Oi Habr. Nos feriados de Ano Novo, tornou-se possível escrever sobre um caso interessante (embora tenhamos
muitos casos semelhantes no
DATALABS ). E é interessante que, a partir de uma unidade flash USB completamente anulada, restauramos os dados com sucesso. Se você quer saber como? Bem-vindo ao gato…
Uma proposta para formatar uma unidade do Windows é emitida nos casos em que não é possível determinar a estrutura do arquivo no dispositivo e oferece a criação de uma nova formatação.
No nosso caso, os dados são necessários e não podem ser formatados. Examinamos com o editor de disco o que aconteceu com a estrutura do arquivo.
Winhex:
Pateta ... É isso aí! Todos os 32 gigabytes são inundados com zeros ... Não há dados! Chef, tudo se foi.
Pergunte imediatamente ao cliente se ele deu a alguém? e aquele companheiro maligno não executou utilitários de reparo? Resposta: Não, certo para você.
Se ninguém "piscou" a unidade flash e não a gravou com um padrão, não foi possível redefinir para zero em um instante, leva tempo e ação.
Ok, os russos não desistem. Soldamos o microcircuito e vemos o conteúdo da memória diretamente, ignorando o controlador. Nesse caso, existem dois cristais em um caso.Juntamente com as informações de serviço, dois dumps de 18 GB são obtidos.
Não há zeros no despejo, mas isso ainda não significa nada, pois nas unidades flash modernas o controlador não grava dados explicitamente, mas através da operação XOR.
Se todos os blocos forem iguais, então sim, a unidade será preenchida com o mesmo. Mas tivemos sorte de serem diferentes, e esses são dados!
Você precisa pegar o XOR e coletar os blocos na sequência correta, de acordo com o algoritmo do controlador.
Vamos enganar o complexo de Rostov
E vaul, 26 gigabytes de dados, 9000 arquivos, dos quais 900 foram derrotados. Infelizmente, não temos o direito de fazer upload de uma imagem dos dados, pois em nosso escritório a privacidade é acima de tudo.
Para concluir esta mini história com um final feliz (o cliente ficou chateado por haver apenas zeros), você precisa escrever por que nem todos os arquivos foram restaurados corretamente.
A qualidade dos chips de memória modernos é muito triste e, apesar das declarações altas dos fabricantes de que fizemos um grande número de ciclos de gravação ... as estatísticas mostram o contrário. A depreciação é muito rápida, comparada às unidades flash medidas em megabytes. Bem, não vamos falar sobre isso aqui e agora.
Nesse caso, a unidade flash estava morrendo e “sinalizando” indiretamente, a saber: a verificação do disco foi iniciada, o resultado da unidade de verificação é a pasta FOUND, está presente nos dados recuperados. Esses foram os primeiros sinos que ela estava "transmitindo".
O controlador viu que o número de células com memória ruim já era enorme e fez uma "simulação de ouvidos", como retornar zeros à interface.
Tivemos que ler os setores defeituosos, por várias leituras, alguns deles puderam ser lidos ou restaurados pelo ECC. Como resultado, o cliente está satisfeito. E tudo começou, do zero ...