М
ного ли у вас флешек? А как часто они у вас умирают? Сегодня в нашей рубрике Восстановление данных 24 - изнутри! флешка Transcend JetFlash 780
на 128GB. Поскольку у клиента были лишь догадки, что ценного могло храниться на флешке. Он решил обратиться к нам за помощью, но при условии, что мы сможем показать, хотя бы один файл. По которому он сможет определить важной этой информации.
Контроллер Innostor IS902 присутствует в списке поддерживаемых контроллеров
программно-аппаратного комплекса PC3000 Flash - приступим.
Контроллер Innostor IS902 присутствует в списке поддерживаемых контроллеров
Список поддерживаемых контроллеров.
| IS817 | IS902 | IS903 |
| IS916 | IS917 |
В чем была проблема, со слов клиента и какие файлы требовалось достать?
- Пролог
- В один прекрасный момент флешка стала зависать, а потом просто перестала определяться в системе.
- Файловая система
- FAT32
- Задача
- Восстановить фотографии и видео ролики.
- Примечание
- Я не знаю что находится на данной флешке, но предполагаю, что что-то ценное. Я готов оплатить часть стоимости за возможность понять, что там было. Одного файла будет достаточно.
Процесс восстановления информации с флешки
П
одобными возможностями, клиенты пользуются редко! Так как в первую очередь для них важны сроки, а не понимание, что находится на устройстве. А такие заказы обрабатываются в порядке 2-ой очереди. Но заказчика не беспокоили сроки, куда важнее было понять, что находится на флешке и есть ли возможность её восстановить.
Выпаянные заказчиком микросхемы
В
первую очередь, нам нужно снять образ (дампы) с каждой из микросхем памяти, а уже затем, поочередно устранять преобразования сделанные контроллером. Поскольку клиент самостоятельно выпаял микросхемы памяти, нам этого делать уже не нужно. И так:
П ервый этап прошёл достаточно успешно, общее число нескорректированных ошибок не превысило и 1%. И около суток на все приготовления.
- Снятие дампа с каждой из микросхемы памяти ( 2 дампа по 4 части по 16 Гб на каждую микросхему ≈ 4 часа).
- Поиск и корректировка битовых ошибок «Ecc-коррекция». На этом же этапе можно определить формат страницы (Понять размер зону служебной зоны).
- Нескорректированные участки перечитываем.
П ервый этап прошёл достаточно успешно, общее число нескорректированных ошибок не превысило и 1%. И около суток на все приготовления.
П
осле получения прекрасных и скорректированных дампов - нам необходимо устранить Xor-преобразования характерные для данного контроллера IS902 и ECC.
Комплекс уже знаком с данным контроллером и без труда подберёт нам необходимый Xor и формат страницы для данной задачи. А значит и мы можем попытаться правильно выстроить порядок следования дампов по найденным структурам файловой системы или файлам.
Комплекс уже знаком с данным контроллером и без труда подберёт нам необходимый Xor и формат страницы для данной задачи. А значит и мы можем попытаться правильно выстроить порядок следования дампов по найденным структурам файловой системы или файлам.
В
нашем случае, мы воспользуемся частями FAT-таблиц и преудобнейшим инструментом комплекса «Параллельный просмотр участников». С помощью «Чернового восстановления» находим lba по которому находится часть таблицы и открываем в «Параллельном просмотре участников». Теперь все наглядно видно и мы без труда можем выстроить следования дампов.
П
осле выяснения какой должна быть очередность следования частей дампов, нам потребуется объединить части перед финальной сборкой образа. Но по пути у нас есть одна не решенная задача - интерлив. При работе с памятью контроллер одновременно может читать и писать по 2 блока, чередуя через страницу.
То есть взяв любой участок служебной зоны, с шагов в размер блока, мы увидим такую картину - равные пары маркеров: 0096:0096, 0867:0867 и т.д. Такие равные пары блоков говорят нам о наличие интерлива (контроллер воспринимает блоки с одинаковым маркером как один логический блок), которые потребуется устранить до сборки образа.
То есть взяв любой участок служебной зоны, с шагов в размер блока, мы увидим такую картину - равные пары маркеров: 0096:0096, 0867:0867 и т.д. Такие равные пары блоков говорят нам о наличие интерлива (контроллер воспринимает блоки с одинаковым маркером как один логический блок), которые потребуется устранить до сборки образа.
До устранения преобразований
Отправляем фото заказчику на согласование
А
теперь пришло время вспомнить о просьбе нашего клиента и выслать ему одну из найденных по сигнатурам фотографию, по которой он сможет определить важность восстанавливаемой информации.
После успешной демонстрации экземпляра, клиент дает добро на продолжение работ! Запускаем сборку образа по специальному алгоритму для контроллеров Innostor разработанный командой «AceLab». И через пару часов у нас видна утраченная структура заказчика.
После успешной демонстрации экземпляра, клиент дает добро на продолжение работ! Запускаем сборку образа по специальному алгоритму для контроллеров Innostor разработанный командой «AceLab». И через пару часов у нас видна утраченная структура заказчика.
П
о итогам: повреждено около 4 Гб из 53 Гб. И еще N-я часть была обнаружена черновым восстановлением (удаленные или выпавшие из фс при сборке). Клиент остался доволен результатом и проделанной работой.