Antes de iniciar el diagnóstico, el primer paso es evaluar el estado del variador. Dado que se trata de Seagate, necesitamos ver el registro del terminal desde el momento de la alimentación, SMART, y evaluar la capacidad de leer cabezas en zonas de diferentes densidades. Como regla general, una prueba tan corta revelará muchas fallas.
Nos conectamos, suministramos energía. En la terminal, el variador informa brevemente que el procedimiento de inicio fue exitoso y, mediante los registros DRD y DSC , demuestra que está listo para aceptar comandos.
Figura: 2 Registro de inicio de terminal de Seagate ST4000DM000 HDD
A continuación, debe verificar las lecturas SMART ( qué es SMART y qué buscar en él ya lo he descrito en mi nota).
Figura: 3 lecturas INTELIGENTES
Lo primero que nos fijamos es el tiempo de funcionamiento (atributo 0x09), ya que si resulta que se acerca a cero, entonces no tiene sentido prestar atención a las lecturas INTELIGENTES , ya que habrá una alta probabilidad de que las estadísticas sean de alguien reinicia por comandos tecnológicos, y las lecturas actuales no muestran todos los eventos registrados durante el funcionamiento del variador. En nuestro caso, el tiempo de funcionamiento es de 3 696 horas, lo que indica que lo más probable es que no haya interferencia en las lecturas SMART .
A continuación, preste atención a las lecturas de los atributos 0x05, 0xC5 (197), 0xC6 (196) en la columna RAW. Los valores cero indican que durante el funcionamiento del variador, no se registraron problemas serios con la lectura de la superficie y no se realizó ninguna reasignación.
La lectura del atributo 0xC7 (199) sugiere posibles problemas con la transferencia de datos en modos de alta velocidad. Teniendo en cuenta que el número de errores es pequeño, por ahora no sacaremos conclusiones prematuras.
Dado que esta no es una grabadora en mosaico (SMR), la capacidad de leer todas las cabezas en zonas de diferente densidad es fácil de evaluar. Para ello, basta con conocer el número de cabezas, el tamaño aproximado de las minibandas y su orden de alternancia en la construcción del espacio lógico del variador. Usaremos Data Extractor para la demostración. Construyamos un mapa de los miniespacios.
Figura: 4 Mapa de miniespacios en el espacio lógico Seagate ST4000DM000
La lista muestra el orden de uso de los miniespacios para construir un espacio lógico:
0, 1, 2, 3, 4, 5, 6, 7, 7, 6, 5, 4, 3, 2, 1, 0 y luego repetición cíclica. Basado en el tamaño de una mini-zona para una unidad dada, es obvio que es suficiente leer varias secciones de espacio lógico (generalmente el principio, el medio y el final del rango lógico) de aproximadamente 500,000 sectores de largo para asegurarse de que la unidad no se congele y la velocidad de escaneo no caiga bruscamente. una de las superficies.
Se utilizó la lectura de la superficie, y no la verificación, para comprobar al mismo tiempo si se producirían errores durante la transferencia de datos. En este caso, no se encontraron errores de lectura. Este conjunto de acciones le permite considerar la unidad como condicionalmente saludable y comenzar a analizar las estructuras de los sistemas de archivos.
Inicialmente, evaluaremos si existen particiones actualmente en el disco y qué sistemas de archivos se utilizan allí.
Me gustaría llamar su atención sobre el hecho de que en discos donde el número de sectores es más de 4.294.967.296 sectores, debe usar GPTpara usar la capacidad completa, ya que la tabla de particiones clásica usa valores de 32 bits que no son lo suficientemente amplios. En nuestro caso, ST4000DM000 es una unidad de 4TB, en la que el rango lógico consta de 7,814,037,168 sectores de 512 bytes.
Comencemos mirando el contenido en LBA 0.
Figura: 5 Tabla de particiones que describe la presencia de GPT .
Aquí encontramos una tabla de partición clásica, con una descripción de un volumen. En el desplazamiento 0x1C2, el tipo de partición 0xEE se indica con un desplazamiento del sector 0x00000001 desde el principio del disco y un tamaño de 0x3A3817D5.
El propósito de esta entrada es indicar que todo el contenido del disco disponible para la tabla de particiones clásica está ocupado, de modo que varias utilidades de disco antiguas que no tienen idea de GPT no pueden crear la partición. Pero en el caso de discos donde el número de sectores es mayor que 4,294,967,296, el área protegida debe ser 0xFFFFFFF, no 0x3A3817D5.
Tenga en cuenta que el valor 0x3A3817D5 (976 754 645) es aproximadamente 8 veces menor que 7814 037 168, el número total de sectores en el disco. Esto nos permite suponer que el disco probablemente se usó como un dispositivo con un tamaño de sector de 4096 bytes y no 512 bytes. Verifiquemos la suposición e intentemos buscar la expresión regular 0x45 0x46 0x49 0x20 0x50 0x41 0x52 0x54 (EFI PART). Si está en el sector 1, entonces el supuesto es incorrecto, si está en el sector 8, entonces se confirmará el supuesto.
Figura: 6 Encabezado GPT
También verifiquemos si hay algún volumen descrito en este GPT , para lo cual vamos al sector 16
Figura: 7 Secciones descritas en GPT
Aquí se encuentran dos entradas.
La primera entrada es un volumen de sector 76,800 (614,400) que utiliza el sistema de archivos FAT32. Este volumen está reservado para las necesidades de EFI.
El segundo registro es un volumen de 976 644 858 (7 813 158 864) sectores que utilizan el sistema de archivos HFS +.
Dado que se confirma la versión con el hecho de que el disco se utilizó como dispositivo con un tamaño de sector de 4096 bytes, el siguiente paso será continuar con el análisis utilizando Data Extractor.
Después de crear la tarea, cambie el parámetro de tamaño del sector de 512 a 4096 y obtenga la siguiente imagen.
Figura: 8 Parámetros HFS +
Vemos dos volúmenes en el disco con los sistemas de archivos correctos. El primer volumen, basado en el rol y tamaño, no nos interesa. Pero el segundo volumen ya es de interés.
De las marcas de tiempo, podemos concluir que este volumen fue creado el 19 de octubre de 2020, que es una fecha relativamente cercana a la hora en que nos llegó el disco.
El escaneo del CatalogFile + Journal (estructuras HFS +) muestra que el disco está vacío en un 99,9% y no hay signos de datos de usuario descritos por este sistema de archivos.
Ahora es necesario comprobar el supuesto de que, quizás, en este disco había otros volúmenes y sistemas de archivos, y no solo los que se presentan ahora. Para hacer esto, usaremos la herramienta de búsqueda para varias expresiones regulares que son específicas de varias estructuras de sistemas de archivos y archivos.
Figura: 9 Resultado de la búsqueda de expresiones regulares.
El análisis de un área de unos 2 GB, que dura menos de 2 minutos, nos muestra que además de los existentes FAT32 y HFS +, hay indicios de la existencia de un volumen con el sistema de archivos ExFAT. Lo primero que nos interesa es ver el directorio raíz ExFAT del volumen.
Figura: 10 Directorio raíz de ExFAT La
etiqueta de volumen "Transcend" es sorprendente. Lo curioso es que las unidades externas de este fabricante están muy extendidas en el factor de forma de 2,5 pulgadas, no en 3,5. Y es muy poco probable que el propio usuario haya decidido poner una etiqueta de volumen similar.
Anotemos los nombres de los directorios que se describen en el directorio raíz y hagamos preguntas al cliente sobre si son la información requerida.
Entonces, transcurridos un poco más de 10 minutos, procedemos a continuar la conversación con el cliente, durante la cual resulta que no es el dueño de la información y no puede arrojar luz sobre qué datos contenía el disco, y que necesita hacer una llamada al gerente para aclarar la tarea. ...
En el transcurso del diálogo, se puede asumir que el cliente es el mensajero de una organización intermediaria en el mercado de servicios de recuperación de datos. Más negociaciones confirman esta versión, ya que después de que el cliente anuncia la información, sigue una pausa a su gerente. Aparentemente, el administrador tampoco es consciente de qué debería haber exactamente en el disco. Pero después de unos 15 minutos, el cliente recibe una llamada informándole que estos son exactamente los datos que deben extraerse, y que su volumen debería ser de unos 2 TB. También se nos informa que se nos ha proporcionado para el análisis una copia sector por sector de los medios originales realizados con WinHex.
Finalmente, la tarea queda clara y que vamos por buen camino. Puede volver a tomar la unidad del cliente y continuar con las actividades de diagnóstico. Por supuesto, si tuviéramos toda esta información desde el principio, el procedimiento de diagnóstico rápido sería mucho más corto.
Para reconstruir ExFAT, necesitamos saber cuál era el tamaño del clúster para este sistema de archivos y determinar la posición del clúster cero (punto de referencia). A continuación, busque los restos de la tabla de asignación de archivos y el mapa de bits del espacio ocupado (mapa de bits).
Es necesario decir una palabra poco halagadora sobre los desarrolladores de ExFAT. Por el bien del rendimiento del sistema de archivos, se decidió que la tabla solo contiene información sobre cadenas fragmentadas. Los datos en línea no aparecen en la tabla de ninguna manera. Cuando este sistema de archivos se crea en un disco que no está vacío, la tabla de ubicación de archivos no se borra y puede contener datos basura. Desafortunadamente, esta ideología no afecta de la mejor manera la complejidad de la recuperación de datos.
Al analizar los primeros 2GB, se encontraron partes de los directorios ExFAT. Habiendo estimado el tamaño de estas estructuras y llenando con ceros antes del comienzo de otros datos, es fácil establecer el tamaño del grupo. Después de navegar por varios directorios, vemos intervalos pronunciados de 256 (2048) sectores. Esto nos permite asumir que el tamaño del clúster era 1.048.576 (0x100000) bytes o 1 MB.
Para determinar el punto de partida, veamos las posiciones de los directorios cercanos. Volviendo a la Figura 10. En particular, estamos interesados en el directorio $ RECYCLE.BIN, ya que se encuentra casi al principio. Su número de cluster se indica en el offset 0x94 y es una palabra doble (DW), en la que se escribe el valor 0x00000005, es decir, el directorio se ubica en el cluster 5. Además, preste atención al directorio "Xxxxxxxxxx Xxxx.photoslibrary", que, según el valor indicado en el offset 0xF4 , ubicado en el grupo 7. Estos directorios son buenos porque existe una alta probabilidad de que se espere un conjunto predecible de directorios o archivos allí.
Más allá del directorio raíz con un paso de 0x100000 bytes o 256 (2048) sectores, desplácese hacia adelante en el espacio de direcciones.
Figura: 11 Directorio ExFAT, posiblemente $ RECYCLE.BIN El
contenido es similar a una carpeta de basura vacía, donde no se describe nada excepto el archivo "desktop.ini". La ubicación del archivo en el desplazamiento 0x34 indica el grupo 6 y el tamaño 0x81 (129) bytes. Avancemos 1 clúster más
Figura: 12 Contenido del archivo desktop.ini El
contenido es muy similar a lo que suele ver en los archivos "desktop.ini" y tiene un tamaño de 0x81 (129) bytes. Hay motivos para creer que en la Figura 11, la carpeta $ RECYCLE.BIN y en la Figura 11. 12 archivo descrito en él. Si la suposición es correcta, en el siguiente grupo deberíamos ver un directorio, y su contenido probablemente debería verse como una carpeta de biblioteca de fotos típica para MacOS en Apple Macintosh.
Figura: 13 Directorio ExFAT, posiblemente XXXXXXXXXXXXX.photoslibrary
Como puede ver, la suposición resultó ser correcta y vimos los nombres de los directorios esperados. El número de coincidencias en esta área puede considerarse suficiente y calcular el punto cero y la posición del directorio raíz del volumen una vez existente.
El directorio raíz está en el clúster 4. Dado que precede al directorio $ RECYCLE.BIN cuyo número de clúster es 5.
El punto cero relativo a $ RECYCLE.BIN debe estar a una distancia de menos 5 grupos. Posición $ RECICLAJE.BIN 37888 (303104) sector. 5 grupos son 1280 (10 240) sectores. Al realizar una simple resta, obtenemos la posición deseada: 37,888 (303104) - 1,280 (10240) = 36,608 (292864) o el desplazamiento desde el comienzo del espacio lógico en bytes es 292,864 * 512 = 149,946,368 (0x8F00000).
Además, teniendo el punto de referencia inicial, el tamaño del clúster y la posición del directorio raíz, intentaremos confirmar la exactitud de nuestra suposición con un número significativamente mayor de comprobaciones.
Con las herramientas de Data Extractor, no es tan rápido hacer esto para la partición ExFAT, por lo que montamos el disco en el sistema operativo (con escritura deshabilitada).
Figura: 14 Menú para montar discos en el SO en la utilidad Disk PC3000 Win 7 Utilizamos
el Image Explorer gratuito del centro de software, donde, al abrir el disco, podemos escribir rápidamente los parámetros del sistema de archivos virtual y evaluar la exactitud de las suposiciones.
higo. 15 Árbol de directorios ExFAT ampliado
Como puede ver en la captura de pantalla, los directorios y archivos están en sus lugares, lo que nos permite concluir que los parámetros del sistema de archivos están definidos correctamente.
En este punto, se pueden detener las actividades de diagnóstico y luego se puede acordar con el cliente la siguiente lista de trabajos:
1. Buscar expresiones regulares dentro de todo el espacio lógico para determinar la posible ubicación de varios tipos de datos.
2. Al menos reconstrucción de una sección ExFAT.
3. Análisis de intersecciones con nuevos datos sobrescritos.
4.Construir un mapa invertido en relación con los datos existentes en el sistema de archivos reconstruido dentro de la intersección con Bitmap y buscar datos de usuario en estas áreas, seguido de ordenar los encontrados.
En el caso de empresas intermediarias, como es habitual, se inicia la llamada, y solo tras el consentimiento del propietario final (que apenas sospecha que sus datos serán restaurados en nuestro laboratorio) se da el consentimiento para realizar la obra.
Cualquier trabajo, incluso con discos reparables, comienza con la creación de una copia sector por sector en otra unidad. Esta medida es necesaria para que la unidad del cliente permanezca sin cambios y ninguna iniciativa del sistema operativo conduzca a una corrupción de datos irreversible. Para un disco de 4TB, la copia a través de los puertos PC3000Express tomará entre 10 y 12 horas.
Después de crear una copia, comenzamos a buscar varias expresiones regulares para tener una idea de la distribución de los datos en un espacio lógico, y también para ver si hay signos de otras particiones y sistemas de archivos en este disco.
Figura: 16 Resultados de búsqueda de expresiones regulares dentro de toda la unidad
Los resultados del escaneo revelan que los datos del usuario en el disco son definitivamente mucho menores que los 2 TB declarados por el cliente. La última expresión regular se encuentra en el sector 539 877 376 y hasta el final del disco no se encuentra nada más parecido a los datos del usuario, excepto por el marcador de finalización del HFS + recién creado, aunque el disco no es todo ceros hasta el final. Es probable que la unidad contuviera un volumen cifrado antes de que se creara la partición ExFAT en el disco. Nada más explica la presencia de solo datos "ruidosos".
En tal caso, es importante hacer coincidir el resultado de la búsqueda de expresiones regulares con un mapa de bits.
Figura: 17 Fragmento del sector del directorio raíz ExFAT
En el desplazamiento 0x34, el número de clúster se indica 2 - esta es la posición del mapa de bits en la sección ExFAT. El desplazamiento 0x38 indica el tamaño de la estructura 0x0746F1 (476,913 bytes o 3,815,304 bits). Al analizar esta estructura, se encontró que los bits elevados en la tarjeta son solo para los primeros 270GB, y luego, según la tarjeta, la sección está vacía. Es decir, el mapa de bits coincide con los resultados de la búsqueda de expresiones regulares, pero ambos están en desacuerdo con las palabras del cliente.
Por supuesto, si se encuentra una inconsistencia tan grave, el trabajo se suspende y hay que volver a contactar con el cliente intermediario y tratar de obtener respuestas a las preguntas:
1. ¿Realmente crearon una copia completa sector por sector que nos dieron para analizar?
2.¿Está realmente seguro el propietario de que este disco contenía 2 TB de datos?
3. Y si está seguro, ¿acepta continuar el trabajo de recuperación de datos sabiendo que no se pueden recibir datos de más de 270 GB en este disco?
Obtuvimos la respuesta a la primera pregunta a través del acceso remoto al disco original. Y en el editor de discos, habiéndolo desplazado con un gran paso, lo compararon con la copia que tenemos. Resultó que la copia estaba completa.
La respuesta a la segunda pregunta fue que el propietario de la información creía haber visto con seguridad que el disco estaba lleno de 2TB, pero ya no estaba muy seguro de ello.
Pero con toda la confianza del cliente de que había más datos, aún se da el consentimiento para continuar el trabajo.
Antes de reconstruir el sistema de archivos, es aconsejable hacerse una idea de cuántos directorios fragmentados hay. Para hacer esto, tome los resultados de un análisis aproximado y vea el tamaño de los directorios encontrados. Si hay directorios con un tamaño de registros igual al tamaño del clúster, lo más probable es que se produzca una fragmentación; si el tamaño de los registros es menor que el tamaño del clúster, podemos suponer que la tarea se simplifica notablemente y que no se requiere un empalme manual de fragmentos de directorio.
Figura: 18 Lista de directorios ExFAT encontrados
En este caso, no se encontraron complicaciones adicionales, el tamaño máximo de las entradas en el directorio fue de 629,984 bytes, que es notablemente menor que el tamaño del clúster.
También es necesario marcar todas las áreas ocupadas por las estructuras de archivos recién creadas. Para hacer esto, crearemos mapas de la ubicación de todas las estructuras y archivos en particiones FAT32 y HFS +.
Figura: 19 Mapa de estructuras y datos en el volumen HFS +
Completemos estos lugares en la copia con un patrón que será fácil de distinguir de cualquier dato de usuario, y también en la tarea de copia para estas áreas cambiaremos la leyenda de lectura exitosa a lectura con errores. Esto será necesario para una mayor detección de archivos dañados por sobrescrituras.
Para un uso más conveniente de las herramientas analíticas de Data Extractor, es necesario describir la sección en la tabla de particiones y crear un sector de arranque para la partición ExFAT.
Figura: 20 Tabla de particiones con un volumen ExFAT registrado
En el desplazamiento 0x1D2, ingrese el tipo de volumen 0x07. Este tipo se utiliza tanto para NTFS como para ExFAT.
En el desplazamiento 0x1D6, el puntero al comienzo del volumen ExFAT. Sea 32 sectores (0x20).
En el desplazamiento 0x1DA, escriba el tamaño de volumen máximo permitido para la tabla de partición clásica (aunque este valor es menor que el tamaño de volumen real, pero en este caso es aceptable, ya que no planeamos montar este volumen dañado en ningún sistema operativo, y necesitamos un valor distinto de cero solo para funcionamiento normal de las herramientas Data Extractor).
Figura: 21 Sector de arranque ExFAT
Dado que Data Extractor es muy sensible al contenido del sector de arranque ExFAT, completar solo los campos importantes a menudo es insuficiente (lo cual no es muy lógico), y es tan fácil mostrar la sección en el explorador interno, como lo fue en los diagnósticos en Image Explorer, no rutina de ejercicio. Por lo tanto, en el caso del sector de arranque ExFAT, es mejor tomar una plantilla estándar e ingresar los valores correctos en ella.
Para nuestra comodidad, escribiremos el sector de arranque como lo sería si la unidad se usara como un dispositivo con un sector de 512 bytes. Esto nos proporcionará el correcto funcionamiento de todas las herramientas del complejo sin una reconstrucción de mapas innecesaria.
Complete los campos:
Bytes por bloque- el número de bytes en el sector. ExFAT especifica la potencia a la que se deben elevar 2 para obtener el tamaño.
Bloque por clúster : la cantidad de sectores en el clúster. También indica el grado en el que necesita subir 2 para obtener la cantidad.
Clústeres totales El número de clústeres disponibles en el volumen. Ingresamos el valor 3 815 304. Se obtiene multiplicando el tamaño del mapa de bits por 8.
Bloques totales : el número de sectores. El valor se obtiene multiplicando Clústeres totales por el tamaño del clúster (que a su vez se obtiene multiplicando Bytes por bloque por Bloques por clúster)
Desplazamiento FAT- desplazamiento desde el sector de arranque hasta la tabla de asignación de archivos. Creemos una estructura vacía y colóquela del sector 64. Agregue un título estándar.
Bloque por FAT : el número de sectores ocupados por la tabla FAT. Su tamaño es fácil de calcular en función del número de agrupaciones. Bloque por FAT = Clústeres totales / (Bytes por bloque / 4) con un mayor redondeo al número entero más cercano. 3815304 / (512/4) = 29807, 0625 = 29808.
(No importa cuánto intenten llamar a ExFAT un sistema de archivos de 64 bits, la tabla de asignación de archivos es de 32 bits, pero, a diferencia de FAT32, para Se utilizan 32 bits para el direccionamiento, no 28.)
Número de FAT : número de copias de la tabla. Lamentablemente, al crear particiones, suele ser 1.
Desplazamiento de montón de clúster- indica el desplazamiento del mapa de bits en sectores.
Clúster de directorio raíz: el número de clúster del directorio raíz.
Una vez que la sección esté disponible en el explorador del Extractor de datos, crearemos un mapa del espacio ocupado utilizando un mapa de bits.
Figura: 22 Mapa de espacio ocupado por estructuras ExFAT y datos de usuario según mapa de bits.
También crearemos un mapa de ubicación de archivos basado en registros de archivos existentes, ordenaremos por el orden en el que los archivos están ubicados en el disco y los compararemos con los datos del mapa de bits.
Figura: 23 Fragmento del mapa de ubicación de archivos disponible en el volumen ExFAT Basándonos
en los resultados de la construcción del mapa de ubicación de archivos, observamos un "hueco" bastante extenso en el rango lógico de 718 528 a 57131008. Es obvio en el mapa de bits que esta área está ocupada por datos de usuario. Además, al buscar expresiones regulares en todo el disco, se encontraron signos de datos en esta área.
En este caso, se confirma el hecho de daño a este sistema de archivos y la necesidad de más acciones analíticas.
Invierta el mapa de ubicación del archivo para obtener una lista de cadenas espaciales que no se describen en los registros de archivos existentes. Eliminamos todas las cadenas, cuyo tamaño sea menor que el tamaño del clúster, ya que serán fragmentos libres de los clústeres que no están completamente ocupados por los datos de usuario escritos en ellos. Asignamos a un mapa de bits y solo dejamos cadenas superpuestas de estos rangos.
El resultado restante está sujeto a un análisis más detallado: búsqueda de directorios ExFAT. Creemos un directorio en el que formaremos entradas: punteros a los directorios encontrados, así como también ingresaremos las entradas de los fragmentos de directorios encontrados. Los directorios encontrados deben verificarse el contenido de las entradas que se cruzan con los directorios disponibles, establecer sus relaciones y también verificar la correspondencia de los encabezados de los archivos señalados por las entradas en estos directorios y filtrar los directorios irrelevantes. La pérdida de directorios podría deberse tanto a errores en el sistema de archivos durante la explotación del disco como a una superposición parcial de nuevos datos escritos en el disco.
Figura: 24 Directorio con punteros a estructuras encontradas que no tienen objeto padre.
Además, habiendo complementado el mapa de ubicación del archivo con los objetos encontrados en los directorios perdidos, procederemos a repetir los procedimientos con la construcción de un mapa invertido, teniendo en cuenta la intersección con el mapa de bits. En las cadenas obtenidas de esta forma, es necesario buscar expresiones regulares para varios tipos de archivos de usuario.
Esta es la etapa final del trabajo analítico, cuyo resultado serán los restos de datos del usuario, para los cuales no existen elementos del sistema de archivos que describan su ubicación. Tenga en cuenta que estas medidas nos ayudaron a no incluir en el resultado final varios datos basura que el propio usuario podría haber eliminado anteriormente.
Una vez finalizadas estas operaciones, puede comenzar a copiar los datos encontrados, teniendo en cuenta la presencia en el mapa de la ubicación de los sectores del archivo "leídos con un error" y así eliminar los archivos que se sobrescriben de forma única con nuevos datos. Creamos las marcas de "lectura con error" después de construir los mapas de características FAT32 y HFS +.
Esto completa el trabajo. Se obtuvo el máximo resultado posible de archivos no fragmentados manteniendo la jerarquía de directorios original, y se encontraron casi todos los posibles archivos perdidos sin incluir en este resultado varios datos basura típicos de los programas de recuperación automática.
Publicación anterior: Autodiagnóstico de discos duros y recuperación de datos