В этой статье речь пойдет о восстановлении данных с карты памяти и сюрпризах, с которыми пришлось столкнуться в процессе работы. Написать данный материал, меня сподвиг, на первый взгляд, рядовой классический случай. А именно накопитель на основе NAND-памяти. Обычная SD-карта, с классическими симптомами логических разрушений на уровне файловой системы.
![Карта памяти для восстановления данных Карта памяти для восстановления данных](../images/SD_CARD.png)
Пациент:
SD-карта Kingmax SDHC Class10, емкостью 16Gb
Анамнез:
Со слов заказчика, карта памяти перестала работать внезапно. При подключении к компьютеру, как устройство определяется корректно, но при попытке открыть — требует форматирования. Необходимо восстановить информацию (фотографии и видеоролики).
Многие скажут - «Ну и что здесь уникального? С таким случаем справится любая программа для логического восстановления данных.» Точно так-же подумал и я, тем более, что в моем арсенале есть все необходимое для такого рода случаев. Сразу была создана посекторная копия этого накопителя. Заглянув в Boot-сектор, я обнаружил корректное описание логического раздела FAT32. И после анализа таблиц FAT — получил адекватную на первый взгляд структуру каталогов и файлов. Только радость от проделанной работы была преждевременной. Львиная доля фото оказалась не читаемой, а большинство папок — пустыми, что наглядно показано на картинке. Про контроль корректности заголовков файлов и папок мной было рассказано в одной из предыдущих заметок.
![Поврежденные файлы Поврежденные файлы](../images/NO_VALID_FILES.png)
Если заглянуть в содержимое такого файла, то кроме нулей там не будет ничего. Иными словами — результат неудовлетворительный.
Здесь я сделаю небольшое лирическое отступление. Ведь по логике вещей раздел есть, файлы есть, а то что они пустые — значит так записались. Или повредились в момент выхода флешки из строя. И такой ответ слышат многие пользователи, обращающиеся в случайные сервисы за восстановлением данных. Самое печальное, что подобного рода ответ устраивает большинство. И человек смиряется с потерей своих данных, принимая такое заключение как истину. И в специализированные DR-сервисы потом обращаются лишь единицы.
![](../images/CORROSION.png)
На самом деле существует принципиально другой качественный подход к восстановлению данных с флешек и карт памяти. Это так называемая «распайка».
Условно, из устройства выпаивается микросхема(ы) памяти, считывается содержимое на специальном устройстве, выполняется коррекция полученных дампов (EСС), производятся необходимые преобразования и собирается образ.
Все это может проделать только такой специалист, который знает как работает флешка. А в процессе такой процедуры восстановления данных можно установить и причину неисправности. Рассмотрим сей процесс подробнее...
После вскрытия корпуса этой карты памяти, взгляду предстала такая картина. Как видно на фотографии, устройство имеет следы коррозии и окислов.
Об условиях, в которых эксплуатировалась эта флешка можно только догадываться... Думаю не нужно рассказывать о влиянии агрессивных сред на работу электроники. Так что корректность штатной работы уже попадает под большое сомнение.
Это значит, что путь здесь может быть только один - распайка и дальнейшая работа непосредственно с микросхемой. Только таким образом можно получить достоверный результат.
После выпаивания микросхема подключается в устройство для считывания (NAND Reader).
![Считывание микросхемы памяти Считывание микросхемы памяти](../images/NAND_CHIP_READER_.png)
Данный экземпляр имеет одну микросхему памяти, состоящую из двух частей (банков). Это будет нужно учесть при выполнении преобразований внутри полученных дампов.
![Преобразования внутри дампов Преобразования внутри дампов](../images/CHIPS.png)
После коррекции битовых ошибок полученных дампов, необходимо установить какого рода преобразования используются имеющейся связкой тип памяти+модель контроллера.
В данном случае это XOR и интерлив. Вот так к примеру выглядит «заксоренный» заголовок jpg-файла (слева), а так после верного XOR-преобразования (справа).
![Маска XOR Маска XOR](../images/XOR_SECTOR.png)
После остальных преобразований (описания правильного формата страницы и устранения интерлива), можно приступить к сборке образа. Стоит заметить, что хоть один не правильно выполненный шаг приведет к невозможности сборки образа. Итогом моей работы стал корректный образ без намека на порушенные данные. О чем свидетельствует успешная проверка не только корректности заголовков, но и контроль целостности каталогов, а также проверка валидности описаний файлов.
![Данные восстановлены Данные восстановлены](../images/VALID_IMAGE.png)
В завершение этой заметки, добавлю еще пример. Таким образом мне удавалось восстанавливать данные с карт памяти и после форматирования некоторыми камерами «зеркалками», когда при штатном подключении в содержимом любого сектора можно было увидеть только паттерн 0х00h. И многодневные походы заказчика по различным фирмам, фирмочкам, мастерским и конторам заканчивались одинаково фразой «Восстановить не возможно». В одном из будущих материалов расскажу подробнее о таком кейсе.
Выбор за Вами, доверить восстановление данных случайным людям с непрогнозируемым результатом или обратиться к квалифицированным и знающим мастерам, т.е. в нашу лабораторию ;-)
Любое копирование, цитирование и публикация материалов (или их части) допускается только с разрешения администрации сайта и с обязательной ссылкой на источник.