Восстановление блоков данных

Эта часть может быть очень легкой и довольно сложной, в зависимости от того, занимал ли удаленный файл больше 12 блоков или нет.

Короткие файлы

Если файл занимал не больше 12 блоков, то все их номера хранятся непосредственно в inode. Вы можете просмотреть их командой stat. Более того, debugfs имеет команду, позволяющую восстановить файл автоматически. Например:

debugfs: stat <148003> Inode: 148003 Type: regular Mode: 0644   Flags: 0x0 Version: 1 User: 503 Group: 100 Size: 6065 File ACL: 0 Directory ACL: 0 Links: 0 Blockcount: 12 Fragment: Address: 0 Number: 0 Size: 0 ctime: 0x31a9a574 -- Mon May 27 13:52:04 1996 atime: 0x31a21dd1 -- Tue May 21 20:47:29 1996 mtime: 0x313bf4d7 -- Tue Mar 5 08:01:27 1996 dtime: 0x31a9a574 -- Mon May 27 13:52:04 1996 BLOCKS: 594810 594811 594814 594815 594816 594817 TOTAL: 6

Файл занимает 6 блоков. Так как 6 меньше 12, даем команду debugfs записать файл в новое место, например /mnt/recovered.000:

debugfs: dump <148003> /mnt/recovered.000

Также можно это сделать с помощью fsgrab. Пример:

# fsgrab -c 2 -s 594810 /dev/hda5 > /mnt/recovered.000 # fsgrab -c 4 -s 594814 /dev/hda5 >> /mnt/recovered.000

В обоих случаях (как debugfs, так и fsgrab) в конце /mnt/recovered.000 будет мусор. Впрочем, это не так уж важно. Самый простой способ убрать его - использовать значение поля Size из inode с ключом bs команды dd:

# dd count=1 if=/mnt/recovered.000 of=/mnt/resized.000 bs=6065

Конечно существует вероятность, что один или несколько блоков вашего файла были перезаписаны. Если это так, то вам не повезло - данные этого блока навсегда потеряны.

Длинные файлы

Сложнее обстоит дело с файлами длиной более 12 блоков. Необходимо пояснить, как устроена файловая система UNIX. Данные файла хранятся в так называемых "блоках". Эти блоки пронумерованы. Для каждого файла также имеется "inode" (от английского information node), где хранится информация о владельце, правах, типе файла и т. п. Также как и блоки, inode пронумерованы (хотя нумерация ведется независимо от блоков). Каталоги файловой системы содержат имя файла и номер inode.
Кроме того, для того, чтобы ядро знало, где искать данные, соответствующие элементу каталога (файлу), в inode следующим образом размещается информация о блоках с данными файла:

• Номера первых 12 блоков хранятся непосредственно в inode; их еще иногда называют блоками с прямой адресацией (direct blocks).
• В inode хранится номер блока, в котором хранятся номера еще 256 блоков данных. Иногда его называют блок косвенной адресации (indirect block).
• В inode хранится номер блока, в котором хранятся 256 номеров блоков косвенной адресации. Иногда этот блок называют блоком двойной косвенной адресации (doubly indirect block).
• В inode хранится номер блока, в котором хранятся 256 номеров блоков двойной косвенной адресации. Его называют блоком тройной косвенной адресации (triply indirect block).

Прочтите еще раз: я знаю, что это непросто, но также и очень важно.
Версии ядра до 2.0.36 включительно при удалении файла обнуляют блоки косвенной адресации (а также блоки двойной косвенной адресации и т. д.). Так что если ваш файл был длинной более 12 блоков, нет никакой гарантии, что вы сможете выявить даже номера блоков с данными, не говоря уже о самих данных.
Единственный способ, который я нашел - это предположить, что файл не был фрагментирован; если был, то у вас проблемы. Если же предполагать, что файл не был фрагментирован, то, в зависимости от количества блоков с данными файла, возможно следующее расположение блоков, описывающих местоположение файла:

0 - 12

Номера блоков хранятся в inode, как описано выше.

13 - 268

После блоков с прямой адресацией идет блок косвенной адресации и далее 256 блоков с данными.

269 - 65804

Как и в прошлом случае, в начале 12 блоков с прямой адресацией, блок косвенной адресации и 256 блоков данных. Далее блок двойной косвенной адресации, за ним 256 групп блоков, состоящих из одного блока косвенной адресации и 256 блоков данных.

65805 и более

Расположение первых 65804 блоков указано выше. Далее один блок тройной косвенной адресации и 256 повторений групп "двойной косвенной адресации". Каждая такая группа состоит из блока двойной косвенной адресации, за которым идет 256 групп из одного блока косвенной адресации и 256 блоков данных.

Даже если номера блоков данных правильны, нет никакой гарантии, что данные в них не перезаписывались. К тому же, чем больше файл, тем меньше шансов, что он был записан без фрагментации (кроме некоторых особых случаев).
Заметьте, что я предполагал, что размер вашего блока 1024 байта, так как это стандартное значение. Если ваши блоки больше, некоторые числа, указанные выше, изменятся. В частности: так как номер блока занимает 4 байта, то количество номеров блоков, которые могут быть размещены в блоке косвенной адресации равно размер_блока/4. Так что везде, где выше встречается число 256, меняйте его на размер_блока/4. Количество требуемых для размещения файла блоков также нужно изменить.
Пример восстановления длинного файла:

debugfs: stat <1387> Inode: 148004 Type: regular Mode: 0644 Flags: 0x0 Version: 1 User: 503 Group: 100 Size: 1851347 File ACL: 0 Directory ACL: 0 Links: 0 Blockcount: 3616 Fragment: Address: 0 Number: 0 Size: 0 ctime: 0x31a9a574 -- Mon May 27 13:52:04 1996 atime: 0x31a21dd1 -- Tue May 21 20:47:29 1996 mtime: 0x313bf4d7 -- Tue Mar 5 08:01:27 1996 dtime: 0x31a9a574 -- Mon May 27 13:52:04 1996 BLOCKS: 8314 8315 8316 8317 8318 8319 8320 8321 8322 8323 8324 8325 8326 8583 TOTAL: 14

В данном случае шансы того, что файл не фрагментирован, довольно велики: первые 12 блоков, перечисленные в inode, (блоки с данными) идут подряд. Начнем с того, что восстановим их:

# fsgrab -c 12 -s 8314 /dev/hda5 > /mnt/recovered.001

Следующий блок указанный в inode (8326) - блок косвенной адресации, который мы можем игнорировать, так как предполагаем, что за ним идут блоки данных (с 8327 по 8582).

# fsgrab -c 256 -s 8327 /dev/hda5 >> /mnt/recovered.001

Последний блок, указанный в inode имеет номер 8583. Заметьте, если предположить, что файл не фрагментирован, то пока все нормально: последний блок данных, записанный нами имеет номер 8582, то есть 8327 + 255. Блок 8583 - блок двойной косвенной адресации, его можно игнорировать. За ним идут до 256 групп состоящих из блока косвенной адресации (который мы также игнорируем), и 256 блоков данных. Быстренько выполнив несложные арифметические подсчеты, выполняем следующие команды (заметьте, что мы пропускаем блок двойной косвенной адресации 8583 и следующий за ним (как мы надеемся) блок косвенной адресации 8584 и начинаем с блока 8525):

# fsgrab -c 256 -s 8585 /dev/hda5 >> /mnt/recovered.001 # fsgrab -c 256 -s 8842 /dev/hda5 >> /mnt/recovered.001 # fsgrab -c 256 -s 9099 /dev/hda5 >> /mnt/recovered.001 # fsgrab -c 256 -s 9356 /dev/hda5 >> /mnt/recovered.001 # fsgrab -c 256 -s 9613 /dev/hda5 >> /mnt/recovered.001 # fsgrab -c 256 -s 9870 /dev/hda5 >> /mnt/recovered.001

Итого мы записали 12 + (7 * 256) блоков, то есть 1804. В соответствие с результатом команды "stat" число блоков в файле было равно 3616; считается, что это блоки длиной 512 байт (пережиток с UNIX), поэтому, в действительности, нам надо 3616/2 = 1808 блоков длиной 1024 байт. То есть, нам нужно записать еще четыре блока. Последний записанный блок имел номер 10125. Также, как и раньше, пропускаем блок косвенной адресации (номер 10126) и записываем последние четыре блока:

# fsgrab -c 4 -s 10127 /dev/hda5 >> /mnt/recovered.001

В результате, если нам повезло, то файл полностью восстановлен.

Источник : citforum.ru

Восстановление данных. Самые распространенные проблемы

Все мы сталкивались с проблемой утери информации: неожиданно «упавшая» операционная система, утеря флеш-карты, отказ жесткого диска – во всех этих ситуациях единственным выходом становится обращение в компьютерную службу по восстановлению данных.

Восстановление информации производится специалистами с пострадавших носителей: данные извлекается с помощью изменения программных настроек, а также специального оборудования и подменных носителей. Необходимость восстановления данных появляется в двух случаях: если было повреждено оборудование (носитель информации), либо изменения в программной части повлекли утерю информации. Часто пользователи обращаются к специалистам для восстановления удаленных или неправильно отформатированных файлов.

Восстановление файлов возможно с самых различных носителей: жестких дисков, flash-накопителей, карт памяти, CD и DVD дисков, RAID-массивов и т.д. С каждым годом запоминающие устройства усилиями производителей становятся более надежными и долговечными, но по-прежнему человеческий фактор (неправильное использование или неосторожность при эксплуатации), либо программная ошибка приводят к возникновению неисправностей. Однако паниковать не нужно – в подавляющем большинстве случаев восстановление возможно.

К причинам, вызывающим потерю данных, относят также сбои оборудования, воздействие вредоносных программ. При несанкционированном удалении данных пользователь также перестает «видеть» файлы – к их названию прибавляется дополнительное значение, блокирующее доступ к их использованию, хотя месторасположение их не меняется. Специалист в этом случае снимает с имени файла метку блокировки, давая доступ пользователю.

Очень часто важность информации, помещенной на жесткий диск, флеш-накопитель или SD-карту перекрывает стоимость самого носителя – если утеря все же произошла, с помощью профессионального восстановления данных вы вернете до 100% информации. Что же делать в таком случае?

Прежде всего, не обладая соответствующими знаниями об устройстве и принципах работы поврежденных носителей, не пытайтесь решить проблему своими силами. Скорее всего, ваш энтузиазм, подкрепленный статьями «мастеров» из Интернета, сослужит вам плохую службу. Поэтому до обращения к специалисту не следует проводить никаких манипуляций с носителем, содержащим недоступную информацию. Ни в коем случае ничего не записывайте на жесткий диск или флеш-карту – новые файлы могут заместить старые на участках с необходимыми вам данными, и тогда восстановить их будет не под силу даже на специальном оборудовании.

Если на носитель оказывалось механическое воздействие, или компьютер был атакован вирусами, подготовьтесь к тому, что, даже восстановив информацию, вы больше никогда не сможете воспользоваться устройством. Конечно, специалисты сделают все возможное для приведения жесткого диска или флеш - накопителя в рабочий вид, однако зависит это целиком от состояния носителя.

Чаще всего клиенты просят восстановить утерянные данные с жесткого диска – это происходит по разным причинам: из-за физического износа, механических повреждений или ситуации, когда в результате того, что лечение вирусов не производилось, программной части были нанесены необратимые повреждения. Для восстановления файлов используется достаточно сложное профессиональное программное обеспечение. После того, как однажды вы были вынуждены отвезти жесткий диск для восстановления информации специалистам, задумайтесь – правильно ли настроено ПО, установленное на ваших компьютерах и проведена ли настройка сервера, если таковой имеется.

Восстановление данных с флеш-карт – еще одна очень востребованная операция. Иногда их владельцы используют съемные накопители для переноски и хранения важных данных, не заботясь об их дублировании. Это очень опрометчивое решение – ведь флеш-карта наиболее часто подвергается механическим воздействиям. Кроме того, опасность появления вирусов на таком носителе очень велика, что часто также приводит к утере данных.

Как восстанавливают данные: взгляд изнутри

Автор: Илья Зайдель

Из этого обстоятельного материала читатель узнает — как и на каком оборудовании работают фирмы, занимающиеся восстановлением данных с различных накопителей, на чем стоит хранить ценную информацию и что нужно делать для продления жизни винчестеров

Восстановление данных (Data Recovery, DR) — одна из малоприметных, но незаменимых отраслей компьютерного сервиса, нечто вроде информационного МЧС. Всем известно, что в наше время данные стоят значительно больше, чем накопитель, на котором они находятся. В случае аварии жесткого диска (HDD), RAID-массива или твердотельного устройства (флешки, карты памяти, SSD) пользователь прежде всего хочет получить обратно свои файлы, а сама «железка» отправляется в корзину или меняется по гарантии. Задачу реанимации данных как раз и решает DR.
Не будем в сотый раз говорить про ненадежность любого накопителя и жизненную необходимость резервного копирования. Людскую самонадеянность и лень не перешибить ничем. Здесь ситуация такая же, как с мытьем рук перед едой: все давным-давно знают, что делать это надо, но каждое лето тысячи горемык попадают на больничные койки.
К тому же в нынешних информационных реалиях (громадные, по сравнению со скоростью интерфейса, объемы HDD, разнородные типы данных и места их хранения, общий доступ и т.п.) организовать «правильный» бэкап не так уж просто. Сисадмины знают, что восстановить даже корпоративный сервер или базу данных после аварии удается не всегда: имеющиеся резервные копии зачастую неполны, устарели либо просто не читаются. Что уж говорить про частных, порой малоопытных пользователей…

Примерно так и выглядит обращение в фирму, занимающуюся восстановлением данных. Только, пожалуйста, не снимайте крышку в домашних условиях — каждая пылинка может поставить крест на ваших надеждах

Так что необходимость привести в чувство проблемный жесткий диск или флешку и снять ценную информацию возникает регулярно. Накопители далеко не всегда доходят до полной неработоспособности — нередко сбоит лишь какой-то один участок. По закону подлости, именно там располагаются самые нужные файлы, и скопировать их обычным образом не получается. Нередко содержимое дисков портится программным путём — это и зловредные вирусы, и сбои ОС при поддержке прикладных программ, и ошибочные действия самого пользователя (отформатировал не тот раздел, преждевременно выдернул флешку и т.п.).
Во всех этих случаях в дело вступают специалисты Data Recovery. Эти компьютерные спасатели извлекают, казалось бы, безвозвратно потерянные файлы — на радость владельцу и в прибыль себе. Впечатляющий результат достигается использованием разнообразного инструментария и, конечно, обширной подготовкой и опытом.
Компаний, специализирующихся на восстановлении данных, в России не так уж много — бизнес этот сложный, требующий немалых вложений в оснащение, подбор сотрудников и раскрутку. Специалистов DR, кстати, нигде не готовят — приходится выискивать способных энтузиастов-самоучек.
Вообще, в Data Recovery все держится именно на людях. Ведь на освоение тонкостей профессии уходит не один год и не один десяток убитых накопителей (конечно, не клиентских, а специально купленных на опыты). Постоянно надо учиться работать с новыми моделями дисков и флешек — «на дату», как выражаются ремонтники, они приходят уже через полгода после появления на рынке. Архитектура становится все сложнее, конструкция — нежнее, ну а плотность записи и объем достигают каких-то фантастических показателей. Требования к чистоте, точности и скорости работ резко растут.
Нельзя забывать и про «старичков», ведь 10-15-летние диски не такое редкое явление на приемке. Для этого специально сохраняются старые стенды и «музейное» DOSовское ПО. А на дальней полке доживают свой век приводы для устаревших сменных носителей — дискет, разномастных кассет с магнитной лентой, магнитооптических дисков, картриджей ZIP, JAZ и прочей экзотики. Время от времени приносят и это.
Чтобы всерьез заниматься восстановлением данных, необходим широкий кругозор и разносторонняя практика. Уверенность приходит лет через пять, поэтому здесь преобладают зрелые специалисты. В отрасли насчитывается немало 40-50-летних «ветеранов», есть и 60-70-летние «аксакалы». В общем, с обычным компьютерным сервисом все это здорово контрастирует. Тут, пожалуй, больше аналогий с медициной.
Мы попросили директора московской компании R.LAB Николая Хозяинова рассказать о том, как устроен бизнес в сфере восстановления данных DR, а также дать несколько советов.

Николай Хозяинов на «капитанском мостике» офиса. Здесь он бывает не каждый день: управлять бизнесом DR можно и дистанционно

Илья Зайдель: Как вы оцениваете место Data Recovery в информационном обществе?
Николай Хозяинов: Примерно как место спасательной службы на горнолыжном курорте.
Илья Зайдель: То есть прокатиться с ветерком — это здорово, но можно и ногу сломать, а то и под лавиной оказаться. Кто обычно обращается за помощью к спасателям?
Николай Хозяинов: К нам идут и частные заказчики, и бизнес (от малых предприятий до международных компаний), и IT-компании, передающие субподряды для своих клиентов. Ни одну категорию нельзя назвать основной, объем работ распределен равномерно. Выделю небольшой, но важный для нас сегмент — услуги для других DR-компаний. Они время от времени передают сложные заказы, с которыми сами не могут справиться (специалист Data Recovery не будет «доламывать» диск клиента, если он не уверен в своей подготовке или технической базе. Он обратится к более опытному коллеге, этого требует профессиональная этика. — И.З.).
У нас не принято рассказывать о проблемах клиентов, поэтому случаи из практики приводить не буду. Разве только самые общие. Так, регулярно приходится восстанавливать информацию после попыток её уничтожения различными варварскими методами. Например, корзину с жесткими дисками как-то выкинули из окна. Компьютеры и ноутбуки после пожаров, протечек тоже приносят. Был ноутбук после цунами. Еще приносили ноут, побывавший в пыльной буре. Его брали в африканскую экспедицию, пыль проникла в диск и убила головки.

Рабочее место специалиста Data Recovery. Паяльная станция, стереомикроскоп и осциллограф не менее важны, чем компьютер со специальным ПО

Илья Зайдель: Про конфиденциальность давайте поговорим подробнее. Человек отдает вам диск с ценной для него информацией, возможно, не подлежащей разглашению. Как он может убедиться, что вы корректно с ней обращаетесь и защищаете от несанкционированного доступа? Не хотите ли поставить на своих рабочих местах веб-камеры?
Николай Хозяинов: Обеспечение должного уровня информационной безопасности — основа нашей работы. Серьезно, это как фундамент у дома. Весь наш бизнес базируется на доверии клиентов, а оно возникает на базе репутации. Одна утечка данных — и репутация, заработанная в течение многих лет, непоправимо испорчена.
Безопасность включает в себя как технические меры, так и подбор персонала. Наша локальная сеть имеет двухуровневую структуру, внешний доступ к файловым серверам полностью закрыт. Через две недели после сдачи заказа клиенту все данные по нему уничтожаются. Межсетевые экраны имеют жесткие настройки, на компьютерах установлено антивирусное и антишпионское ПО, весь софт обновляется. Естественно, нелицензионным программам места нет.
Что касается персонала, то мы приглашаем проверенных людей, много лет работающих в области восстановления данных. Таких мало, буквально можно пересчитать по пальцам, и они все на виду. Безупречная репутация — их главный актив. Специалисты, как правило, друг друга знают, регулярно общаются по Сети и вживую, обмениваются разработками. В подобной среде вопрос кражи или порчи данных даже не возникает.
В связи с таким подходом к информационной безопасности мы не занимаемся обучением и не принимаем на работу начинающих. Исключение — стажировка сотрудников из других компаний.
Насчет веб-камеры и думать не стоит: если IT-специалист захочет украсть данные со своего рабочего места, никакая камера его не остановит.

Паяльная станция незаменима для работы с электронными платами. Пайка деталей производится горячим воздухом с помощью микрофена (слева). Сверху — устройство для зажима плат и их предварительного инфракрасного прогрева

Илья Зайдель: Клиентов, особенно в нашей стране, всегда интересует стоимость той или иной услуги. Какое у вас ценообразование — фиксированные цены или по фактическим трудозатратам, как во многих зарубежных фирмах?
Николай Хозяинов: Стоимость услуги зависит от объёма работ. Большой опыт позволяет достаточно точно спрогнозировать цифры в том или ином случае потери данных, поэтому мы сформировали прайс-лист по основным видам неисправности. Человек может заранее прикинуть свои расходы. Точная цена восстановления определяется в процессе первичной бесплатной диагностики. Расчеты производятся после успешного завершения работ.
Илья Зайдель: Если не секрет, сколько заказов на восстановление данных вы выполняете? Есть ли сезонность в этой услуге?
Николай Хозяинов: Могу сказать, что наш поток — больше сотни заказов в месяц.
Что касается сезонности, то она выражена слабо. Лишь летом число заказов незначительно снижается. Тут действуют разнонаправленные факторы: компьютеры в период отпусков используются менее интенсивно, зато учащаются аварии дисков из-за перегрева. Прошлым летом таких случаев было много. Также возрастает поток карт памяти, которые приносят клиенты после турпоездок.

Компьютеров на рабочем месте существенно больше одного. Заказов на восстановление данных поступает много, они выполняются порой не один день, так что все стенды при деле

Илья Зайдель: В каких случаях вы не можете восстановить данные или вообще не беретесь за работу? Зависит ли это от состояния накопителя, от поведения клиента или чего-то еще?
Николай Хозяинов: Допускаю, что возможно такое поведение клиента, при котором мы не возьмёмся за работу, но реально с подобным пока не сталкивались.
Мы берёмся за работу во всех ситуациях, когда существует принципиальная возможность восстановления информации. К «безнадежным» случаям, например, относятся:

• Тяжелые повреждения пластин жесткого диска — запилы, при которых магнитный слой вместе с данными сдирается с пластины и оседает в виде пыли на фильтре;
• Порча модулей служебной информации, содержащих так называемые адаптивы. Все модули хранятся в служебной зоне жесткого диска и используются в процессе его инициализации при включении. Адаптивы задают настройки, уникальные для данного экземпляра, например коэффициент усиления и микросдвиг каждой головки. Без их применения пользовательские данные считать невозможно, даже если всё остальное в идеальном состоянии. Другие адаптивы, хотя бы и от диска-близнеца, здесь не помогут, а подобрать их пока нереально;
• Утрата родной платы диска. Часть адаптивов хранится в микросхеме ПЗУ на плате, и замена платы на неродную, равно как и порча ПЗУ, может фатально сказаться на доступе к данным. Мы иногда сталкиваемся с таким после неквалифицированного вмешательства (отсюда мораль: сломанный диск не ковыряйте сами и не отдавайте «ремонтникам широкого профиля», а сразу несите DR-специалистам. Если, конечно, вас интересует результат. — И.З.);
• Перезапись секторов, в которых была нужная информация. Вопреки бытующим легендам, восстановить данные в подобных случаях по остаточной намагниченности либо другим мистическим способом на современных жестких дисках никто в мире не сможет;
• Для флеш-накопителей — серьезные повреждения микросхем памяти (разлом корпуса). К счастью, такое встречается достаточно редко.

Восстановление данных на выезде технически возможно в простых случаях. Однако время квалифицированного специалиста стоит дорого, и конечная цена такой услуги будет довольно высока. Но несколько раз нам такое заказывали.

Специалист R.LAB Алексей Гавриленко за ламинарным шкафом. Сверху вниз дует ровный поток обеспыленного воздуха (фильтр HEPA12), который создает внутри шкафа «чистую зону». Здесь можно вскрывать гермоблоки жестких дисков и проводить различные работы, в первую очередь перестановку головок

Илья Зайдель: Возможно ли удаленное восстановление данных через Интернет или другие каналы связи? Ведь многим людям боязно отправлять свой накопитель по почте в Москву, а в своем городе подобного сервиса нет.
Николай Хозяинов: Удалённое восстановление данных с физически неисправного накопителя по понятным причинам невозможно. Единственное исключение — совместная работа со специалистами других организаций, имеющих сходное с нашим оборудование и соответствующие навыки.
Восстановление данных с исправных накопителей возможно, но не целесообразно, поскольку в большинстве случаев пользователь может все сделать самостоятельно, используя простые в освоении программные средства, на нашем жаргоне — «рекаверилки». Среди них есть и бесплатные, но работающие на уровне лучших коммерческих продуктов (например, R.Saver). Возвращаясь к теме удалённого восстановления данных, я считаю, что для конечных заказчиков это целесообразно только при работе с RAID-массивами, которые состоят из исправных дисков, а «развалились» по причине сбоя контроллера или неумелых действий системного администратора.

Съёмник головок. Приспособление упрощает вывод блока головок с пластин и последующую пересадку в другой гермоблок (помогает разжать парные головки, чтобы они не соприкасались с пластиной и друг с другом). У разных семейств жестких дисков геометрия БМГ различается, так что съёмников требуется довольно много

Илья Зайдель: Николай, а как вы сами-то в этот бизнес пришли?
Николай Хозяинов: Скорее, бизнес сам пришел. Мы с партнёром руководили компанией, которая занималась обслуживанием оргтехники. Ремонт компьютеров и принтеров, заправка картриджей, локальные сети, офисные АТС — в общем, делали почти всё.
С определённого момента нашим клиентам стало всё чаще требоваться восстановление данных. Это было во времена массового выхода из строя жестких дисков Fujitsu серии MPG (2002 год. — И.З.). Понимая, что для таких работ квалификации наших ремонтников совершенно недостаточно, мы искали субподрядчика. Но не нашли никого, кто бы нас устроил. 
Поэтому сами купили аппаратно-программный комплекс PC-3000 от компании ACE Lab. Кстати, эта ростовская организация является мировым лидером в области производства оборудования для Data Recovery, что очень нас радует и даёт повод для гордости.
Первое время я выполнял работы на PC-3000 сам. Скромного опыта хватало, чтобы справляться с поступающими заказами, поскольку большинство случаев потери данных в то время были связаны с программными проблемами или с типовыми неисправностями Fujitsu MPG, которые устранялись простой перезаписью одного из служебных модулей.
Постепенно я настолько увлёкся Data Recovery, что стал заниматься только этим, отойдя от других дел. Через некоторое время мы с партнёром решили разделить бизнес — так появился R.LAB в виде самостоятельной компании.
С опытом пришло понимание того, что восстановление данных не сочетается с какой-либо другой деятельностью. Поэтому я начал отходить от технической работы и сейчас выполняю только администраторские функции.

Устаревшие диски и приводы в R.LAB. На верхней полке — артефакты докомпьютерной эры: есть чем развлечь гостей

Илья Зайдель: Я слышал, что некоторые наши специалисты DR летом колесят по Европе, гостят у коллег и выполняют накопившиеся сложные заказы. Попутно передают свой опыт. И отдых, и заработок. Но вернемся к нашим делам. Сейчас широко используются RAID-массивы, благо эта функция встроена почти в каждую материнскую плату. Как вы восстанавливаете данные с массивов и что можете посоветовать их пользователям?
Николай Хозяинов: Пользователям могу посоветовать делать резервные копии, массив — не панацея. С ними к нам часто обращаются.
В общих чертах восстановление данных с RAID-массивов выполняется так:

• сначала снимаются посекторные копии с неисправных дисков, если таковые имеются,
• затем массив собирается программными методами на нашем оборудовании.

В простых случаях, если у вас есть нужное количество образов на исправных дисках (для RAID 5, например, это n-1, где n — общее количество дисков в массиве), массив можно собрать самостоятельно. По этой теме в Сети есть немало полезных материалов.
Есть массивы, которые простыми методами не собираются. Как правило, это связано с нестандартной конфигурацией и расположением служебных секторов. Что делать в подобных случаях — быстро не расскажешь, здесь уже требуется опытный специалист и индивидуальный подход.

На этом стенде собираются RAID-массивы. Емкости подсистемы хранения достаточно для самых сложных работ

Илья Зайдель: Что вы скажете о надежности твердотельных накопителей SSD? Можно ли их использовать для ответственных задач? И почему так дорого стоит восстановление?
Николай Хозяинов: Технология ещё достаточно молодая, производители только ищут и обкатывают оптимальные технические решения. Вероятно, в перспективе SSD превзойдут по надёжности HDD, но сейчас им до этого ещё далеко.
Восстановление данных с неисправных SSD действительно стоит дорого, 20000 рублей и выше, и, к сожалению, снизить цену пока возможности нет. Данные с SSD восстанавливаются так же, как и с флешек, принципы одинаковые, просто объём работы намного больше. Там надо выпаять все микросхемы памяти, считать их содержимое, и, самое сложное, собрать из считанного образ диска.
Проблема здесь в том, что SSD, как и флеш-накопители, использует механизм выравнивания износа, который постоянно перемещает логические адреса памяти по физическим ячейкам. И если просто соединить считанные с микросхем данные, мы получим бессмысленную мешанину. Поэтому требуется восстановить таблицу трансляции и собрать образ файловой системы в соответствии с ней. Работа кропотливая, во многом пока ручная.
Илья Зайдель: Стало быть, с SSD стоит быть поосторожнее. А что вы скажете про жёсткие диски? Какая марка и какой модельный ряд показали, по вашей статистике, наибольшую надежность и какие — наименьшую?
Николай Хозяинов: В современных условиях модельные ряды жестких дисков меняются быстрее, чем мы успеваем понять степень их надёжности. Поэтому по нынешнему рынку сказать что-то определенное трудно. В дисках всех производителей используется сходный набор технологий, так что и надежность у них примерно одинакова. Время от времени тот или иной производитель выпускает дефектную партию или модель, но к моменту, когда эти диски начинают массово попадать в ремонт, они уже исчезают из продажи.
Переплачивать за модели корпоративного класса, которые позиционируются производителями как более надёжные, смысла не видим — опыт показывает, что они выходят из строя с той же вероятностью. (Я бы не был столь категоричен: корпоративные диски рассчитаны на круглосуточную работу под высокой нагрузкой, они лучше выдерживают перегрев, вибрации от соседних дисков в корзине и прочие невзгоды эксплуатации. Другое дело, что в обычных условиях такая выносливость от накопителей и не требуется. А от ударов или плохого питания дорогие диски мрут точно так же, как и дешевые. — И.З.)
Разумно будет взять модель, которая выпускается как минимум полгода (чтобы не нарваться на «детские болезни») и чьи характеристики в точности соответствуют требованиям рабочего места — не меньше, но и не больше. Скажу о модных «зеленых» сериях: низкий нагрев и шум в них достигаются за счет уменьшенной скорости вращения (5400-5900 об./мин) и замедленного позиционирования головок. Поэтому для размещения ОС и вообще для произвольного доступа они не очень подходят, зато отлично служат как хранилище мультимедийных данных.
И помните: вопрос не в том, сломается диск или нет, а в том, когда это произойдет. Продлить жизнь диску помогает правильная эксплуатация. Уделите внимание питанию и охлаждению, защитите диск от ударов и вибрации, контролируйте его состояние — и вероятность аварии заметно уменьшится.

Один из стеллажей с дисками-донорами. Это примерно десятая часть от общего количества. Покупка доноров — существенная статья расходов любой DR-компании, ведь одна и та же модель может выпускаться в десятке несовместимых вариантов (по комплектующим и прошивке)

Илья Зайдель: Почему флешки стали такими ненадежными? Как правило, при активной эксплуатации они больше года не живут — ломаются, либо начинают «глючить», портить и терять данные. В то же время у меня есть флешка 6-летней давности, и она до сих пор в полном порядке, разве что краска облезла.
Николай Хозяинов: Основная причина — давление рынка, требующего от производителей «больше, быстрее и дешевле». Отсюда и следствия:

• удешевление элементной базы и конструкции всеми доступными способами. Экономят даже на припое, а дискретные стабилизаторы и фильтры уже давно не ставят;
• максимально сжатые сроки разработки и тестирования новых моделей. Зачастую на рынок попадают непроверенные сырые решения, ведущие к скорым отказам;
• флеш-память имеет ограниченный ресурс по числу перезаписей. И современное поколение микросхем, применяемое в недорогих моделях, имеет значительно меньшее значение этого показателя, чем предыдущие поколения. При интенсивном обновлении данных на флешке (типичный пример — бухгалтерские базы данных) проблемы начинаются спустя считанные месяцы.

Илья Зайдель: На вашем сайте выложен ряд бесплатных утилит для восстановления данных. Вы не боитесь, что это уменьшит число ваших клиентов?
Николай Хозяинов: Считаю, что каждый должен заниматься своим делом. Грамотный пользователь в простых случаях вполне способен восстановить данные самостоятельно. Мы стремимся заниматься задачами, достойными уровня наших специалистов, а не брать деньги за то, что люди могут сделать сами. Хотя, если человеку лень или существуют опасения по причине особой ценности данных, от работы, естественно, не отказываемся.

Будни восстановления данных. Специалисты R.LAB Леонид Воржев (слева) и Валерий Пьянков общаются с клиентами и лично, и по телефону. Иногда приходится быть психотерапевтом и успокаивать встревоженных людей. За рубежом крупные DR-компании даже заводят штатных психологов

Илья Зайдель: Какую технологию вы порекомендуете для длительного и максимально надежного хранения цифровых данных? Например, чтобы человек мог посмотреть свои детские фотографии через 30-40 лет.
Николай Хозяинов: Магнитная лента или жесткий диск. Перезаписываемые оптические диски (CD-R/RW и DVD±R/RW), вопреки расхожему мнению, довольно быстро становятся нечитаемыми. Рекламный срок хранения в 30 лет не подтверждается (главная причина здесь — исходно низкое качество болванок. Выбирать их по брендам сейчас сложно ввиду разброса партий и частых подделок. Также играет роль износ пишущих приводов и несоблюдение условий хранения, на самом деле довольно жестких. — И.З.).
Магнитная лента наиболее надёжна — она проверена полувековым использованием. Но ей требуются приводы (стримеры), которые не слишком доступны. Так что жесткие диски удобнее. У некоторых моделей со временем могут проявляться «врождённые болезни», даже если накопитель просто лежит на полке. Поэтому, если вы храните данные на дисках, желательно иметь хотя бы пару копий и раз в год-два их обновлять, просто перезаписывая заново.
Теперь, когда интервью закончилось, важно добавить несколько уточнений.

Николай Хозяинов упомянул аппаратно-программный комплекс PC-3000, играющий центральную роль в оснащении его компании. Хотелось бы рассказать об этом незаурядном отечественном продукте более подробно. Он позволяет работать с накопителями в недокументированном технологическом режиме и тем самым получать доступ к данным в самых сложных ситуациях.
Комплекс ведет свое начало с дипломной работы бессменного технического директора ACE Lab, выполненной в далеком 1991 году. За свою двадцатилетнюю историю PC-3000 стал практичным и действительно эффективным инструментом для восстановления данных и ремонта HDD. Сегодня им пользуются почти все отечественные и многие зарубежные DR-фирмы. Комплекс постоянно развивается, чтобы расширить его возможности, охватить новые семейства накопителей и, что немаловажно, сократить время восстановления. Обновления программной части выпускаются 3-4 раза в год, а полностью новая версия появляется раз в 2-3 года.

Комплект поставки PC-3000. В него входят кабели, переходники и щупы для всех разновидностей жестких дисков, присутствующих на рынке, включая довольно экзотические (применяющиеся например, в Appe iPod classic)

Аппаратно PC-3000 представляет собой плату расширения для шины PCI, на которой имеются два проприетарных IDE-порта, а также контроллер питания для управления подключенными дисками. Порты позволяют вычитывать данные на скорости до 100 Мбайт/с, что близко к пропускной способности шины. Для нынешних гигантских объемов HDD (до 3 Тбайт, а в скором времени 4 Тбайт) этого уже недостаточно, и ACE разработала плату PC-3000 для шины PCI Express.
Новая плата оснащена 4 портами SATA и 2 портами IDE и позволяет одновременно вычитывать данные с четырех накопителей на скорости до 120 Мбайт/с каждый. Путем замены микросхем SATA-мостов на более производительные скорость может быть поднята до 170 Мбайт/с, что дает достаточный запас на будущее. Серийный выпуск платы PCI Express начнется в конце года после бета-тестирования на реальных задачах. При этом всё ПО будет идентично для обеих версий комплекса.
Для полноценного Data Recovery одного PC-3000 недостаточно. Ведь комплекс работает на низком уровне (модули «служебки» и сектора пользовательской зоны диска), а клиенту в конечном счете нужны его файлы. При восстановлении данных с поврежденных накопителей применяется программный продукт ACE Data Extractor. Ему уже больше десяти лет, и он вобрал в себя немало наработок, позволяющих справляться с тяжелыми случаями.
Так, DE может (разумеется, в тесной связке с PC-3000) вычитывать данные в технологическом режиме. При этом у диска могут быть отключены неисправные головки, модифицирована микропрограмма для обхода блокирующих проверок и т.п. В обычном режиме такой диск в готовность не выходит и чаще всего просто «стучит».
Подобное тонкое вмешательство зачастую позволяет скопировать нужные файлы, не прибегая к перестановке головок — процедуре дорогой, трудоемкой и недостаточно предсказуемой. Ведь поиск донора может затянуться, а головки не всегда «приживаются». В то же время, благодаря высокой плотности записи, требуемый файл во многих случаях умещается на одной дорожке и может быть успешно вычитан, если соответствующая головка жива.
Недавно появилось новое расширение DE — программный комплекс Data Extractor RAID Edition. Как следует из названия, он ориентирован на восстановление данных из поврежденных дисковых массивов. Это стало актуальной проблемой в связи с широким распространением RAID-контроллеров — они встраиваются в большинство материнских плат. При этом надёжность массовых контроллеров довольно низка: при малейшем сбое диска-участника или даже намеке на него (увеличенное время отклика и т.п.) массив разрушается и становится недоступным для ОС. К тому же и пользователи нередко «добивают» массив своим неквалифицированным вмешательством.

Не плачь, блондинка! Есть хороший шанс, что второй раз набивать отчет не придется!

Поэтому в практике Data Recovery всё чаще встаёт задача корректной сборки RAID-массива и вычитывания данных из него. Существующее ПО ориентировано на случаи чисто логических разрушений структур данных и бесполезно при наличии физических повреждений дисков-участников. В таких случаях приходится действовать в два этапа: сначала скопировать все, что можно, с проблемных дисков, а затем пытаться собрать массив из копий. Очевидна трудоемкость и неэффективность подобной работы.
DE RE умеет восстанавливать данные из массивов в случаях, когда один или несколько его участников имеют не только логические, но и физические проблемы. При этом не требуется предварительного создания полной копии: в созданном виртуальном RAID вычитываются только нужные файлы. Это радикально сокращает время восстановления и придает ему максимальную гибкость.
Кроме того, виртуальный RAID (напомним, с участием неисправных накопителей) можно смонтировать в качестве физического диска операционной системы и использовать ПО сторонних производителей, «заточенное» под специфические файловые системы и форматы данных. Это бывает крайне полезно при восстановлении данных с видеорегистраторов, сетевых хранилищ и прочих нестандартных устройств, которые встречаются всё чаще.
Ещё одно преимущество комплекса — автоопределение параметров RAID-массива, основанное на анализе данных файловых систем и данных пользователя. Если неизвестен порядок подключения дисков в массиве (такое, как ни странно, часто встречается), то это дает многократную экономию времени и усилий. Представьте себе 12-18 дисков, составлявших когда-то RAID 50, и вы оцените перспективы.
Надо заметить, что стоит Data Extractor RAID Edition порядочно — от 75000 рублей. Тем не менее он может окупиться всего за два-три заказа: расценки московских DR-компаний на восстановление сложных массивов достигают 30-40 тысяч (фраза о том, что самое дорогое — это данные, обретает новый смысл. — прим. редакции).

Комплекс PC-3000 Flash поддерживает все типы твердотельных накопителей — обычные флешки, карты памяти разных форматов и SSD

Сейчас в ACE Lab много занимаются твердотельными накопителями — SSD, обычными флешками и картами памяти. Они нередко выходят из строя, и чаще всего это связано с контроллером и другими радиоэлементами платы. Причины могут быть как внешние (бросок напряжения, перегрев, механическое воздействие), так и внутренние (повреждение служебных областей флеш-памяти). Основной метод восстановления в этом случае — вычитывание микросхем памяти на физическом уровне и сборка файловой системы.
Вариантов сборки насчитывается уже много тысяч, и не потеряться в них помогает «Система решений» — онлайновая база данных, которую ACE ведет по всем известным типам контроллеров и чипов памяти. В идеале, комплекс PC-3000 Flash сам связывается с базой, получает оттуда формализованный алгоритм для конкретного случая и применяет его к считанному дампу. Через несколько минут собранная файловая система готова к копированию данных.
Реальность, конечно, не так безоблачна. Готовых решений в базе пока маловато (около 1300), и не все из них приводят к успеху. Нередко приходится экспериментировать. Результаты по желанию отправляются в «Систему решений». В ней аккумулируется опыт и статистика сотен специалистов, и со временем автоматизированные режимы становятся все более продуктивными.

Интерактивная система решений PC-3000 Flash. Различные варианты сборки сгруппированы по маркам контроллеров

Из других проблем упомянем низкое качество современных флеш-чипов – при значительном износе ячеек данные с них считываются нестабильно. В новой версии PC-3000 Flash SSD Edition реализовано многократное вычитывание сомнительных мест, а также корректировка данных по ECC-кодам (незаменимо для бухгалтерских баз). В SSD все чаще стало встречаться шифрование данных, а также нестандартные файловые системы (ext4, HFS и др.). Разработчики активно продвигаются в этом направлении, хотя их тормозит нехватка подопытных «кроликов».

PC-3000 Portable — портативная ремонтная станция с несколько урезанным функционалом. Теперь можно носить целую «ремонтную мастерскую» в портфеле

Основа работы с жесткими дисками в технологическом режиме — доскональное знание их микропрограмм. А это совсем не приветствуют производители HDD, стремящиеся скрыть свои решения от конкурентов. Все, связанное с reverse engineering, балансирует на грани дозволенного. Этим, в частности, объясняется закрытость основных методических ресурсов по PC-3000 (документации, веб-форума, почтовой конференции). Ведь производители тоже ими интересуются, хотя бы для того, чтобы ликвидировать «дырки» в новых моделях.
Вот свежий пример. Многим памятен дефект прошивки дисков Seagate 7200.11, известный как «муха CC». После того как его решение разошлось по Интернету (суть сводилась к пересчету транслятора через терминал), последующие семейства уже были модифицированы с тем, чтобы затруднить подобное вмешательство.
«Спасателям» из ACE Lab, а их меньше 50 человек, много лет удается выдерживать темп, набранный ведущими производителями HDD и SSD. Учитывая, что все производители «там», а ACE Lab — здесь, порой приходится непросто, но ничего, справляются. Возможно, историки будущего напишут, что модернизация начиналась с малого…

Источник   http://www.3dnews.ru/

ГАРАНТИРОВАННОЕ УДАЛЕНИЕ ДАННЫХ ИЗ КОМПЬЮТЕРА

ЗАЧАСТУЮ ФИРМЫ ПРЕДЛАГАЮТ ГАРАНТИРОВАННОЕ УДАЛЕНИЕ ДАННЫХ ИЗ КОМПЬЮТЕРА. ДЕЙСТВИТЕЛЬНО ЛИ ЭТО МОЖНО СДЕЛАТЬ РАЗ И НАВСЕГДА.

В жизни многих из нас компьютер играет роль персонального помощника и личного поверенного во всех делах. Мы, не задумываясь, сохраняем информацию на различных носителях, будь то винчестер, флеш-карта, мобильный телефон или CD/DVD-диск. С бурным развитием Интернета популярным и легкодоступным местом для хранения личных и корпоративных данных стали разнообразные серверы в Сети. Используя эту возможность, мы не имеем четкого представления о том, где именно они расположены и можно ли будет в случае необходимости их уничтожить. Такой подход приводит к тому, что при замене жесткого диска (например, при обновлении компьютера), утере флешки или любого другого мобильного носителя эти сведения могут легко оказаться в чужих руках, создав множество проблем. А если это секрет, которым вы вовсе не намерены делиться? Как избежать подобных неприятностей? Ответ прост: нужно четко представлять себе, какие методы уничтожения данных в зависимости отместа их хранения возможны и насколько они эффективны.

Для начала определимся с терминологией. Носителем информации называют аппаратное устройство, позволяющее записывать ее, хранить и считывать (например, жесткий диск, CD/DVD-диск, флеш-память). Ресурсы для хранения данных – это один или несколько носителей, достурных для записи и считывания программно-техническими средствами (ЭВМ).

---

МНЕНИЕ
Так же давайте уточним, что «уничтожение данных» - это процесс, направленный на удаление информации с носителя без возможности последующего восстановления данных, не только документов целиком, но и некоторых отдельных персональных данных, таких как адреса электронной почты, телефоны, слова-«якоря» (пароль или пароли, ххх, доступ и др.), которые могут находиться на жестком диске вне файлов.

---

ВИДИТ ОКО, ДА ЗУБ НЕЙМЕТ

Поделим все существующие ресурсы на два типа: локальные (доступные) и сетевые (удаленные). Локальные ресурсы – это все носители информации, которые можно потрогать руками: жесткий диск, флешка, дискета. До сетевых ресурсов – различных серверов и других устройств, удаленных на расстояние от нескольких десятков метров (корпоративные серверы) до нескольких тысяч километров (интернет-серверы), - добраться можно только через каналы передачи данных.

Известно три метода уничтожения информации. Программный метод состоит из операций удаления и перезаписи с помощью компьютерных программ и не требует дополнительных аппаратных устройств. В этом случае фактически исчезают не сами данные, а информация о том, на каких участках носителя они записаны. Освободившиеся участки помечают как доступные для записи новых данных, но это не значит, что прежняя информация бесследно исчезла. Можно попытаться «замести следы», записав на место секретных сведений произвольные данные. Частный случай перезаписи – форматирование диска, когда он записывается одной и той же последовательностью данных. Справиться с этим может любой пользователь – нажал на кнопку Delete, и дело в шляпе. Ведь на ваш неискушенный взгляд секретного файла больше нет.

Обычное программное обеспечение, необходимое для уничтожения данных методом перезаписи, не входит в базовый комплект поставки пользовательских компьютеров, его приобретают отдельно. Применение программного метода может потребовать определенного времени – оно прямо пропорционально объему удаленной информации. Непременным условие его использования является прямой доступ к носителю. Преимущество метода состоит в возможности ликвидировать часть данных, а оставшуюся сохранить на том же носителе.

Аппаратный метод возможен при наличии некоего устройства, ответственного за операцию удаления информации, не затрагивающий сам носитель, чего не скажешь о третьем методе. Для его реализации, так же как и в предыдущем случае, требуется дополнительное устройство, но теперь все гораздо серьезнее – посредством механического, теплового или иного воздействия, например с помощью электромагнитного импульса, оно разрушает носитель информации. То есть, если вы подсунете блок компьютера под пресс и хорошенько деформируете диски, это и будет физический метод уничтожения данных.

Наиболее эффективны аппаратный и физический методы. При их использовании скорость удаления информации не зависит от ее объема. Недостаток заключается в том, что для применения «грубой силы» необходимо дополнительное оборудование, зачастую весьма недешевое. Кроме того, оно должно быть смонтировано и настроено в непосредственной близости от носителя. Выборочное уничтожение в этом случае невозможно – исчезнут все данные, как секретные, так и те, за которые вы не опасаетесь.

Программные методы достаточно эффективны до той поры, пока враги или конкуренты будут пытаться восстановить уничтоженную вами информацию только с помощью компьютера. Как только в руки вашего недоброжелателя попадут аппаратные средства, специально созданные для восстановления данных, ситуация выйдет из-под контроля. Да и как иначе, если «умные» программные методы всегда оставляют шанс частично восстановить ликвидированные с их помощью сведения.

ВНЕ ЗОНЫ ДОСТУПА


Рассмотрим возможность применения различных методов к различным ресурсам. И начнем с плохой новости. Если секретные сведения были сохранены на любом из сетевых ресурсов, то надеяться на их гарантирование уничтожение бессмысленно, поскольку это можно сделать только с помощью программного метода. Не станете же вы разыскивать сервер, вооружившись кувалдой. Что будет с информацией, которую вы попытаетесь удалить, спрогнозировать трудно. «Мертвые души» могут существовать на носителе информации сколь угодно долго – от одного мгновения до момента утилизации. Скажем больше: если данные хранились на сетевом ресурсе длительное время и администраторы этого ресурса создали резервные копии, то наверняка в них останется уничтоженная (по вашему мнению) информация.


Так что делаем себе зарубку: один раз записав данные на сетевой ресурс, гарантированно удалить их оттуда, сидя в своем кабинете, невозможно. Если вам позарез нужно ненадолго сохранить секретную информацию на сетевом носителе, не поленитесь предварительно закодировать свои секреты с помощью программы. Самый простой вариант – создать архив с достаточно сложным паролем. В этом случае, даже если ваши данные (после того как необходимость в их хранении отпала, и вы от них «избавились») попадут в руки конкурентов, сначала их придется декодировать, а это обычно задача ресурсоемкая и долговременная. А там, глядишь, либо осел сдохнет, либо падишах умрет – к тому времени, как закодированная информация будет дешифрована врагом, она потеряет актуальность.

ПОПАЛСЯ


Контролировать ресурсы локального типа гораздо проще. Здесь можно использовать любые методы и в любом сочетании. Выбор в большей степени зависит от того, на каком носителе хранятся данные. Сегодня наиболее популярны жесткие диски, CD/DVD, флеш-карты, магнитооптические диски и кассеты (для стримеров). По принципу хранения данных накопители можно разделить на три типа:

• Магнитные диски (жесткий диск, дискета);
• Оптические диски (CD/DVD);
• Энергонезависимое полупроводниковое ЗУ (флешка).

Для каждого из них существуют специальные устройства, позволяющие аппаратно уничтожить данные. При этом на удаление информации с одного носителя может уйти до 20 с.

Если вы предпочитаете грубые методы, для физического устранения информации, а заодно и носителей, можно использовать ряд устройств или подобрать одно. Различаться они будут лишь скоростью выполнения этой операции. Уничтожить жесткий диск можно за 3-5 мин., флеш-карту и CD/DVD-диск – чуть быстрее.

Но аппаратный и физический методы хороши только в том случае, когда главная задача – удалить информацию любой ценой в прямом смысле этого слова. То есть в цену будет включена, в том числе, и стоимость носителя, так как применение обоих методов делает невозможным его дальнейшее использование. Часто ли вам приходится решать проблему столь радикально? Вряд ли. Обычно мы предпочитаем стереть часть важной информации, не разрушая носитель, и продолжить работу. Для этого годится только программный метод. Он практически универсален, исключение составляет лишь те носители информации, которые можно использовать для записи только один раз – например, диски CD/CD-R/DVD-R. В этом случае применим только физический и аппаратный метод. Предположим, мы имеем дело не с «одноразовой» конструкцией, тогда достаточно установить специализированное программное обеспечение и указать, какие данные надо уничтожить. Время, которое для этого потребуется, зависит от ее объема. На каждые 10 Гб информации может уйти около часа.

САМ СЕБЯ ВЫСЕК


Теперь, пройдя короткий курс молодого бойца, проанализируйте классическую ситуацию. Предположим, на работе вы создали файл с конфиденциальной информацией, которую можно доверить лишь нескольким людям. Сохранили файл на сетевом диске и, поскольку работа не окончена, отослали его домой по электронной почте. Там скачали файл на домашний компьютер, не забыв потом удалить его из бесплатного почтового ящика. Поработав с ним еще немного, вы принесли его утром в другой офис (например, показать кому-то из подчиненных) на флешке. Принтер здесь тоже сетевой, и вы, воспользовавшись компьютером коллеги, спокойно отправили данный на печать. Поскольку вы их не сохраняли, а лишь распечатали, то никакими дополнительными программными и аппаратными средствами для уничтожения не пользовались.

Давайте подсчитаем, сколько копий файла могло остаться в результате, и куда именно они были записаны. Не будем усложнять себе жизнь, допуская, что конкуренты могли перехватить ваш e-mail. Вы и так дали им уйму возможностей похитить ваши секреты.

Первый этап – создание секретного файла на работе. Дело в том, что, пока вы работаете с документом и периодически сохраняете его, большинство используемых программ типа MS Word, Exel сначала создает на диске очередную обновленную копию вашего файла. Плюс ко всему программы, которыми мы обычно пользуемся, имеют включенную опцию автосохранения через каждые 20 мин. Что мы получаем? Во время создания файла на работе а вашем сетевом диске появилось несколько копий вашего секрета, при этом вы надеетесь, что более ранние копии ликвидированы программным методом с помощью операции «Удаление». Фактически уничтожены не сами файлы, а лишь ссылки на эту информацию. Значит, только за время первоначального создания файла на носителе, использованном для сохранения данных, уже могло остаться несколько копий конфиденциальной информации.

Второй этап – пересылка данных по электронной почте. В результате этой операции как минимум на одном носителе появились две копии: одна во время приема письма (она храниться до момента его записи в почтовый ящик), вторая – после того как оно доставлено. Письмо было скачано на домашний компьютер и удалено с сервера, но осталось на носителе, то есть появилась как минимум одна копия на диске домашнего ПК.

В этом смысле работа дома ничем не отличается от работы в офисе – каждый раз сохраняя конфиденциальные данные, вы снова и снова создаете копии на носителе информации. После сохранения финальной версии файла на флеш-карте все готово к ег печати в офисе. Там флеш-карту вставляют в чужой компьютер, и данные без редактирования отправляют на сетевой принтер. Казалось бы, нет никакой возможности оставить копию, однако файл сначала попадает на носитель информации в сервере печати, который распечатывает ее на принтере и удаляет, но только не на самом носителе. Что мы имеем в итоге? Практически любая операция может привести к созданию новых незамеченных копий на носителях информации.

Но так ли все плохо на самом деле? Скорее всего, поверх ваших данных будут записаны более свежие, правда, как быстро это произойдет – вопрос. Зная об этом, постарайтесь заранее подстелить соломку – не выпускайте информацию за пределы своего компьютера, не подключенного к сети, и вооружитесь специальной программой уничтожения данных.
Денис Галочкин
Издательство «ДЕЛОВОЙ МИР»

Восстановление данных из chk-файлов

Бывало встаешь с утра, включаешь компьютер, всё идет своим чередом… И вдруг запускается ScanDisk. Ждём, пока он закончит работу, загружаемся до конца и видим, что части важных файлов нет :( Если никаких новых папок на своих дисках мы не увидели, не отчаиваемся, идем в «Мой компьютер – Сервис – Свойства папки – Вид» и ищем и ставим галку напротив «Показывать скрытые папки и файлы». Да, для сохранения дополнительной защиты ОС, не забудьте после завершения всех манипуляций вернуть это свойство в исходное состояние. Затем снова смотрим на содержимое наших дисков и что же мы видим? Появились какие-то непонятные папки FOUND.000, FOUND.001 и т.д., а в них файлы file0001.chk, file0002.chk… Что случилось?
  Когда при некорректном выключении компьютера, сбое в работе файловой системы или по каким-то другим причинам Windows «думает» что могла нарушиться целостность файловой системы, она запускает ScanDisk. Эта программа отличается от софта для восстановления данных тем, что при обнаружении ошибок в файловой системе, просто исправляет их, а данные, которые не знает куда деть, рассовывает по chk-файлам. В процессе такой работы, уничтожаются «следы», которые могли бы быть использованы для прямого восстановления данных. Таким образом получается, что после того, как по разделу прошелся ScanDisk, вероятность успешного использования специального софта (восстановление данных программой R.saver, например) стремится к нулю, остаётся ковыряться в .chk-файлах, в надежде восстановить данные оттуда. Итак…

 Утилита ScanDisk имеет множество параметров: scandisk.exe [drive: [drive: ...]|/all] [/checkonly | /autofix [/nosave] | /custom] [/surface] [/mono] [/nosummary]

Собственно целью данной статьи не является изучение параметров ScanDisk, поэтому рассматривать их все я не буду, а лишь покажу в каком случае мы получим наши заветные chk-файлы и что с ними впоследствии делать. Команда с:\> scandisk.exe проверит целостность файловой системы на текущем диске с:\ и позволит исправить обнаруженные ошибки.

При указании параметра /autofix, обнаруженные ошибки исправляются автоматически без предварительного запроса на разрешение. Параметр /nosave разрешает утилите ScanDisk удалять информацию, расположенную в потерянных областях (кластерах) диска. Если параметр /nosave не указан, информация из потерянных областей сохраняется в корневых каталогах соответствующих дисков в файлах FILEnnnn.chk, где "nnnn" – порядковый номер файла. В итоге на диске появляются такие файлы, как file0001.chk, file0002.chk и т.д.

По-умолчанию Windows вызывает Scandisk с параметром /autofix, поэтому мы и получаем эти файлы, которые содержат информацию, расположенную в потерянных областях (кластерах) диска.

Думаю теперь понятно, почему появляются эти злосчастные chk-файлы. Будем разбираться, что же с ними делать. Как уже было сказано, chk-файлы содержат информацию, расположенную в потерянных областях диска. Говоря простым языком – частично там могут находится те данные, которые вы не обнаружили после загрузки. Как же выполнить восстановление данных? Как получить безвозвратно утерянную коллекцию фотографий игрушечных покемонов из папье-маше или годами собиравшуюся коллекцию «Блатного тайваньского шансона»? :)

Итак, у нас в наличии папки с файлами file0001.chk, file0002.chk и т.д. Для дальнейших действий нам пока понадобится лишь текстовый редактор и определенные знания. Начнем с определения. Сигнатура файла – это константа, некий постоянный набор символов, позволяющий однозначно идентифицировать, какого типа данные содержатся в данном файле. Опять же, изъясняясь проще – это фрагмент кода в файле, по которому однозначно можно понять, что это за файл, какой программой он создан и другую информацию.

К примеру, exe-файл всегда начинается с символов «MZ», Rar-архив имеет в своём коде «Rar!» и т.д. Понимаете к чему я клоню? Правильно, посмотрев файл и изучив его сигнатуру, можно понять, что это за файл. Опять же, невозможно запомнить все сигнатуры, потому что не все так просто, как кажется на первый взгляд (например сигнатура файла формата png выглядит так «0x89504E470D0A1A0A» и запомнить ее явно проблематично, если Вы не Джонни Мнемоник, конечно!). Правда сигнатура – не единственное средство.

Ручная сортировка

Перейдем теперь непосредственно к практике. Берем первый попавшийся chk-файл, открываем его через текстовый редактор и смотрим на его содержимое. Кроме как нечто вроде «сћэк%Э ‘Ґcrm­-Ъ7€‡P 9 NЮёЫѓЋ}y=3» на протяжении всего файла не часто увидишь, поэтому беглый осмотр нам редко когда чего даст. Первым делом пытаемся увидеть знакомые сигнатуры. Увидели что-то знакомое? Отлично! Закрываем редактор, заменяем расширение файла с chk на то, которое мы узнали и радуемся результату, прыгаем на месте, хлопаем в ладоши! :)

Если повезло, файл корректно откроется соответствующей программой. Но это самый простой и удачный случай. Теперь же вернемся чуть назад. Знакомую сигнатуру мы не нашли. Что же делать дальше? Дальше начинаем методично, вручную просматривать содержимое файла и пытаемся почерпнуть оттуда полезную информацию. Что я понимаю под полезной? Ну, например, если мы нашли куски текста, то большая вероятность, что это файл Word или Excel, если что-то вроде «KONICA MINOLTA DIGITAL CAMERA», то, очевидно, это ваши фотографии либо видео с того же фотоаппарата с расширением mov (наиболее распространенное на данный момент, хотя многие уже пишут напрямую в avi) ну и т.д.

Имея на руках данную информацию мы можем отсортировать все chk-файлы по известным нам типам. Так же, имеет смысл обращать внимание на объем chk-файлов. Если файл занимает порядка 680-740 мегабайт, то скорее всего это фильм и можно просто подобрать нужное расширение (avi, mpeg и т.д.). Я вижу уже улыбку, расплывающуюся у тебя на лице от удовольствия и ощущения, что ты легко вернешь все файлы, но, к сожалению, это не так. Очень часто chk-файлы могут содержать не все, а лишь часть данных исходного файла. Например, после смены расширения chk-файла мы получаем битый doc или кусок картинки. В этих случаях, для получения удовлетворительных результатов, может потребоваться использование специализированных программам, предназначенных для восстановления данных из повреждённых файлов конкретных типов.

Тематика использования такого софта достаточно обширна, и выходит за рамки этой статьи. Если потребуется, информацию о программах, выполняющих восстановления данных из битых файлов конкретного типа можно найти с помощью поисковых систем. Так же в .chk-файлах может быть просто «мусор», который тебе не нужен.

Автоматическая сортировка

Вот, в принципе, и всё, целый один chk-файл мы опознали и вернули на место. Но ведь это только один файл, а их может быть порядка тысячи и более… Что же, просматривать все файлы вручную? Правильно! Конечно же нет… :) Благодарим Михаила Маврицина, который написал, с моей точки зрения, наиболее толковую из бесплатных программ для автоматической сортировки .chk. Итак, приветствуем нашего помощника – CHKParser32.

После запуска программы перед нами предстает окно, показанное выше. Как можно видеть, функционально всё достаточно удобно, видно количество известных сигнатур, количество chk-файлов в сканируемой директории и, по окончании процесса, количество распознанных. Во время тестирования все файлы, которые я попытался «скормить» программе были успешно «проглочены» и распознаны. Программа работает очень быстро. Так же к плюсам можно отнести легкость расширения списка сигнатур. Для этого нужно лишь добавить строчку в ini-файл, идущий в комплекте с программой.

Я, например, при тестировании, в течении 5 минут изучил сигнатуры файлов типа mov и уже при следующем этапе тестирования программа легко их находила и распознавала. Если же хочется более подробно изучить работу программы, то милости прошу к её описанию. Как видно, потратив 2 минуты на работу с программой, мы экономим кучу времени, которое потратили бы на ручную сортировку. Однако не советую про нее забывать. Если все-таки программа не смогла распознать какие-то chk-файлы, рекомендую вручную их посмотреть, а не удалять, вдруг чего интересного разыщите! :)

Андрей Зельников, Восстановление данных R.LAB

Пятнадцать мифов о восстановлении и потере данных

Пятнадцать мифов о восстановлении и потере данных
Мы собрали небольшую коллекцию мифов об утере и восстановлении данных. Некоторые из них активно тиражируются на различных компьютерных и не очень форумах — поэтому, надеемся, эта статья будет полезна тем, кто ищет помощи, когда сломался диск или потеряны данные. Итак, пост о том, как не сделать трудную ситуацию ещё хуже.

 1. Ударостойкие корпуса для внешних дисков
Это маркетинговый ход — прорезиненные корпуса не спасают жесткий диск от повреждений после падения, например. Они, конечно, красиво и эффектно выглядят, и придают самому жесткому диску вид надёжности, внушающий уверенность в покупателя — от того-то их и покупают. Однако они совсем незначительно снижают перегрузку на детали диска во время удара или падения. Это может спасти при условии небольшой высоты (примерно до 50 см для 2,5 дюймовых винчестеров, до 20 см для дисков 3,5 дюйма) и для диска в выключенном состоянии. Во включенном состоянии диск почти всегда сломается, т.к. максимально допустимые перегрузки на работающий диск в 5-7 раз меньше, чем на отключенный. Нами проводился краш-тест двухтерабайтных дисков Samsung, Hitachi, WD, Seagate. Роняли включенными, начиная с высоты 5 см, потом десять, потом через каждые 10 см. Все диски, кроме Samsung, были сломаны после 15 см. “Самсунг” сломался на 40 см за счёт резиновых демпферов, стоящих между самим хардом и корпусом. Все диски были внешними 3,5-дюймовыми.

2. Если жесткий диск барахлит, постучите по нему во время загрузки, например, отверткой
Для достижения такого эффекта можете ещё диск слегка стукнуть об пол. Вот только это не будет “эффект починки”. В результате таких танцев с бубном мелкие частички того, что отколется внутри, поцарапают диск, и данные будет уже не восстановить. Особенно качественно можно уничтожить данные, если включить диск и после этого уронить его с высоты около метра (см. предыдущий пункт). На его поверхности образуются красивые запилы, после появления которых данные восстановить будет уже невозможно.

3. Внутри жесткого диска вакуум
— или, как говорят некоторые наши клиенты, «инертный газ». Поэтому если вы случайно вскроете жесткий диск, вас засосёт в него за счет того, что воздух из комнаты “всосёт” в вакуумное пространство жесткого диска. Хороший миф, жаль его развеивать: может, так удастся отговорить некоторых “умельцев” от того, чтобы делать свои данные “неподлежащими восстановлению” за счет разборки диска? Однако, на самом деле внутри диска – просто чистый обеспыленный воздух, чтобы ничто не попало в пространство между диском и головкой.

Лет 10-15 назад диски делали действительно полностью герметичными, их даже можно было залить водой, утопить, потом протереть плату электроники и пользоваться дальше — вода внутрь не попадала. На современных дисках всегда есть отверстия в корусе гермоблока или крышке с надписью «DO NOT COVER THIS HOLE», под ними находятся воздушные фильтры, задерживающие нежелательные частицы. Это изменение было внесено производителями из-за внедрения новых технологий производства, удешевления себестоимости производства и ряда других причин. Если такой диск окунуть в воду, она через фильтр попадет внутрь гермоблока.

4. «Чистую комнату» можно обеспечить дома и разобрать диск
Например, можно разбирать-собирать диск в ванной, если предварительно её чисто отмыть. Это одно из наших любимых заблуждений. Даже специалист с опытом вряд ли справится без удобного стола, стула, необходимых штативов, пинцетов, отверток и съёмников. А организовывать полноценное рабочее место дома в ванной со всем необходимым инструментарием пользователь не будет как минимум из экономических соображений, т.к. обычно диски пытаются ремонтировать самостоятельно именно чтобы сэкономить. Как мы уже говорили в предыдущем посте, диск собирают и разбирают в специальном обеспыленном пространстве, а специалист, работающий с диском, одет в специальную одежду. Хотя, если отмыть как следует ванну… Нет, всё-таки мы не советуем этого делать.

5. Если BIOS или ось не видят ваш жесткий диск, значит он сломан, и его надо разбирать
На самом деле, если на языке софта с диском не получается договориться, используется специально обученное железо, которое устанавливает “диалог” с проблемным диском. На этом уровне можно почистить бэды, заменить неработающее программное обеспечение самого диска, можно “снять” информацию с бэдов и перенести на другой носитель, и т.д.

Разбирать диск нужно только тогда, когда он физически неисправен.

6. Жесткий диск нужно нагреть/охладить, чтобы лучше работал
В жестком диске есть сервопривод, который позволяет более чётко настроить положение головки по отношению к диску, и есть поверхностный слой диска. Между головкой и диском должен сохраняться определенный зазор. Но иногда головка начинает сбоить. Малое знание — хуже незнания: кто-то додумался, что в результате естественного нагрева диска и всяких штук про расширение-сжатие материалов, это лечится охлаждением/нагреванием. В результате «замораживания» жёсткого диска, между его пластинами образуется конденсат. При первом же включении после такого охлаждения диск может быть бесповоротно повреждён. На фото в начале поста — пример того, во что превращается диск, когда его включаешь после часового пребывания в морозилке.

7. Данные восстанавливают специальной «машинкой для восстановления данных»
Истоки этого мифа — в человеческом воображении. Якобы неисправный хард запихивают в какую-то машинку, которая вроде как воздействует магнитами, и данные, которые «в беспорядке валялись на диске и поэтому не читались» снова выстраиваются в ровные «ряды». На самом деле используют либо софт, либо специальные устройства, либо “чистую комнату” (читай, разборку диска). Данные на физически неисправный диск обратно не восстанавливаются – для этого используется донор.

8. Специалисты восстановления данных не нужны, потому что есть бесплатные утилиты
Утилиты не помогут, если диск поврежден физически. Восстанавливать надо хотя бы в «здоровый» раздел, а лучше — на новый носитель.

9. Диск можно починить
Поменять его программу, а затем найти и спрятать бэды – можно. Но диск от этого не починится. Данные нужно восстанавливать на новый диск. Именно поэтому когда вы обращаетесь к специалистам по восстановлению данных, используется “донор” — рабочее устройство, на которое восстанавливаются данные. Если кто-то обещает починить умерший диск, он скорее всего делает то, что описано в этом абзаце: но ни новым, ни “починенным” диск от этого не делается и работать с ним в дальнейшем небезопасно для сохранности ваших данных. Если пробил его час, то он пробил.

10. Можно взять блин из поломанного диска, взять работающий диск, вынуть оттуда блин, поставить туда блин с данными, и всё считать
Чтобы это сработало, вам придётся угадать с собственной программой диска, серией диска — ну, в общем, взять такой же точно диск и на него поставить блин от такого же точно диска. Однако это не отменяет необходимости работы в специально подготовленном помещении, наличия оборудования (см. п. 4 про «чистую комнату»).

11. Профессиональное восстановление данных – дорого, цены начинаются от 25 000 рублей
Некоторые компании хотели бы, чтобы вы верили в этот миф. На самом деле цена складывается из различных факторов. Насколько сложно восстановить данные будет зависеть от того, что вы делали с диском после того, как он отказался работать. Выключите компьютер (чтобы у него не было соблазна самому “починить” диск), не используйте утилиты, не разбирайте диск — и возможно, данные можно будет восстановить не прибегая к помощи “чистой комнаты” — а это самый дорогостоящий вариант. Когда жесткий диск физически исправен, стоимость восстановления данных должна находиться в районе 1500 рублей. Диагностика должна проводиться бесплатно, и если, по какой-то причине, данные не удалось восстановить — вы не должны ничего платить.

12. Твердотельные накопители – неубиваемы
В твердотельном накопителе нет подвижных частей, как в жестком диске, и крутиться-ломаться в нём особо нечему. Однако это не означает, что ими можно играть в футбол — от краха они не застрахованы. Стремясь сделать их меньше по размеру и больше по объему, производители иногда забывают о том, чтобы сделать их ещё и надёжными. Кроме того, от обычного падения или утопления эти накопители защищены точно так же как и любой жесткий диск: только вашими собственными благоразумием и удачей. Кроме того, они дороже и обладают ограниченным количеством циклов перезаписи. К тому же SSD-накопители, выпущенные до 2009 года были зачастую медленнее HDD, особенно после долгого использования.

13. Если производитель заявляет, что диск может работать 500 000 часов, то его хватит на ближайшие 57 лет и он не будет ломаться
4% таких дисков ломаются в первый год. Дело в том, что время заявленное на упаковке — это предположительное время того, сколько теоретически должен работать диск этой модели. И там ни слова не сказано, что столько проработает именно ваш диск.

14. Чем дороже заплатишь, тем лучше тебе восстановят данные, поэтому выбирать надо самое дорогое восстановление
Данные нельзя восстановить “лучше” или “хуже”. Их можно восстановить или не восстановить. Для этого используется специальный софт, специальные устройства и, наконец, инструменты и “чистая комната”. Устройства для восстановления данных дорогостоящи сами по себе, но не различаются настолько, чтобы сильно влиять на разницу цен на услуги по восстановлению данных. Это всё пиар и маркетинг.

15. Восстановить данные после полной перезаписи можно по остаточной намагниченности
Этот миф родом из прошлого, когда компьютеры были большими, а харды маленькими. На жёстких дисках объёмом до 1МБ шла побайтовая запись, то есть, проще говоря, один кластер диска при записи был равен одному байту. В этом случае искать остаточную намагниченность и восстанавливать данные по ней имело смысл. Сейчас же, когда данные записываются посекторно, и в одном секторе 512 байт, а плотность записи десяток гигабайт на квадратный сантиметр — это уже невозможно.        

Восстановление файлов в Linux

Восстановление файлов в Linux

Неприятности случаются чаще, чем хотелось бы. Одной из них является удаление файла с важными данными. Причем в Unix, считается, что он отправляется в небытие. К сожалению, действительно, восстановление удаленных файлов в Unix не столь простая задача, как в Windows с ее привычной корзиной для удаленных файлов и многочисленными утилитами от сторонних поставщиков (к примеру, Norton Utilities). Это связано с особенностями архитектуры файловых систем Unix. ОС Linux более широко трактует понятие файла. Под файлом понимается любой объект, имеющий имя в файловой системе. Одним из таких объектов является каталог. В каталоге хранится как имя файла, так и дополнительная информация о файле - его размер, информация о владельце файла, местоположение на диске, дата создания, дата последней модификации, права доступа и много другое. Причем для эффективности, дополнительную информацию выносят в специальную структуру, а в каталоге оставляют только ссылку на эту структуру. При удалении файла эта дополнительная информация физически не удаляется с диска, а лишь отмечаются как свободные соответствующие блоки. Поэтому существует потенциальная возможность восстановления, удаленного файла, пока на место его расположения ничего не записывалось. Я попытаюсь предложить алгоритм действий при возникновении такой неприятности.
Прекращение дальнейшей работы.
Сразу после того, как вы осознали, что произошло нечто ужасное, прекратите дальнейшую работу на разделе диска с удаленным файлом. Естественно прекратить работу должны не только вы, но и все остальные пользователи, вошедшие в систему. Предпримите меры, чтоб больше никто не мог зайти в систему, пока вы будете заниматься восстановлением файла (например, с помощью /etc/nologin). Главное - не допустить перезапись ранее используемых удаленным файлом дисковых блоков другими процессами. Вероятность этого существенно возрастает, если раздел почти заполнен.
Сам себе некрофил.
Рассмотрим два варианта восстановления. Один достаточно универсальный, применим, скорее всего, в любой системе Unix. Второй - заточен под работу с файловой системой Ext2 Linux.
Восстановление файлов с известным содержимым
Будем считать, что удален файл из корневого раздела /etc/passwd и у вас нет проблем со свободным пространством на жестком диске.
* создаем копию корневого раздела и помещаем ее в файл из раздела /export. Этот раздел должен иметь достаточно свободного места, чтобы вместить в себя целиком раздел, на котором был удален файл.
# df -k//export
File system Kbytes used avail capacity Mounted on
/dev/dsk/c0t3d0s0 122070 19512 102558 16% /
/dev/dsk/c1t0d0s0 17592638 14425963 3166675 82% /export
# dd if=/dev/dsk/c0t3d0s0 of=/export/recover.dsk
263077+0 records in
263077+0 records out
# ls -l
-rw-r-r-- 1 root other 134701056 Jul 1 16:54 recover.dsk
* запускаем команду cat с ключом -n (вывод номеров строк), вывод которой перенаправляем утилите fgrep, которая, осуществив поиск по заданному шаблону, отсечет все лишнее
# cat -n recover.dsk | fgrep "root:x:0:1"
200601 root:x:0:1:Super-User:/:/sbin/sh
202108 root:x:0:1:Super-User:/:/sbin/sh
строки могут быть и не найдены как в случае ошибки при задании шаблона, так и при потери содержимого удаленного файла, который мог быть переписан. В нашем случае, как видим, сохранилось две версии файла.
* выведем некоторое количество строк после найденной
# fgrep -A10 "root:x:0:1" recover.dsk > passwd
# cat passwd
root:x:0:1:Super-User:/:/sbin/sh
daemon:x:1:1::/:
bin:x:2:2::/usr/bin:
...
ключи -A<число строк> и -B<число строк> утилиты fgrep позволяют выводить несколько строк, расположенных после (after) и до (before) найденной по шаблону строки. Если вы сможете получить весь свой файл за один шаг - то вам крупно повезло. Но, к сожалению, файлы обычно фрагментированы, и чем больше размер файла, тем выше вероятность фрагментации и больше самих фрагментов. Поэтому, скорее всего, придется повторять описанную процедуру, используя различные шаблоны и объединяя полученные части. Сложно бывает понять, какая из версий файла, сохранившихся на диске, последняя. Это определяется, только просмотром содержимого восстановленного файла. А значит, вам придется восстанавливать все версии файла. Довольно нудно, но эффективно.
Восстановление файлов в Linux Ext2
Этот метод применяется в случае удаления командой rm или функцией unlink и не требует при восстановлении знания содержимого удаленного файла. Для работы нам потребуется отладчик файловой системы debugfs довольно мощная утилита, применяемая обычно для проверки и изменения файловой системы и предоставляющая непосредственный доступ к файловой системе. Нам потребуются три ее команды:

• lsdel - вывод всех удаленных индексных дескрипторов в данной файловой системе
• cat - просмотр содержимого, соответствующего дескриптору
• dump - восстановление файла

Запускаем debugfs в требуемом разделе:
# debugfs /dev/hda8
debugfs 1.19,13-Jul-2000 for EXT2FS 0.5b, 95/08/09
debugfs:
На приглашение вводим команду lsdel(чашка кофе не помешает, поскольку системе потребуется время на просмотр всего раздела):
debugfs: lsdel
Inode Owner Mode Size Blocks Time deleted
723300 1000 100664 27018 2/ 7 Mon May 20 19:08:17 2002
723301 1000 100444 1671 1/ 7 Tue May 20 19:08:17 2002
. . . . . . . . . . . . . . . . . . . . . . . . . . . .
944887 1037 100600 597 1/ 1 Sun Jan 26 20:05:00 2003
717281 1000 100400 1 1/ 1 Sun Jan 26 20:05:13 2003
327101 1000 100644 15 1/ 1 Sun Jan 26 20:07:06 2003
Лучше сразу перенаправить вывод в файл, введя команду:
#echo lsdel | debugfs /dev/hda6 > /tmp/lsdel-output
Если с момента удаления не было операций с разделом, то интересующие нас данные будут в конце списка. Посмотрим содержимое, соответствующее последнему дескриптору, набрав команду:
debugfs: cat <327101>
my_very_important_data
Удаленный файл найден, он содержал единственную строку. Команда dump восстанавливает файл, записывая его на диск под именем my_recovered_file:
debugfs: dump -p <327101> /tmp/my_recovered_file
ключ -p указывает на то, что у файла должны остаться прежними владелец, группа и права доступа.
Восстановление группы файлов в Linux Ext2
Для восстановления группы файлов, целесообразно воспользоваться утилитой Тома Пайка recover. Установка стандартна:
# tar zxf recover-1.3.tar.gz
# cd recover-1.3
# make
# make install
По умолчанию утилита устанавливается в систему каталогов с корнем /usr. Если надо установить в другое место - читайте ReadMe. Во время работы recover задав несколько простых вопросов, типа: кто является владельцем файлов, когда эти файлы были удалены, каков приблизительный размер этих файлов, запускает debugfs, и восстанавливает соответствующие заданному критерию индексные дескрипторы, помещая их в каталог, указанный пользователем. К сожалению, имена файлов не подлежат восстановлению. Восстановленные файлы получают имена, состоящие из префикса dump и последующего номера индексного дескриптора.
А что же мы восстановили?
Для идентификации восстановленных файлов используем две утилиты strings и file. Первая отображает последовательность символов ASCII, извлекая ее из указанного файла, вторая - выясняет тип файла (например, является ли он архивом или, скажем, файлом PostScript).
Запускаем утилиту file:
# file *
dump39788: directory
dump98008: PGP armored text signed message
dump80154: gzip compressed data, deflated, last modified: Sun Jan 28 03:31:21 2001, os: Unix
dump73290: ASCII text
dump67095: ?diff? output text
dump72945: JPEG file
dump9773: MPEG 1.0 layer 3 audio stream data, 128 kBit/s
dump8176: ASCII C program text
dump58764: Bourne shell script text executable
dump3223: troff or preprocessor input text
Можно несколько автоматизировать процесс, используя простейшие сценарии наподобие следующего, добавляющего расширение к текстовым файлам программ на языке С:
# for i in ?file * | grep ? ASCII C program text? | \awk -F: ?{print $1}??;
do mv $i $i.c; done
После определения типа файлов попытаемся идентифицировать каждый файл. Для тех, что содержат текст, код на С, звук или изображение можно открыть соответствующими программами и попытаться угадать первоначальное имя. Двоичные файлы, например исполняемые файлы, библиотеки или файлы баз данных, идентифицировать гораздо труднее. И если исполняемые файлы или библиотеки проще не идентифицировать, а просто переустановить недостающие, то с базами данных придется повозиться. В этом случае придется применить утилиту strings, выведя на экран все текстовые строки ASCII, содержащиеся в файле.
# strings dump44768

По выводу можно догадаться, что данный файл является базой данных и открыть его соответствующей программой.
Заключение
Помните, ничто не заменяет регулярного резервирования. А применение методов, рассмотренных в статье, должно быть скорее исключением, чем правилом. Поверьте, ведь немного удовольствия от спуска в бездну небытия.
Источник www.xakep.ru

Восстановление удаленных файлов

Восстановление удаленных файлов

Это задача, с которой сталкиваются почти все пользователи жестких дисков, raid массивов, флешек и карт памяти.
Причины
Необходимость восстановления удаленных файлов появляется при случайном или преднамеренном удалении файлов, выполненной команде «очистить корзину», удалении инфицированных файлов антивирусом, сбое программного обеспечения.
В большинстве случаев файлы удаляются по вине самого пользователя, так называемый человеческий фактор. Естественно, осознав, что данные утеряны – пользователи начинают искать утилиты для восстановления удаленных данных, бродят по просторам интернета, находят первую попавшуюся программу, скачивают ее и устанавливают. Запускают, сканируют жесткий диск и сохраняют результаты поиска. Начинают проверять и оказывается, что все файлы битые и не открываются! И снова ищут другую программу, пробуют, так и не поняв, почему данные не восстанавливаются.
Критическими ошибками при попытках самостоятельного восстановления являются:

• продолжение работы с носителем, с которого требуется восстановить удаленные файлы;
• работа в интернете (если данные удалены с системного диска);
• бездумное скачивание и установка программ;
• сохранение результатов сканирования на диск или флешку, с которых были удалены файлы.

Помните любая перезапись ведет к безвозвратной потере информации!
Для успешного восстановления удаленных файлов мы рекомендуем сразу отключить компьютер, вынуть диск и подключить его вторым к другому компьютеру, чтобы исключить перезапись данных. И только после этого можно искать и пробовать разные программы. Чтобы обезопасить себя на 100%, необходимо сделать посекторную копию диска или флешки в файл (проверить успешное снятие образа можно в hex редакторе, кол-во секторов и объем образа должны совпадать с диском).
Методы
Существует два метода восстановления удаленных файлов:

• с сохранением структуры, каталогов, имен, атрибутов файла (дата создания, изменения).
• без имен, с сортировкой по типу файлов, с датой создания временем сохранения результатов сканирования.

Как правило, оба метода можно выбрать в настройках большинства программ.
Первый метод является наиболее привлекательным, так как пользователь возвращает себе данные в нормальном, привычном состоянии. Основой успешного восстановления удаленных файлов будет возможность восстановления целостности структуры данных на основе цепочек, таблиц, журналов и записей файловых систем.
Помните, что при удалении данных – большинство файловых систем помечают их как удаленные, а занимаемое файлами место свободным, т.е. происходит удаление не самих файлов, а только записей файловой системы о них (именно поэтому дальнейшая работа с носителем приводит к уничтожению данных, свободное место занимается другими файлами).
Результат сканирования в данном случае зависит от заложенного в программу алгоритма поиска записей файловых систем, поддержки конкретной файловой системы и ни в коем случае не зависит об базы сигнатур (заголовков файлов). Например, разные версии R-studio с разным успехом восстанавливают структуры NTFS, и часто бывает, что старая версия 2 летней давности выдает результат гораздо лучше самой свежей.
Есть программы для работы только с одной файловой системой: Get Data Back for FAT, Get Data Back for NTFS. В той же R-studio можно просто поставить галочку в настройках «показывать удаленные» и открыть диск, и вы увидите свои удаленные файлы, если да, отмечайте и сохраняйте!
Приступая к самостоятельному восстановлению файлов, потребуется:
А) второй компьютер для подключения носителя с удаленными файлами.
Б) свободное место для установки программ, записи образа, сохранения результатов сканирования – это как правило объем, в 3-5 раз превышающий емкость диска/флешки пациента.
В) свободное время – клон диска 500Gb занимает примерно 2-3 часа, флешки 8Gb – 15 минут, сканирование и сохранение результата примерно еще 2 раза по столько же.
Г) различные версии программ с ключами; бесплатные обычно низкого качества, а платные в демо режиме не дают сохранять найденные файлы объемом больше 64Кб.
Д) время на проверку целостности восстановленных данных, путем ручного запуска в соответствующих приложениях.
Второй способ восстановления удаленных файлов – поиск по заголовкам (сигнатурам) или восстановление в RAW формате. Этот метод поиска применяется при проблемах с файловой системой, если первый способ не дал результатов, при большом количестве перезаписанных данных.
Успех восстановления зависит от базы сигнатур в сканирующей программе. Например, старые программы знают расширение файлов Microsoft Office 2003 (doc, xls), фотографий формата JPG, JPEG, но не знают заголовков файлов MS Office 2007 (docx, xlsx), фото в формате CR2, NEFF, видео MTS и других. Если Вы столкнулись с неактуальностью баз заголовков, в некоторых программах их можно добавить самому, взяв за образец несколько рабочих файлов того же расширения, сравнить заголовки в hex редакторе, и добавить в программу.
Основным минусом данного метода можно считать потерю названий и атрибутов, как следствие, придется искать нужный файл, открывая все найденные программой такого же расширения. Восстановление удаленных файлов по сигнатуре не применимо к восстановлению баз 1С, SQL и других баз данных, т.к. сохранение путей к файлам обязательное условие для их запуска.
В заключение хочется еще раз напомнить, что если вы удалили или потеряли свои файлы, необходимо исключить запись данных на носитель, с которого файлы были удалены.