\u043a \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u044b \u041f\u041a. \u0414\u0430\u043b\u0435\u0435 \u0431\u044b\u043b\u0438 \u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u043f\u043e \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-52583","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Caminhando pelas dificuldades ou uma longa hist\u00f3ria de uma tentativa de recupera\u00e7\u00e3o de dados | ProHoster","description":"Era o ano de 2019. Nosso laborat\u00f3rio recebeu um dispositivo de armazenamento QUANTUM FIREBALL Plus KA, n\u00e3o muito comum para a nossa \u00e9poca, com capacidade de 9,1 GB.","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0425\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u043f\u043e \u043c\u0443\u043a\u0430\u043c \u0438\u043b\u0438 \u0434\u043e\u043b\u0433\u0430\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u043e\u0434\u043d\u043e\u0439 \u043f\u043e\u043f\u044b\u0442\u043a\u0438 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 | ProHoster","og:description":"\u041d\u0430 \u0434\u0432\u043e\u0440\u0435 \u0441\u0442\u043e\u044f\u043b 2019 \u0433\u043e\u0434. \u0412 \u043d\u0430\u0448\u0443 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u0441\u0442\u0443\u043f\u0438\u043b \u043d\u0435 \u0441\u043e\u0432\u0441\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043b\u044f \u043d\u0430\u0448\u0435\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u0442\u0435\u043b\u044c QUANTUM FIREBALL Plus KA \u0435\u043c\u043a\u043e\u0441\u0442\u044c\u044e 9.1\u0413\u0431.","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/hozhdenie-po-mukam-ili-dolgaya-istoriya-odnoj-popytki-vosstanovleniya-dannyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-11-11T21:00:00+00:00","article:modified_time":"2020-02-18T11:00:21+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"52583","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 04:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:40:27","updated":"2026-01-24 04:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/52583","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=52583"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/52583\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=52583"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=52583"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=52583"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}