☰

원시 읽기 USB 대용량 저장 장치 또는 SCSI

tag-icon • tag-icon hard-drive data-recovery chkdsk forensics scsi
원시 읽기 USB 대용량 저장 장치 또는 SCSI

아내의 USB HDD에는 폴더가 열리지 않는 약간의 문제가 있습니다(NTFS 파일 시스템). Linux를 사용하여 드라이브를 이미지화할 수 있었지만 한 섹터(섹터는 4096바이트)에 대해서만 가능했습니다. 해당 섹터를 읽는 데 실패했습니다.

sudo dd if=/dev/sdb of=블록 건너뛰기=21647245 bs=4096 개수=1
dd: '/dev/sdb' 읽기 오류: 입력/출력 오류
0+0 레코드
0+0 레코드 출력
0바이트(0B) 복사됨, 22.9317초, 0.0kB/s

이 섹터를 널바이트로 교체하면 윈도우에서와 동일한 증상이 나타나는 것으로 보아 해당 섹터는 문제가 있는 디렉터리와 관련이 있는 것으로 보입니다.

해당 섹터 dmesg 출력에 액세스하면 다음을 읽습니다.

[20381.842495] sd 7:0:0:0: [sdb] 처리되지 않은 감지 코드
[20381.842506] sd 7:0:0:0: [sdb]  
[20381.842510] 결과: 호스트바이트=DID_ERROR 드라이버바이트=DRIVER_SENSE
[20381.842514] sd 7:0:0:0: [sdb]  
[20381.842517] Sense Key : 하드웨어 오류 [현재]
[20381.842531] sd 7:0:0:0: [sdb]  
[20381.842535] 추가하세요. 감지: 추가 감지 정보 없음
[20381.842539] sd 7:0:0:0: [sdb] CDB:
[20381.842542] 읽기(10): 28 00 01 4a 4f 8d 00 00 01 00
[20381.842557] end_request: I/O 오류, dev sdb, 섹터 173177960
[20381.842572] 장치 sdb의 버퍼 I/O 오류, 논리 블록 21647245

CRC 검사나 실제로 손상된 데이터 일부를 복구하려고 시도하지 않고 이 섹터를 원시 상태로 읽을 수 있는 방법이 있습니까?

인클로저를 열었습니다. HDD는 기본 USB이며 USB에서 SATA로 변환되지 않습니다.

편집하다: ddrescue를 시도했지만 불량 섹터를 복구하지 못했습니다. 불량 섹터 주변에서 2Gig를 읽으면 검색 후 헤드가 안정화됩니다.

sudo ddrescue -s 2Gi -o 0 -i 87593373696 /dev/sdb blkk
GNU ddrescue 1.19
중단하려면 Ctrl-C를 누르세요.
복구됨: 2147MB, 오류 크기: 4096B, 현재 속도: 0B/s
   ipos: 88667MB, 오류: 1, 평균 속도: 8488kB/s
   opos: 1073MB, 런타임: 4.21m, 읽기 성공: 1.06m 전
완성된

거꾸로 읽기(-R 플래그)도 실패했습니다.

편집 2:제가 계획한 두 번째 단계는 법의학을 사용하여 누락된 파일을 가져오는 것이었습니다. 처음에는 MFT를 손으로 살펴보기 시작했지만 곧 매우 지루해졌습니다. 그래서 내 목록에는 다음 도구가 있었습니다.

  1. 슬루스킷
  2. NTFS-3g
  3. 메스
  4. scrounge-ntfs

Sleuthkit은 메타데이터 구조의 오류에 대해 불평하면서 아주 일찍 종료하는 등 유용한 작업을 수행하지 않았습니다.

Ntfs-3g(현재 Tuxera)를 사용하면 디버그 출력으로 이미지를 마운트할 수 있습니다.

sudo mount -o loop,ro,offset=258048,debug image2 ./mnt -t ntfs-3g

잘못된 디렉터리를 입력하려고 하면 오류가 발생합니다.

디렉터리 inode 101874의 인덱스 버퍼(VCN 0x0)는 디렉터리에 지정된 크기(4096)와 다른 크기(24)를 갖습니다.

DuckduckGo에서 해당 오류를 찾으면 다음 게시물로 연결됩니다. http://www.tuxera.com/forum/viewtopic.php?f=3&t=27054 Tuxera/ntfs-3g의 사람들은 실제로 NTFS 오류를 복구하기 위해 Microsoft의 CHKDSK 사용을 권장하는 것으로 나타났습니다.

디스크에서 chkdsk를 실행하는 것은 세 번째이자 마지막 계획 단계였지만, 다음을 알고 있으면 훨씬 더 일찍 시도해야 합니다.디스크 이미지에서 실행될 수 있습니다, 예를 들어 OSFMount 사용(http://www.osforensics.com/tools/mount-disk-images.html).

누락된 파일 및 디렉터리(모두는 아닐 경우)의 대부분은 탑재된 디스크 이미지에서 chkdsk /f를 통해 복구되었습니다. 100개 이상의 오류(대부분 분리된 파일)가 수정되었습니다.

편집 3:나는 psusi의 답변을 받아들입니다. 불가능하다고 입증되지는 않았지만 불량 섹터를 읽는 것은 확실히 약간 손상된 HDD에서 데이터를 복구하는 가장 불확실하고 어려운 방법입니다.

답변1

아니요, 불가능합니다. 이를 수행하는 SCSI 명령이 있지만 여전히 쓰레기만 얻을 뿐이며 소비자 수준 드라이브, 특히 USB에서는 지원되지 않습니다. 그 부문에 있던 것은 모두 사라졌습니다.

관련 정보