資安論壇

OSSLab 團隊 是由alang,thx,sunchiahome ,oreo等人組成團隊

團隊中有 是企業級儲存 (EMC ,NetAPP,Falconstor)企業級 Storage 設備代工廠FAE 跟RD.
多年 Linux,Windows ,VMware ,Citrix ,Hyper V 虛擬化講師, ,單顆硬碟 FAE .Embedded system ,通訊系統工程師
有興趣人可以多到我們網站參考文章..99%都是由我們團隊編寫原創文章

從企業化儲存架構,應用,(光纖,iscsi,sas ) Design Server
到單硬碟的救援.在我們努力下對於儲存媒體有更深入透徹瞭解..

這篇專文慢慢連載真正Hardcore 資料救援的資料救援原理 設備.指令 等....
並盡量整理層次架構,非東沾西沾 引用他人未確定資料.

對硬碟做資料救援,第一步是先要看懂ATA訊號
觀看ATA 訊號正常否可用
可下載免費 Victoria
http://www.osslab.org.tw/Storage/Data_R ... e/Victoria


ATA 訊號

BIT7: BSY (busy)
BIT6: DRDY (device ready)
BIT5: DF (Device Fault)
BIT4: DSC 或DRSC (seek complete)
BIT3: DRQ (Data Transfer Requested)
BIT2: CORR (data corrected)
BIT1: IDX (index mark)
BIT0: ERR (error)


上面為正確硬碟ATA訊號回應

一般故障硬碟會有下面幾種可能

1. 完全無ATA 訊號反應 電機沒轉
2. 完全無ATA 訊號反應 電機有轉
3. 有 ATA 反應 ,BSY 不就緒狀況 電機沒轉
4. 有 ATA 反應 ,BSY 不就緒狀況 電機有轉
5.ATA 待命正常如上圖 ,但容量 型號 其中之一錯誤 電機有轉.(Bios 會出現錯誤)
6.ATA 待命正常如上圖 ,但容量錯誤 電機有轉.
7.ATA 待命正常如上圖 ,容量 型號 都正確 電機有轉. 但無法正常運作

以上每種故障狀況各有千奇百怪種理由..因為有可能硬碟軟硬體層面出問題.而碟片與磁頭偏偏又很脆弱

1.硬體PCB ,HDA 問題

HDA (Head Disk Assembly) 稱之為磁頭磁片總成或盤體
碟片 (Platter)、磁頭(Head) 、磁頭臂(Acutaor) 、主軸馬達(Spinde motor)、前置訊號,放大器( Preamp) ,音圈馬達 VCM ) 其中之一壞
修理HDA 必需在無塵室..

2.PCB 上 電路損壞或 Flash memory (NV-RAM ,ROM ) 固件遺失.

硬碟啟動原理就像一台電腦主機一樣. Hitachi HDD 為例 .
Mask ROM code 起動-->NV-RAM 放起始SA 啟動區位置,啟動後還要Loading 在磁片上 Service area "硬碟應用程式"之後......
整顆硬碟才ATA 待命正常...硬碟抓的到正確型號跟容量 所以載入碟片上module 起動失敗 部份狀況會bios認不到硬碟或報錯

要是這塊失敗 有二個處理方式 1.電路版熱交換法 2.虛擬LDR載入法..
電路版熱交換方法很簡單,讓一塊已經"開好機"讀取好硬碟module 的PCB 停掉電機,再移去別顆 HDA上處理強制Scan data區.

HDA內問題 最多是磁頭讀取不良 若碟片資訊還良好.此時就要更換磁頭

但是正確說法是更換磁頭臂組(HSA)

磁頭是由晶圓刻成.Slider，因為空氣動力學特性，能夠在盤片轉動帶來的空氣墊上滑行並穩定在一個高度範圍內 (離碟片高度約為 1 micro mm)

Slider便被固定在磁頭臂前端的懸架上，後面引出相應的電路，即所謂的HGA（Head Gimbal Assembly，磁頭懸架組件）。由於同一張盤片上下兩面的HGA方向相對，所以便有A、B兩種類型的HGA

幾個HGA（一張盤片需要1或2個）堆疊在一起，再加上前置放大器（preamplifier），+VCM 線圈就形成HSA（Head Stack Assembly，磁頭臂組件）。



更換磁頭就是更換磁頭臂組 (HSA)
以下為HSA 更換影片

http://www.youtube.com/watch?v=0QdwWI5gpFc

更換HSA 後 某大公司在其他網站說要用 SERVO TRACK WRITING去定位.Head 再組裝實際上直接更換上就可. 只要碟片無嚴重損毀,Servo area and 固件區正常.HSA 自動會尋道.正常定位就續.更換環境 基本上至少要用低塵工作台.就可以進行拆卸.並且該做防靜電處理

其實近1x年硬碟已不用 SERVO TRACK WRITING Tool.因為Servo Tool 昂貴佔用時間又長.整體流程會卡死
所以Maxtor 研發了embedded servo(自校驗)

待續...............................

更多圖文 與本文最終修訂

http://www.osslab.org.tw/Storage/HDA
http://www.osslab.org.tw/Storage/Da...ery/Example/ATA
(圖與影片原出處 為張慶彬與ACSDATA)

_________________
OSSLab 實驗室 http://www.osslab.com.tw/
Opensources,虛擬化,Voip,逆向工程,Data recovery,Storage ,Embedded system ,通訊系統

期待續集

_________________
天道循環，生死不昧，真空妙有，還於本然
諦聽我們的靈魂之聲，所有飄零的靈魂，此世虛幻，此生一夢，生者必死
勢不可去盡，話不可說盡，福不可享盡，規矩不可行盡，凡事太盡，緣分勢必早盡
貼圖空間
viewtopic.php?t=8816

本文修訂以這為主.
http://www.osslab.org.tw/Storage/Data_Recovery/Hardware

更換後HSA 硬碟,加上碟片上應該有壞軌, 其實已經都不太能工作太完美與正常..
這時需要始用強拷機將資料copy出來..否則用一般ATA 介面讀取大量壞軌硬碟

ATA ecc 機制,會反複嘗試讀出壞扇區.
而無法繼續進行下去


要用強拷機
1.PC3000+DE

2.DeepSpar Disk Imager
http://www.osslab.org.tw/Storage/Data_R ... isk_Imager

3.Xlysoft Data copy King
http://www.xlysoft.net/Data-Copy-King.html

所以一間完整 Data recovery 公司 必需具備設備 為
1.無塵工作環境 2. 3. 4....(消音中..演講再講 免的被K)


那維修工具怎樣訪問硬碟跟處理硬碟問題

1.ATA or SCSI Command
所有ATA (SATA)硬碟維修設備都以ATA command做為跟硬碟embedded system 基本通訊介面.
因此若使用此模式,硬碟必定需為ATA 訊號可就緒正確運作狀況.
在非PCB硬體損壞下,硬碟都有安全模式等狀況可以進入正常ATA通訊狀況.
同為ATA 通訊介面.一般ATA 介面都可發出此指令.因此部份硬碟廠廠級維修軟體為純軟體配上一般電腦就可.
效率源用USB to ATA Bridge , PC3000 則用 PCI to ATA Controller

2.UART
類似手機這類embedded system ,部份硬碟帶有 UART port. Serial RXD、TXD、GND 訊號腳位.訊號類似Nokia MBUS.所以Ca-42 這條線通用. 如須跟用電腦RS-232做通訊必需做電位轉換.在終端機下指令.

目前只有Seagate 全系列,部份三星2.5 ,富士通,Toshiba1.8 才有UART .7200.11 通病跟解ATA password 都可以
目前只有Seagate 指令有被各方Hacker公開.

如果你指令熟使用UART介面維修成本最低 ,一條 NT 300 Nokia CA-42線就可以.

3.電源控制
切換硬碟運作模式 ,若不想手動斷電時.能用軟體切換電源是最方便的.


選擇那套硬體維修設備關鍵在於

1.支持硬碟多寡
2.功能性
3.固件庫普遍與交換性
4.易用性
5.客服支持

除了Pc3000,xlysoft 外還有 Atola Insight

亞洲區應該沒有幾台..

這是MHDD 原作者 Dmitry Postrigan做的 像這種就更傻瓜化.不過目前功能不滿意

其實我覺得 Pc3000這種UI與思考設計問題 是很糟的..若沒有人教.恐怕摸了個幾年還是不知其所然..

未來維修工具該能全手動化跟傻瓜化並存
而且應該

1.增加PCB 電源與數位訊號檢查點 這樣可以快速判定是否電機或是pcb 上損壞. 加快維修簡易度 ..
2.自動上網更新共享固件庫功能( 雖然原廠可能臉色會非常臭)
3.自動判定可能固障狀況,給與一鍵修複..


待續

_________________
OSSLab 實驗室 http://www.osslab.com.tw/
Opensources,虛擬化,Voip,逆向工程,Data recovery,Storage ,Embedded system ,通訊系統

有人問我某大公司 DTR 3000 Discrete Track Recording Test System真正的用處及對於Data Recovery的功效如何 跟 讀碟機是否存在

這問題不錯. 先回一下
Actionfront 在2004 年有篇文章
Recovering Unrecoverable Data - The Need for Drive-Independant Data Recovery
"恢復不能恢復數據,獨立恢復法"
原文

http://www.actionfront.com/whitepaper/D ... 14Alrs.pdf



當今的硬盤架構都是Winchester 物理性架構
碟片,機電馬達,磁頭臂組 所組成

傳統的數據恢復 當磁頭臂組(HSA)壞掉或主軸馬達(Spinde motor)故障時 必需更換一樣的磁頭臂組或主軸馬達(Spinde motor)

會有下面問題
1.準備所有HSA ,motor,pcb 會是一樣成本
2.現在硬碟種類太多, 假設找不到一樣的HSA ,motor,pcb 怎辦?

如何做成萬用"讀碟機"
怎樣不依賴原HSA ,motor,pcb 把碟片上資料還原?
就好像換黑膠唱片一樣..把碟片放在馬達上轉轉轉..磁頭讀讀資料

可能有人會說.以當今微機電伺服控制 找到模擬一樣的Servo方法不難,成本也不高..
但是磁電轉換通道訊號 (Channel)技術 則是非常難挑戰的一個關鍵..

1.整個硬盤是個複雜的通訊系統.
磁盤到磁頭間已經是標準噪音環境 因此經過如下編碼



請注意看 磁片上的DATA 是Encode,跟原資料DATA已不同
Encode 已完全屬於 PCB上Soc, Preamp,Head 三者搭配轉換訊號+servo . 雖然少數舊款可以用Matlab 來模擬還原其訊號

但是在新款硬碟曾出不窮,GMR 磁頭的應用,磁密度拉高.
難度大大提高了....

所以就現實而言

我個人認為民間不太存在"萬用讀盤機"存在或有高度可實用性

那怎樣才是"目前"最佳 HDA 恢復技術 的公司?

老方法. 一樣採用原架構受損料替代法

1.備齊基本完整磁頭組庫
一個優秀的數據還原公司 基本上應該有一套
HSA 資料庫...在常見硬碟狀況下
不該叫user 準備一模一樣的硬碟

2.工廠的HSA 組裝機


HSA 目前都是以人工方面做組裝.基本上若有Servo 組裝定位技術 大大降低裝上HSA 損壞硬盤 風險
可惜的是我無緣見到全球那家救援公司有這台設備
至於第一項 全台灣只有三家做的像樣

L公司所說的工具.Discrete Track Recording Test System 是用於burn in .一般硬碟如果更換了HSA或機電馬達,已經很脆弱 該在最短時間把資料 Extract 出來..
再burn in 是死路...

這篇比較沒談 embedded servo 有空會講
我不是故意對L公司有意見, 只是網站上確實有不少錯誤資訊
與其花這樣多時間去blog 廣告或帶mis看無塵室,為何不考慮給消費者正確的資訊?

_________________
OSSLab 實驗室 http://www.osslab.com.tw/
Opensources,虛擬化,Voip,逆向工程,Data recovery,Storage ,Embedded system ,通訊系統

修訂以這為主
http://wiki.osslab.org.tw/Storage/Data_Recovery/Example/Seagate_safe_mode/Terminal_mode

本文引用部份xlysoft 圖文 簡單說明Seagate 終端指令
http://blog.sina.com.cn/s/blog_60c6d8680100duwi.html


類似手機這類embedded system ,部份硬碟帶有 UART port. Serial RXD、TXD、GND 訊號腳位.訊號類似Nokia MBUS.
如須跟用電腦RS-232做通訊必需做電位轉換.電路如上 .連接tx,rx gnd 連接 seagatea ide hdd jumper位置
sata 則是另外跟線
如果用usb 轉線一般band rate 38400 bps
rs-232 轉線 9600 bps


連接成後終端機下指令.




ALPINE 表示的就是硬盤的所屬類型，S.15為電路板的型號，這與前面在裝入界面中看到的信息是一致的。01-16-03 11：51表示電路板的出廠日期，Head Mask 0000 — Switch to full int表示硬盤的磁頭已經復位，3.04表示的為固件的版本號，Master表示硬盤為主盤模式，並且已經「就緒」，等待其他指令輸入。


下面介紹 一些常見指令。點中指令模式的界面，再按組合鍵「CTRL+Z」可進入T級指令模式。（Restart the Diagnostic Monitor. 重新開始診斷監控）

點 擊「.」和「；」可以查看硬盤的當前狀態，下面來分別說明





執行「。」指令會看到類似「T>Pgm=00 Trk=06991(06991).0(0).272(19F) Zn=3 Err=00 ErCt=0000 Hlth=0000 CHlth=0000 Ready LBA=007FFF2D」的提示。
其中「Trk=06991(06991).0（0）.272（19F）」代表當前選定的邏輯柱面 (物理柱面)、磁頭和扇區數量，如06691為當前柱面，0為當前使用磁頭，272為當前磁頭所在扇區，這裡的扇區通常是所讀/寫的最後一個扇區之後的扇 區。這個提示說明磁頭0已被選中；而「Pgm=00」則代表了正在活動的程序，其中00 代表診斷監控。




執行「；」指令，會顯示如下信息，如圖：

「Age=50」表示當前硬盤的運行級別為50。「Type=20」表示當前硬盤使用的代碼程序為20，「MxCyl=16358」表示硬盤的最大柱面數 為16358，「MxHd=0」表示當前硬盤的最大磁頭數1。MxHd=1表示硬盤的最大磁頭數為2，MxHd=2表示磁頭數為3，依次類推。


Seagata 終端指令 還有其他9 級 /1 ~9 可切換到不同級指令
遇到故障問題配合邏輯判斷及良好設備才能有效解決Storage 各種問題

_________________
OSSLab 實驗室 http://www.osslab.com.tw/
Opensources,虛擬化,Voip,逆向工程,Data recovery,Storage ,Embedded system ,通訊系統

這邊講解一下 7200.11 原廠firmware問題維修法.盡量講解原理
免的大家都在打魔術數字...　請回讀一下前篇Seagate 終端指令原理

硬碟內部採用 C磁柱 H 磁頭 S扇區定義 .但對外呼叫採用LBA定位
就算剛出廠,硬碟不可能完整無壞軌.
硬碟正確讀寫資料面是會避開記錄缺限表(Glist and Plist) 去讀取 CHS ,再對外做譯碼表轉換為LBA 定位
看起來連貫的 LBA位置,實質上,如果有壞Sector,可能會大跳躍到別位置.

因為固件設計問題,Seagate 　7200.11 硬碟譯碼表會造成損毀　因此會造成硬碟顯示容量為0

簡單概念就是讓硬碟再從建譯碼表則可將資料救回.

固件有問題症狀:
1.抓的到型號 序號, LBA值 為0 ATA訊號正常 。
2..抓不到型號 序號, LBA值 , ATA 訊會為忙
在終端時會顯示

Rst 0x10M
LED:000000CC FAddr:0025BF67
Ctrl + Z
F3 T>
LED:000000CC FAddr:0025BF67
your drive is bussy!

二種修法有點不同
如為第一種直接跳到 第二步.　第二種故障請從第一步開始

1.拆下電路版 進安全模式
理論上該進F級,不過7200.11 還是進入T級
拆下原因是因為避免PCB去讀取 碟片上故障固件區

一進去終端記得按下Ctrl-Z

T級指令
進入2 級 按Z 停止主軸馬達

F3 T>/2
F3 2>Z
此時主軸馬達已停

將PCB組回HDA上

F3 2>U
主軸馬達已轉

2.F3 2>/1
F3 1>N1

清理Smart ,硬碟電源從插

3.在終端機下繼續輸入
F3 T>i4,1,22
清理G list ,完畢後硬碟電源從插


4.F3 T>m0,2,2,0,0,0,0,22 Enter
下達從建譯碼表指令

等待1x分鐘

從新插電

修復完畢


其實有些理論該補充一下.. 晚點再做整合

_________________
OSSLab 實驗室 http://www.osslab.com.tw/
Opensources,虛擬化,Voip,逆向工程,Data recovery,Storage ,Embedded system ,通訊系統

http://www.osslab.org.tw/Storage/Data_R ... d_Recovery

看本篇進階前請先把上面link看完跟想完

假設傻瓜Raid 分析程式出了問題

最近手癢寫了一點小program .
這篇就不要轉載了. 市面上書上其實也沒講某些概念
我們Lab做法目前也沒人公開.

準備東西Winhex
假設四顆硬碟 都在.只是Raid message掉失.
1.定位第一棵硬碟
MBR 為不錯定位方法 搜索55AA

2.P = A Xor B Xor C 反導 C = A Xor B Xor P (所以不能用這個去推那個為校驗塊)

基本上先以第一扇區. 隨便各找一個 同位置 Hex 玩玩

假設 為 BA,7E,00,C4

嗯 各位可能已忘了大學電概課 Xor算法.
沒關係 請拿出小算盤 切到程式設計師模式 再切到16進位

BA Xor 7E Xor 00= 換算出來為C4 表示此位置 資料正確
如果原硬碟都在 那是前端Sector 有毀,ECC校驗 有問題
各位可以用這方法去算算

只是 Raid 是一種交錯格式 所以前面壞了
後面不一定壞 各位可以先手算幾下. 確定好扇區比較沒問題後 再從此扇區做運算


3.簡單推斷Strip Size

分別以 64,128,256 Sectors 去觀察 1 Sectors =512 bytes , 1Kbytes=1024 bytes

如果 1~ 128 扇區看起來還像校驗塊 129扇區卻不是了 感覺是資料

(一般來講是比對其他硬碟同樣位置資料區 看資料連續性)

那此Raid Strip Size 就是64 *512 byte/1024= 32K

如果是少顆 4 pcs ..我確實就這樣Winhex瞄瞄就ok

但是如果是 6 pcs 以上. 我大腦吃不下hex 跟ascii code.
確實要有點補助工具

小弟寫的程式 只做啥?..很簡單

如果硬碟順序已不在 以文件 分區表 分析法
分算出順序.整出校驗碟 左循環 右循環 校驗塊大小

基本上不是程式笨的問題 (好吧 人笨.我拿VC 花幾小時亂寫好)
有時確實會算反左循環或右循環
不過關鍵排列"校驗塊" 跟"大小"幾乎都正確 傻瓜軟體就是少了 校驗塊排列法...
所以沒有邏輯思考. 是無法正確還原Raid.


切為人為判定
定義
校驗碟必為 第一或最後

比對第一顆資料硬碟 .後續其他顆校驗塊.

當看到正確校驗排列
此時正確的Raid 架構就出來了....

硬碟順序

架構
左循環同步 backward parity
左循環異步 backward dynamic
右循環同步 forward partity
右循環異步 forward dynamic

組錯Raid .小於Strip strip Size 內檔案會被掃出來
基本上就像你拿RStudio掃單顆Raid成員硬碟一樣..


其實我覺得電概課應該教Raid Recovery

如果我是教授, 小大一上完這種課 還排列不了 外面 10萬 case
那我會當死他... ><

_________________
OSSLab 實驗室 http://www.osslab.com.tw/
Opensources,虛擬化,Voip,逆向工程,Data recovery,Storage ,Embedded system ,通訊系統

來分享一些實施案例

下圖為PCB 嚴重燒毀

_________________
OSSLab 實驗室 http://www.osslab.com.tw/
Opensources,虛擬化,Voip,逆向工程,Data recovery,Storage ,Embedded system ,通訊系統

開始拆盤體.... 本文越來越血腥...
看的到螺絲都拆了
剩下的是看不到的....










看到上蓋有變形了嗎...




看到HDA 這樣.. 磁頭 HSA ,Motor ,PCB 全部都要更換...



拆開上蓋HDA 照


拆光磁頭 ..

_________________
OSSLab 實驗室 http://www.osslab.com.tw/
Opensources,虛擬化,Voip,逆向工程,Data recovery,Storage ,Embedded system ,通訊系統

更換碟片到別HDA 電機很累　所以沒拍了　所有零組件再組回去






換好後 Servo 訊號匹配,軔體也修複..硬碟才勉強可以動了...



數據救出成功 ...晚點還要把好料拆下　還原成壞硬碟還給客戶...
花費時間 手工 70 mins +大腦處理固件區 60 mins + Data extract 40 Hours ...

_________________
OSSLab 實驗室 http://www.osslab.com.tw/
Opensources,虛擬化,Voip,逆向工程,Data recovery,Storage ,Embedded system ,通訊系統

這棵日立 一開拿到,磁頭咖拉咖拉,並且沒有Servo 訊號尋道就位聲..

基本上一般判定 大概90% HSA 磁頭臂組壞了




不過如果我們 這樣妄定 就不合邏輯電腦科學


標準流程 找到一樣的電路版更換



檢查NV-RAM 前面有人動過了,把NV-RAM焊的歪七扭八





請焊好









把焊NV-RAM 好還是敲敲敲敲..

找顆一樣的硬碟,把確定好的PCB ,裝上故障硬碟,NV-RAM 跟ROM都要從原壞硬碟電路版換上去












此為ROM IC






硬碟開機後 竟然不敲了, Servo 尋道就位聲正常.看來不是HSA 磁頭臂組壞了

進去檢測
SA區都正常,但數據無法訪問.P表也正常.NV-RAM 匹配參數也對

NV-RAM已用原硬碟換,但看NV-RAM ID 還是有點詭異.

修改 NV-RAM ID 還是不對.猜想是校驗碼問題. 回寫同樣ID NV-RAM 也不行(匹配參數已修改)

從Database 中挑一樣 ID NV-RAM 樣本
寫了一個小程式抓取校驗碼.. (最後找出NV-RAM 校驗在尾巴)

用WinHex 修改NV-RAM ID .回寫NV-RAM





硬碟正常工作






數據正常導出..

維修時間:
找料 20 Hours (等了14天) +焊接 5 Mins+ 測試 20 mins + 寫NV-RAM 校驗程式 2 hours +回寫NV-RAM 加測試5 Mins +
Data Extract 修的跟正常硬碟一樣 50 MB /sec ,10分鐘拷貝完全部Data.

_________________
OSSLab 實驗室 http://www.osslab.com.tw/
Opensources,虛擬化,Voip,逆向工程,Data recovery,Storage ,Embedded system ,通訊系統

加油 !!

James ^^

_________________

網路問題,一定要找UBLink