एक डेटा रिकवरी के प्रयास का लंबा या लंबा इतिहास

वर्ष २०१ ९ के यार्ड में था। 9.1 जीबी की क्षमता वाला क्वांटम फ़्रीबॉल प्लस केए ड्राइव हमारी प्रयोगशाला में आया, जो हमारे समय के लिए बिल्कुल सामान्य नहीं है। ड्राइव के मालिक के अनुसार, 2004 में असफल बिजली की आपूर्ति की गलती के कारण विफलता हुई, जिसने हार्ड ड्राइव और अन्य पीसी घटकों को पकड़ लिया। तब ड्राइव की मरम्मत और असफल रहे डेटा को पुनर्स्थापित करने के प्रयासों के साथ विभिन्न सेवाओं पर चलता था। कहीं न कहीं उन्होंने वादा किया था कि यह सस्ता है, लेकिन फिर भी उन्होंने समस्या का समाधान नहीं किया, कहीं यह बहुत महंगा था और ग्राहक डेटा को पुनर्स्थापित नहीं करना चाहता था, लेकिन अंत में डिस्क कई सेवा केंद्रों से गुजर गई। वह कई बार खो गया था, लेकिन इस तथ्य के कारण कि मालिक ने ड्राइव पर विभिन्न स्टिकर से जानकारी रिकॉर्ड करने के लिए अग्रिम ध्यान रखा, वह यह सुनिश्चित करने में कामयाब रहा कि उसकी हार्ड ड्राइव कुछ सेवा केंद्रों से वापस आ गई थी। सर्किट पर किसी का ध्यान नहीं गया, मूल नियंत्रक बोर्ड पर कई टांका लगाने वाले निशान थे, और एसएमडी तत्वों की कमी भी नेत्रहीन महसूस की गई थी (आगे मैं कहूंगा कि यह इस ड्राइव की समस्याओं में से कम से कम है)।


अंजीर। 1 HDD क्वांटम फायरबॉल प्लस KA 9.1GB

पहली बात जो मुझे करनी थी वह इस ड्राइव के एक प्राचीन जुड़वा भाई के डोनर आर्काइव में काम करने वाले कंट्रोलर बोर्ड के साथ खोज की थी। जब यह खोज पूरी हो गई, तो विस्तृत नैदानिक ​​उपायों को करना संभव हो गया। शॉर्ट सर्किट के लिए मोटर वाइंडिंग की जांच करने और इसकी अनुपस्थिति के बारे में सुनिश्चित करने के बाद, हम ड्राइव से बोर्ड - डोनर टू ड्राइव - मरीज को स्थापित करते हैं। हम शाफ्ट कताई की सामान्य ध्वनि को सक्रिय करते हैं और सुनते हैं, फर्मवेयर लोड करने के साथ अंशांकन परीक्षण पास करते हैं, और कुछ सेकंड के बाद ड्राइव इंटरफ़ेस से कमांड का जवाब देने के लिए अपनी तत्परता के बारे में रजिस्टर करता है।


अंजीर। 2 डीआरडी डीएससी संकेतक कमांड स्वीकार करने की तत्परता का संकेत देते हैं।

हम फर्मवेयर मॉड्यूल की सभी प्रतियां सुरक्षित रखते हैं। हम फर्मवेयर मॉड्यूल की अखंडता की जांच करते हैं। मॉड्यूल पढ़ने में कोई समस्या नहीं है, लेकिन रिपोर्टों के विश्लेषण से पता चलता है कि कुछ विषमताएं हैं।


अंजीर। 3. ज़ोन की मेज।

हम ज़ोन वितरण तालिका पर ध्यान देते हैं, हम ध्यान देते हैं कि सिलेंडरों की संख्या 13845 है।


अंजीर। 4 पी-सूची (प्राथमिक सूची - उत्पादन चक्र के दौरान पेश दोषों की एक सूची)।

हम बहुत कम दोषों और उनके स्थानीयकरण पर ध्यान देते हैं। हम कारखाने के दोष (60h) को छिपाने के लिए मॉड्यूल को देखते हैं और पाते हैं कि यह खाली है और इसमें कोई प्रविष्टि नहीं है। इसके आधार पर, हम यह मान सकते हैं कि पिछले सेवा केंद्रों में, ड्राइव के सेवा क्षेत्र के साथ कुछ हेरफेर किए गए होंगे, और एक विदेशी मॉड्यूल गलती से या जानबूझकर दर्ज किया गया था, या मूल में दोषों की सूची को हटा दिया गया था। इस धारणा को सत्यापित करने के लिए, हम डेटा एक्स्ट्रेक्टर में "ए सेक्टर बाय बाय सेक्टर कॉपी" और "वर्चुअल ट्रांसलेटर सक्षम" विकल्पों के साथ एक कार्य बनाते हैं।


अंजीर। 5 टास्क पैरामीटर।

कार्य बनाने के बाद, हम शून्य क्षेत्र में विभाजन तालिका में प्रविष्टियों को देखते हैं (LBA 0)


अंजीर। 6 मास्टर बूट रिकॉर्ड और विभाजन तालिका।

ऑफसेट 0x1BE पर, एक एकल रिकॉर्ड (16 बाइट्स) है। विभाजन पर फ़ाइल सिस्टम का प्रकार NTFS है, 0x3F (63) सेक्टर की शुरुआत के लिए ऑफसेट, विभाजन का आकार 0x011309A3 (18,024,867) सेक्टर है।
सेक्टर संपादक में, एलबीए 63 खोलें।


अंजीर। 7 NTFS बूट सेक्टर

एनटीएफएस बूट सेक्टर में जानकारी के अनुसार, निम्न कहा जा सकता है: वॉल्यूम में अपनाया गया सेक्टर आकार 512 बाइट्स है (0x0200 पर शब्द 0x0200 (512) को ऑफसेट 0x0B पर लिखा गया है), क्लस्टर में सेक्टरों की संख्या 8 है (ऑफसेट 0x0D पर बाइट 0x08 लिखा है), क्लस्टर आकार है 512x8 = 4096 बाइट्स, पहला एमएफटी रिकॉर्ड डिस्क की शुरुआत से 6,291,519 सेक्टरों की ऑफसेट पर स्थित है (0x30 की ऑफसेट पर, चौगुनी शब्द 0x00 00 00 00 00 0C 00 00 (786 432) पहले MFT क्लस्टर की संख्या है। 786 432 * 8 + 63 = 6,291,519 विभाजन शुरू होने से पहले क्लस्टर + शिफ्ट में सेक्टरों की संख्या)।
हम सेक्टर 6 291 519 से गुजरते हैं।


अंजीर। 8

लेकिन इस क्षेत्र में निहित डेटा एमएफटी रिकॉर्ड से पूरी तरह से अलग है। हालांकि यह एक गलत दोष सूची के कारण संभावित गलत प्रसारण को इंगित करता है, लेकिन यह इस तथ्य को साबित नहीं करता है। आगे सत्यापन के लिए, हम 6,291,519 क्षेत्रों के सापेक्ष दोनों दिशाओं में 10,000 क्षेत्रों में डिस्क पढ़ेंगे। और फिर हम पढ़ने में नियमित अभिव्यक्तियों की खोज करेंगे।


अंजीर। 9 पहला एमएफटी रिकॉर्ड

सेक्टर 6,291,551 में, हम पहला एमएफटी रिकॉर्ड पाते हैं। इसकी स्थिति 32 क्षेत्रों द्वारा गणना की गई एक से भिन्न होती है, और फिर 16 रिकॉर्ड (0 से 15 तक) का एक समूह लगातार अनुसरण करता है। हमें 32 सेक्टरों को आगे बढ़ाने के लिए शिफ्ट टेबल में सेक्टर 6 291 519 की स्थिति दर्ज करें।


अंजीर। 10

रिकॉर्ड नंबर 16 की स्थिति 12 551 431 की ऑफसेट पर होनी चाहिए, लेकिन वहां हम एमएफटी रिकॉर्ड करने के बजाय शून्य पाते हैं। हम आसपास के क्षेत्र में इसी तरह की खोज करेंगे।


अंजीर। 11 एमएफटी रिकॉर्ड 0x00000011 (17)

एक बड़े एमएफटी टुकड़े का पता लगाया गया है, जो 17 सेक्टरों की शिफ्ट के साथ रिकॉर्ड संख्या 17 (53,646 रिकॉर्ड की लंबाई के साथ) से शुरू होता है। स्थिति १२ १५५ ४३१ के लिए हम शिफ्ट टेबल में +१ the सेक्टरों की शिफ्ट लगाएंगे।
अंतरिक्ष में एमएफटी अंशों की स्थिति निर्धारित करने के बाद, हम यह निष्कर्ष निकाल सकते हैं कि यह गलत ऑफसेट द्वारा गलत ऑफसेट द्वारा एमएफटी टुकड़ों की रिकॉर्डिंग और रिकॉर्डिंग की तरह नहीं दिखता है। एक गलत अनुवादक के साथ एक संस्करण की पुष्टि की जा सकती है।
कतरनी बिंदुओं के आगे स्थानीयकरण के लिए, हम अधिकतम संभव विस्थापन निर्धारित करते हैं। ऐसा करने के लिए, हम यह निर्धारित करते हैं कि अंतिम NTFS विभाजन मार्कर (बूट क्षेत्र की प्रतिलिपि) को कितना स्थानांतरित किया गया है। चित्रा 7 में, ऑफसेट 0x28 पर, चौथा शब्द विभाजन आकार 0x00 00 00 00 00 01 13 13 A2 (18,024,866) क्षेत्रों का मूल्य है। हमें डिस्क की शुरुआत से इसकी लंबाई तक के विभाजन को स्वयं जोड़ते हैं, हम अंतिम NTFS मार्कर 18,024,866 + 63 = 18,024,929 की ऑफसेट प्राप्त करेंगे। जैसा कि अपेक्षित था, बूट क्षेत्र की कोई आवश्यक प्रतिलिपि नहीं थी। आसपास के क्षेत्र में खोज करने पर, यह MFT के अंतिम टुकड़े के सापेक्ष +12 क्षेत्रों की बढ़ती पारी के साथ पता चला था।


अंजीर। 12 कॉपी NTFS बूट सेक्टर

हम 18 041 006 पर ऑफसेट क्षेत्र में बूट क्षेत्र की एक और प्रतिलिपि को अनदेखा करते हैं, क्योंकि यह हमारे अनुभाग से संबंधित नहीं है। पिछली घटनाओं के आधार पर, यह पाया गया कि इस खंड के भीतर प्रसारण में "पॉप अप" किए गए 61 क्षेत्रों से अंतर्विरोध हैं, जो डेटा को विभाजित करते हैं।
हम एक पूर्ण ड्राइव रीडिंग करते हैं, जिसके परिणामस्वरूप 34 अपठित क्षेत्र हैं। दुर्भाग्य से, यह विश्वसनीय रूप से गारंटी देने के लिए असंभव है कि उनमें से सभी पी-सूची से हटाए गए दोष हैं, लेकिन आगे के विश्लेषण के दौरान उनकी स्थिति को ध्यान में रखना उचित है, क्योंकि कुछ मामलों में यह मज़बूती से सेक्टर के लिए शिफ्ट बिंदुओं को सटीक रूप से निर्धारित करना संभव होगा, और फ़ाइल में नहीं।


अंजीर। 13 डिस्क ने आंकड़े पढ़े।

हमारा अगला कार्य शिफ्टों के अनुमानित स्थानों (उस फ़ाइल में सटीक रूप से स्थापित करना होगा जिसमें वे उत्पन्न हुए थे)। ऐसा करने के लिए, हम सभी एमएफटी रिकॉर्ड को स्कैन करेंगे और फ़ाइल स्थान श्रृंखला (फ़ाइल टुकड़े) का निर्माण करेंगे।


अंजीर। 14 फ़ाइलों के स्थान, या उनके टुकड़े।

इसके अलावा, फाइल से फाइल की ओर बढ़ते हुए, हम इस बात की तलाश कर रहे हैं कि अपेक्षित फ़ाइल हेडर के बजाय अन्य डेटा किस बिंदु पर होगा, और एक निश्चित सकारात्मक बदलाव के साथ वांछित हेडर का पता लगाया जाएगा। और जैसे ही शिफ्ट पॉइंट्स को परिष्कृत किया जाता है, हम टेबल को भरते हैं। इसके भरने का परिणाम नुकसान के बिना 99% से अधिक फ़ाइलों का होगा।


अंजीर। 15 उपयोगकर्ता फ़ाइलों की सूची (इस स्क्रीनशॉट को प्रकाशित करने के लिए ग्राहक से प्राप्त सहमति)

व्यक्तिगत फ़ाइलों में बिंदु पारियों को स्थापित करने के लिए, आप अतिरिक्त कार्य कर सकते हैं और, यदि आप फ़ाइल संरचना को जानते हैं, तो डेटा के प्रतिच्छेदन ढूंढें जो इससे संबंधित नहीं हैं। लेकिन इस कार्य में यह आर्थिक रूप से संभव नहीं था।

PS मैं उन सहयोगियों से भी अपील करना चाहूंगा जिनके हाथ में यह डिस्क पहले रही है। कृपया कुछ भी बदलने से पहले डिवाइस फ़र्मवेयर और रिज़र्व सर्विस डेटा के साथ काम करते समय सावधानी बरतें और समस्या के निष्पादन पर ग्राहक की सहमति से असमर्थ होने पर भी समस्या को जानबूझकर न बढ़ने दें।

अगली पोस्ट: हार्ड ड्राइव और डेटा रिकवरी का स्व-निदान
पिछला पोस्ट: सीगेट ST3000NC002-1DY166 झंझरी HDD से डेटा को सहेजने या पुनर्प्राप्त करने पर