Наверняка каждый пользователь, хотя-бы раз сталкивался с ситуацией, когда информация на флешке или карте памяти вдруг принимала странный вид. Вместо привычной структуры каталогов и файлов оказывались разного вида символы и "кракозябры", а сами файлы переставали открываться. Причём использование разного рода программ для восстановления данных не приносило ни какого результата от слова "совсем". Даже если программы и находили какие-либо файлы, то файлы оказывались "битыми". Знакомая ситуация?
Вот и к нам в очередной раз обратился заказчик с такой проблемой.
Пациент: SD Card Transcend SDHC Class 10, ёмкостью 16Gb
Анамнез:
Анамнез:
Карта памяти компьютером определяется корректно, открывается, но практически не содержит файлов. А те файлы, что есть имеют странные названия и не открываются. Пробовали самостоятельно сканировать карту различными программами для восстановления файлов - в итоге ни один найденный файл не работает. Отдавали в несколько сервисов - результат нулевой. Необходимо восстановить несколько видеороликов.
Тут я сделаю не большое лирическое отступление... Во всех конторах, куда обращался заказчик, вынесли один и тот-же вердикт, а именно - "данные были уничтожены вирусом". Причем ни в одном сервисе не подкрепили это смелое заявление ни одним доказательством. Хотя меня это ни сколько не удивляет. Ведь дело в том, что отсутствие своей компетентности, "чудо-мастера" как правило готовы свалить на любые внешние факторы (будь то вирусы, вмешательство пришельцев, бури на Юпитере и прочий бред...)
Итак приступим... Для начала необходимо убедиться, что всё действительно плохо и карта в интерфейс отдаёт мусор. И что это не является проявлением вмешательства операционной системы в работу накопителя. Карта была подключена мимо ОС непосредственно к порту комплекса для восстановления данных, сделана посекторная копия пользовательской области в образ и проведен анализ, который в свою очередь показал, что наиболее вероятной причиной недоступности данных пользователя является запредельное количество битовых ошибок и неспособность штатного механизма коррекции ЕСС в микрокоде их устранить. Следовательно дальнейшая работа с накопителем по интерфейсу теряет всякий смысл.
На картинке ниже видно, что фактически накопитель отдал по интерфейсу.
Идём дальше... Выпаиваем микросхемы NAND и считываем их в дампы. Дальнейшая работа будет производиться только с ними. Про распайку и сборку мной было достаточно рассказано в предыдущих статьях. Только для начала необходимо получить приемлемое качество этих дампов (без битовых ошибок).
Определяем тип ЕСС и производим коррекцию дампов. Только так можно быть уверенным, что каждый прочитанный сектор будет содержать правильные данные в отличие от мусора, что мы видим по интерфейсу. После того, как был устранен микс и собран образ - я увидел уже вполне адекватную структуру папок и файлов пользователя, что наглядно показано на картинке.
Только радоваться результату было рановато... Видеороликов в заданной папке не оказалось. Среди удаленных файлов их тоже не было. Хотя довольно приличный объём с точки зрения файловой системы был чем-то занят. Сигнатурный анализ этого пространства показал в нём наличие заголовков видеофайлов искомого типа.
И здесь начинается самое интересное... Есть несколько особенностей формирования и хранения этих видеофайлов. Файл состоит из заголовка и контейнера, а контейнер может состоять из нескольких фрагментов. Так вот все эти составляющие (и заголовок и все фрагменты контейнера) должны лежать в определенном порядке и никак иначе.
Если довериться программам для восстановления файлов, как это сделал заказчик, то мы получим условно несколько "линейных" файлов с границами "от заголовка" до "следующего заголовка". Открываться такие файлы не будут, потому как:
1. Не соблюдён порядок следования частей, из которых они состоят.
2. Части наверняка будут принадлежать разным видеофайлам.
3. Добвьте к этому искаженное содержимое секторов с данными (как при работе по интерфейсу) и получите нерешаемый ребус.
В моём случае видеофайлов было не много и все они были собраны вручную. Вишенкой на этом тортике стала демонстрация результатов работы заказчику.
Какие из всего этого можно сделать выводы?
1. Оценка невозможности восстановить данные далеко не всегда объективна. Степень достоверности зависит от уровня компетенции специалиста, дающего такую оценку.2. Если вы хотите только попытаться восстановить данные - можете обращаться куда угодно.
3. А если вам действительно необходимо восстановить данные - то следует обращаться к нам.
Любое копирование, цитирование и публикация материалов (или их части) допускается только с разрешения администрации сайта и с обязательной ссылкой на источник.