strzałka do góry

Odzyskiwanie danych Szkolenia Kontakt

artykuł dodany: 24-11-2017, autor: Paweł Kaczmarzyk

Nie miej za stracone, co może być wrócone


Nie porzucaj nadzieje,
Jakoć się kolwiek dzieje:
Ty nie miej za stracone,
Co może być wrócone:
Jan Kochanowski

Zacznijmy od początku

Flash Extractor, odzyskiwanie danych, nand, kosci, kontroler, układ scalony, recovery.

Klient przysłał do nas dysk twardy. Stary WD800JD. Jeden z pierwszych modeli z interfejsem SATA. Dysk ten został wymontowany z komputera, który dość nieszczęśliwie upadł. Po upadku nie można było uruchomić systemu operacyjnego ani uzyskać dostępu do danych użytkownika, ale dysk kręcił talerzem, nie stukał głowicami i był rozpoznawany przez BIOS. Wprawdzie jako WDC ROM Model -Unicorn--, zamiast numeru seryjnego wyświetlał XYZ... ale zawsze to coś. Dla nas to informacja, że elektronika dysku jest sprawna, ale głowica nie odczytuje z talerza informacji serwisowej. Informacja serwisowa, to grupa modułów niezbędnych dla poprawnej pracy dysku zapisana w niedostępnym dla użytkownika obszarze talerza – strefie serwisowej.

Upadek, problemy z odczytem, sprawa wydawałaby się oczywista. Z uszkodzeniami mechanicznymi dysków powstałymi w wyniku upadków mamy do czynienia bardzo często. Trzeba dobrać dawcę, czasem kilku, zazwyczaj przełożyć głowice, rzadziej talerze, potem wiele godzin, a czasem i tygodni wyczytywania. Wszystko w zależności od skali uszkodzeń, ale z grubsza wiadomo czego się spodziewać. Problemy opisane na stronach prawie wszystkich firm odzyskujących dane. A przynajmniej tych, które robią to naprawdę – bo ogłaszać się z usługą odzyskiwania danych może nawet budka z kebabem, pod warunkiem, ze ma dobrego podwykonawcę. Dlaczego więc warto problem tego dysku opisać?

Niektórzy polegli

Flash Extractor, odzyskiwanie danych, nand, kosci, kontroler, układ scalony, recovery.

Nie byliśmy pierwsi. To też nie nowina. Wielu klientów najpierw szuka gdzieś w pobliżu. Niektórzy sami próbują swoich sił. Dopiero kiedy koledzy, którzy się znają i informatyk z pracy nie dadzą rady, poszkodowani rozglądają się za profesjonalną firmą. Często wybierają tę, gdzie taniej albo gdzie obiecają więcej cudów. Tak, że dyski, które przeszły przez wiele rąk i usterki wtórne spowodowane przez komputerowych mistrzów klatki schodowej, to nic nowego. Ale ten dysk był przedtem nie u fryzjera ani u kosmetyczki, lecz w jednej z najlepszych firm specjalizujących się w odzyskiwaniu danych w kraju.

Poprawianie po kimś, kto się zna na rzeczy wcale nie jest łatwiejsze od poprawiania po kimś, kto wymacał talerze brudnymi palcami. Na pewno jest o wiele ciekawsze, ale czy w ogóle jest sens tracić czas na przypadek, o którym światowy lider pisze, że:

„Przeprowadzona ekspertyza wykazała, że niestety nie jest możliwe odzyskanie danych z nośnika. Utrata danych została spowodowana przez poważne uszkodzenia fizyczne: uszkodzenie oprogramowania sterującego pracą dysku twardego oraz błędne sektory - uszkodzenia magnetycznej powierzchni talerzy, w jakiej zapisane są dane.”

Ponieważ ludzie często mówią, że coś jest niemożliwe tylko dlatego, że czegoś nie potrafią, nie dali rady, nie wyszło im, postanowiliśmy spróbować. To, że coś jest trudne, wcale nie znaczy, że jest niemożliwe. Znaczy jedynie, że może wymagać wiele czasu, pracy, wysiłku, wiedzy i doświadczenia. Uszkodzenia oprogramowania wewnętrznego faktycznie potrafią sprawić wiele problemów, jednak ich wystąpienie wcale nie oznacza, że danych nie da się odzyskać. One cały czas na dysku są i czekają, aż ktoś wymyśli, jak się do nich dostać. A więc skoro prawa fizyki nie stoją nam na przeszkodzie, sami przystępujemy do diagnostyki.

Przechodząc do działania

Flash Extractor, odzyskiwanie danych, nand, kosci, kontroler, układ scalony, recovery.

Ponieważ dysk już był otwierany, warto zacząć od zajrzenia do środka. W zasadzie wszystko wygląda w porządku, brakuje jedynie filtra. Żaden problem uzupełnić, ale z drugiej strony filtry mają wartość diagnostyczną. Zabrudzenia na nich świadczą o powstających zapiłowaniach powierzchni, co jest ważnym sygnałem w sytuacji, kiedy zapiłów jeszcze nie widać. Sądząc po oznaczeniach, blok głowic jest oryginalny.

Następnie przystępuję do uruchomienia dysku. Dysk zgłasza się, jak to opisał klient. Głowica nie stuka. Nawet próbuje czytać strefę serwisową. Niestety zwraca liczne błędy. Większość modułów strefy serwisowej, w tym krytyczny dla odzyskania dostępu do danych moduł translatora, jest silnie uszkodzona. Gdyby tak uszkodzone moduły można było po prostu zamienić modułami odczytanymi z innego, sprawnego dysku...niestety te najważniejsze są unikalne dla każdego egzemplarza.

Na razie wydaje się, że nie jest gorzej. Próbuję odnaleźć kopię strefy serwisowej. Niestety ścieżek, gdzie powinna się znajdować nie da się czytać. Dysk ma czynną tylko jedną głowicę... w dodatku mogła zostać uszkodzona podczas upadku. Tak, czy siak blok głowic lepiej wymienić. Tylko, że wybrany dawca ma czynne dwie głowice. Okazuje się, że ktoś wyłączył pacjentowi jedną z głowic. Ponieważ informacja o liczbie czynnych głowic jest zapisana w ROMie, nie mogła się sama zmienić w wyniku upadku. Nie mógł też tego zrobić klient... to zrobił ktoś, kto się zna.

Na wszelki wypadek jeszcze przed przeszczepem włączam wyłączoną głowicę. Głowica wcale nie czyta gorzej od poprzedniej – bez trudu odnajduję znajdującą się na drugiej powierzchni talerza kopię informacji serwisowej. Moduły czytają się, ale też z licznymi błędami. Wśród uszkodzonych kopii modułów niestety także znalazły się wszystkie najważniejsze – overlaye, translator, listy defektów...

Flash Extractor, odzyskiwanie danych, nand, kosci, kontroler, układ scalony, recovery.Flash Extractor, odzyskiwanie danych, nand, kosci, kontroler, układ scalony, recovery.

Wymieniam głowice. Jeszcze raz czytam obie kopie modułów serwisowych. Na szczęście wiele błędów wypada w różnych miejscach. Wybierając poprawnie odczytane sektory z obu kopii udaje się wyeliminować 80 % błędów. Co zresztą? Overlaye po prostu trzeba pożyczyć od innego dysku z tą samą wersją oprogramowania wewnętrznego. Translator trzeba odbudować na podstawie list defektów, które niestety też są uszkodzone. Na szczęście mamy jeszcze logi fabrycznych testów. Też uszkodzone, ale jest nadzieja, że składając informację ze wszystkich dostępnych modułów uda się odtworzyć translator.

To najważniejszy moment całego procesu. Nic tu po świetnie wyposażonym laboratorium. Nie chcę narzekać na swoje narzędzia, bo to najwyższa światowa półka, ale w tym momencie liczy się to, co każdy może mieć za darmo – hex-edytor, kalkulator, kartka i ołówek. Oraz to, czego kupić nie można – wiedza i doświadczenie. Na szczęście udaje się dokładnie określić, gdzie kończą się defekty w module zawierającym ich listę. Moduł jest dość długi, ale dzięki temu, że nie zawierał zbyt wielu defektów, część sektorów można po prostu wyzerować. Kiedy lista defektów wygląda na gotową, czas na przeliczenie translatora.

Po paru godzinach pracy wszystkie potrzebne moduły oprogramowania wewnętrznego są gotowe. Niestety powierzchnia serwisowa zawiera fizyczne defekty. Próba zapisania z takim trudem odtworzonych modułów zakończy się serią błędów i w konsekwencji dysk znowu przedstawi się jako Unicorn. Aby dotychczas włożony wysiłek nie był daremny, trzeba ten problem rozwiązać. Odtworzone moduły można wgrać na inny dysk. Co nam to da? Kiedy ten dysk się uruchomi, załaduje do bufora wszystkie potrzebne moduły, w tym potrzebny nam moduł translatora. Ale przecież dane cały czas są na pacjencie...jak się do nich dostać? Usypiamy sprawny dysk, a następnie nie odłączając zasilania odkręcamy elektronikę i przykręcamy ją do pacjenta. Dowolna komenda spowoduje uruchomienie silnika dysku. Niezbędne dla uzyskania dostępu do danych moduły już są w buforze, a więc uszkodzenia strefy serwisowej już nam niestraszne.

Ale jest pewien niuans. Każdy dysk ma zapisane w ROMie unikalne adaptywne parametry pracy głowic. To dlatego prawie zawsze po zamianie elektroniki dyski zaczynają stukać głowicami, co już wielu amatorów skłoniło do niepotrzebnych i często skutkujących dalszymi uszkodzeniami ingerencji w mechanikę dysku. Ale w tym przypadku potrzebujemy mieć w ROMie adaptywy, które pozwolą na odczytanie różnych talerzy różnymi głowicami. Spośród kilku dostępnych dawców wybieram najbardziej podobny pod tym względem egzemplarz. Już bez kalkulatora przeliczam parametry tak, by pozwoliły na odczytanie strefy serwisowej dawcy, ale by jednak były bardziej zbliżone do potrzeb pacjenta.

Procedura przebiega planowo, pacjent zaczyna czytać obszar adresacji LBA. Można przystąpić do wykonania kopii posektorowej. Dane powoli, sektor po sektorze lądują na jeszcze jednym dysku. Pojawiają się pierwsze błędy. Pojedyncze – a więc to tylko defekty powierzchni. Translator jest dobry. Po dziesięciu godzinach kopia posektorowa jest wykonana. MBR odczytał się poprawnie, partycje się znalazły, MFT zawiera drobne błędy, ale generalnie struktura logiczna odbudowała się prawidłowo. Można przystąpić do kopiowania plików na docelowy dysk. Teraz już tylko zderzenie z kometą może stanąć na przeszkodzie odzyskaniu danych. Dysk był prawie pełny. 76 GB w ponad 150 tysiącach plików. 6300 uszkodzonych sektorów przełożyło się na uszkodzenia 750 plików. Na szczęście większość z nich, to pliki systemowe i jakieś śmieci z internetu. Uszkodzone są też zdjęcia. Sprawdzam losowo kilka sztuk – otwierają się poprawnie. Nie lubię grzebać klientom po plikach ani też za bardzo nie mam na to czasu, więc nie mogę obiecać, że wszystkie się otworzą, ale jak na dane niemożliwe do odzyskania i tak jest całkiem nieźle.

Profesjonalne laboratorium, to nie wszystko. Nawet najdroższe zabawki będą bezużytecznym złomem w rękach kogoś, kto nie umie się nimi bawić. A w tym przypadku dane można było odzyskać mając do dyspozycji garść śrubokrętów, znajomego aptekarza, który pozwoli skorzystać z komory laminarnej, kilka dysków, dwa programy darmowe i dwa tańsze niż 100 dolarów.


Autorem tekstu jest Paweł Kaczmarzyk,
właściciel Kaleron sp. z o.o.
Sprawdź www.kaleron.pl