Jak sie odzyskuje nadpisane dane z dyskow twardych?

Witam,
pytam tylko z ciekawosci Jak sie odzyskuje skasowane i nadpisane dane z dyskow twardych?

zassij sobie z netu EasyRecovery moim zdaniem jeden z najlepszych softów do odzyskiwania danych.
chyba że źle zrozumiałem twoje pytanie.

kij21 napisał:

zassij sobie z netu EasyRecovery moim zdaniem jeden z najlepszych softów do odzyskiwania danych.
chyba że źle zrozumiałem twoje pytanie.

Chodzi mi np. o taka sytuacje. Mam jakies dane na dysku. Robie format. Zapisuje inne dane. W jaki sposob odzyskuje sie te poprzednie?

_Krzysiek_ napisał:

kij21 napisał:

zassij sobie z netu EasyRecovery moim zdaniem jeden z najlepszych softów do odzyskiwania danych.
chyba że źle zrozumiałem twoje pytanie.

Chodzi mi np. o taka sytuacje. Mam jakies dane na dysku. Robie format. Zapisuje inne dane. W jaki sposob odzyskuje się te poprzednie?

Z backupu, który uprzednio zrobiłeś.

W laboratorium analizując ślady magnetyczne.

tzok napisał:

W laboratorium analizując ślady magnetyczne.

O to wlasnie pytalem Ale chcialbym sie dowiedziec czegos wiecej na ten temat. Jak to wyglada od strony fizycznej?

W uproszczeniu - jeśli było 0 a jest 1 to jest inny stopień namagnesowania niż jeśli było 1 i jest 1 lub niż jeśli było 1 a jest 0 albo było 0 i jest 0. Analizując te subtelne różnice w namagnesowaniu można odtworzyć stan sprzed jednego, dwóch zapisów.

ale jak sądze, jest to bardzo dorgie i czasochłonne, a tak w ogóle to gdzie można takie coś wykonać??

U nas w Polsce tylko w labolatoriach on-track... ceny zaczynają się od równowartości niezłego zestawu komputerowego a kończą na cenie nowego samochodu średniej klasy.

Jest jeszcze media recowery i ibas No i jeszcze jedna jakas w warszawie innych firm nie polecam wrecz odradzam z trudnym przypadkiem nie dadza rady
na odzysk nadpisanych danych sklada sie jeszcze jedna metoda a w zasadzie cecha zapisu w dyskach
Chodzi mianowicie o to ze czyta sie dane z brzegu sciezki bo glowica nie zapisuje na srodku sciezki czasen "zbacza" ciut w lweo lub prawo to zbacza jest w cudzyslowi poniewaz miesci sie to w granicach dopuszczalnych i dysk jest 100% sprawny niemniej jednak daje to pewne pole do popisu bo z tych brzegow mozna cos odczytac (majac oczywiscie odpowiednio czuly sprzet wiedze doswiadczenie i warunki)
w kazdym razie w domu niewykonalne sprzet do tego musi pracowac w mega czystym otoczeniu a i ta dokladnosc jest nieosiagalana a technologia pewnie chroniona setkami patentow o barzieze finansowej juz nawet nie wspominam

A ja mam nastepujacy problem. Stracone dane po formatowaniu. 250 gb. uruchomilem GETData Back widzi wszystkie pliki. Problem mam natomiast z tym gdzie przeniesci odzyskane dane. Moj drugi dysk ma 40 gb a get data back nie chce odzyskac pliki na to samo miejsce gdzie byly tylko na nowy dysk. Easy recovery tez widzi pliki ale zamiast przywracac stara nazwe nazywa te plikinp. 1.mp3, 2.mp3 itd. jest jakis program przywracajacy dane na stare miejsce ?

neo_plonsk napisał:

A ja mam nastepujacy problem. Stracone dane po formatowaniu. 250 gb. uruchomilem GETData Back widzi wszystkie pliki. Problem mam natomiast z tym gdzie przeniesci odzyskane dane. Moj drugi dysk ma 40 gb a get data back nie chce odzyskac pliki na to samo miejsce gdzie byly tylko na nowy dysk. Easy recovery tez widzi pliki ale zamiast przywracac stara nazwe nazywa te plikinp. 1.mp3, 2.mp3 itd. jest jakis program przywracajacy dane na stare miejsce ?

Nie tędy droga . Program odzyskujący dane , zacznie je oczywiście zapisywać na ten sam dysk , w dostępne wolne miejsce . W momencie kiedy zabraknie tego miejsca będzie zapisywał na ślad znalezionych danych , tym samym ponownie je zacierając/nadpisując . Po takim zabiegu jeszcze trudniej będzie ci je odzyskać . Konkluzja jest taka , że musisz do tej operacji mieć drugi pusty dysk , najlepiej tej samej pojemności , lub większy niż ten z którego chcesz odzyskać dane . Chociaż gdybyś się do tego zabrał z głową , to EasyRecovery Pro może odzyskiwać dane po kawałku , czyli na mniejszy dysk . Stopniowo je wtedy odzyskasz . Nagrasz na płyty , wyczyścisz dysk i wrzucisz na niego kolejną partię danych . I tak stopniowo odzyskasz , to co będziesz chciał . Dane mniej ważne pominiesz z odzysku . W miarę potrzeb wykonuję takie operacje dla klientów , kiedy nie ma na co zrzucić danych , bo dysk jest za mały i rezultaty są całkiem niezłe . Oczywiście nie zawsze istnieje taka możliwość i należy to sobie powiedzieć otwarcie .
Pozdrawiam .

z tego co pamietam to w easy tecowery jest opcja zrzucenia danych a serwer ftp pozatym daje opcje zzipowania. JEsli by zamapowac dysk sieciowy mozna by pewnie odzyskac dane na imego kompa w lanie

tak w uproszczeniu to jest tak
glowica zapisuje sobie cos tam na powierzchni dysku namagnesowywujac domeny magnetyczne w jakims tam kierunku (ale nie przemagnesowuje wszystkich domen czesc pozostanie namagnesowana tak jak byla ) dochodzi do tego teraz to ze gowica nie jest ustawiona centralnie nad scierzka tylko sobie popyla nad nia raz w lewo raz w prawo (wynika to z roznych rzeczy )
I teraz jesli dysk chce dane odczytac to je odczytuje jesli wszystko poszlo oki to komp te dane dostaje jesli nie to odczyt jest ponawiany.
Pozatym przy takich gestosciach zapisu mozliwe bedzie tez to ze scierzki beda sie wzajemnie przemagnesowywaly na brzegach i moze cos z tego tez dalo by sie zrobic
No ale teraz z kad te liczby ??
no wiec to 8 wzielo sie z tego ze przy dobrych wiatrach mozna odzyskac jakis szczatek danych 8 razy nadpisanych tylko po co ??
i to tlumaczy ze jesli dane nie byly nadpisane to je ontrack odzyska
poprostu nie ma sesu odzyskiwac danych nadpisanych bo zaden klient nie zaplaci za szczatki bazy danych.
Wyobrazcie sobie ze macie jakis plik jesli przeklamiecie 1 bit !!!!!! (a co za tym idzie przeklamany bedzie caly bajt) to jesli to byl np dokumet worda to nie ma problemu bo jesli przeklamany zostal "opis struktury pliku" (nie wiem jak to inaczej napisac) to mozna te dane odtworzyc bo struktora pliku jest znana i mozna np zamienic bledny wpis w naglowku pliku i wszysto bedzie oki
jesli przeklamana zostannie jakas literka w texcie to bedie poprostu jredna literkia inna z duzym prawd powstnie jakis wyraz ktorego nie ma w slowniku i zostanie podkreslony
Jesli natomiast jest to jakis inny plik powiedzmy skompilowany program to w wiekszosci przypadku nawet jeden bit przeklamay czyni ten plik bezuzytecznym i nie ma tego za bardzo jak naprawic .
Jesli teraz przeklamane bedzie ciut wiecej to wiadomo juz dlaczego ontrack odzyska jesli beda nienadpisane
poprostu klient by za to nie zaplacil a firma poniosla by koszty i to nie male. Poprostu to i nie ma sesu bo jest to skazane na niepowodzenie. np po co komu nr telefony powiedzmy zamiast orginalnego 1234567
odzyskany 2234567 ??
Natomiast w przypadku gdy nie chodzi o dane tylko np o sam fakt istnienia lub nieistnienia jakiegos pliku w daym miejscu (np jako dowod w sprawie) lub cos z teakiej wlasnie serji to obowiazuje ta liczba 8 wszystko zalezy od tego w jakim stopniu odtworzone dane uznamy za przydatne.
Natomiast jesli idzie o pania jakubowska to gdzies w necie czytalem ze te dane byly tylko usuniete

Jesli chodzi o easy recowery dane odzyskal to nie byly one nadpisane
Standardowa glowica hdd nie byla by w stanie tego dokonac chociazby ze wzgledu na precyzje z jaka glowica jest prowadzona
Formatowanie nic nie robi danym na dysku
bo to tylko zmiana wpisow w odpowiednich miejscach dysku
Zmiana partycji to tez tylko zmiana wpisow w mbr a formatowanie to tylko zamazanie tej czesci nosnika na ktorej jest tworzona logiczna struktura partycj
Easy dziala ze tak powiem tylko logicznie
a jego mozliwosci biora sie np z:
- mozliwosci skanowania powierzchni potrafi sie nie posilkowac danymi z tablicy allokacji plikow (skoanowanie rav polega na tym ze easy leci po calym nosniku stosujac najprawdopodobniej algorytm wyszukiwania danego ciagu czyli naglowka pliku zna typyplikow i wyszkuje charakterystcznych ciagow, moze miec takze jakies heurystyczne metody zaimplemetowane jednak nie dal sobie rady jak experymetalne stworzylem plik i go zamazalem "logicznie" w diskeditorze struktura pliku byla moim pomyslem (byl to plik z zapisana funkcja przejsc dla maszyny Touringa ktorej symulator mialem kiedys zaimplemetowac))
- Korzysta z inf z partycji jesli mielismy dysk 10 gb i 2 partycje to jesli zrobimy jedna 10 gb i sformatujemy to na dysku pozostanie zapisana cala logiczna struktura 2 giej partycji jesli easy ja namierzy to znajdzie pliki jak polecenie dir w dosie
tu np pci inspector daje sie latwo w bolka robic jest zbyt czuly na to kiedys kumplowi odzyskiwalem dane wlasnie pci i sie wykladal bo kumpel mial w ilku plikach ciag bajtow ktore easy interpretowal jako partycjie (choc nie powinien bo sie zaczynaly w miejscahc gdzie nie powinny) ale poznajdywal smieciowe partyce bo smieci z innego miejsca dysku interpretowal jako "strukrure logiczna" i byly straszne krzaki nie mowia juz o tym ze rozmiary part byly przekomiczne
-czyta dane "low lewel" i je sbie interpretuje dlatego potrafi odzyskac pliki usuniete. np na facie jak usuwamy plik to nic sie praktycznie nie dzieje jedynie w tablicy allokacji plikow w nazwie jest zmieniana pierwsza literka i dos nie wyswietla plikow z ta literka na poczatku a miejsce przez nie zajte traktuje jako wolne co powoduje ze mozliwe jest nadpisanie danych.

Jednak jesli partycje zakladanesa fdiskiem to on nieco zycie utrudnia bo podczas sprawdzania spojnosci dysku nagrywa na dysk co kawalek bodajrze ff (zeby sprawdzic czy sie da zapisac i odczytac) co powoduje ze dane sa szatkowane poprzez nadpisanie (co w przypadku wiekszych plikowje niszczy, im wiekszy plik tym wieksze prawdopodobienstwo ze zostanie uszkodzony)
I to wlasnie dlatego nienalezy zakladac partycji na dysku na ktorym trzeba dane odzyskac
(oczywiscie formatowanie zamaze strukture logiczzna partycji jednak dane beda dalej widoczne dla skanowania rav) Tu jest pewnym wyjatkiem zmiana rozmiarow partycji pooniewa nowa partycja powstajac w innym miejscu zamarze czesc danych znajdujacych sie tam uprzednio

Noa odzyskiwanie z uszkodzonych nosnikow to juz zupelnie inna bajka

BIGOLSEN taj jak pisalem to jest 250 gb wiec wypalanie plyt pominmy. Nie mam tez tak duzego innego dysku. Nie ma sposobu ?

Generalnie zasada jest taka ze na dysku z ktorego sie odzyskuje nic sie nie zapisuje i soft ktory jest dostepny dla zjadacza chleba tego nie zrobi w ten sposob (nawet w laboratorium tak nie robia !!! poza pewnymi przypadkami z tym ze oni od zjadacza chleba roznia sie wieloletnim doswiadczeniem i wlasnymi dzialami programistycznymi ktore sa w stanie napisac soft do tylko jednego odzysku !!!

http://www.ontrack.pl/case_studies003.php
)
dlaczego napisal juz BIGOLSEN
Tak jak napisalem wyzej niech ci ktos w takim razie postawi ftp alb jesli jestes na lanie udostepni dysk i sprubuj na niego zapisac innego bezpiecznego sposobu nie wiedze
Na tym dysku nic nie kombinuj bo sobie sam kuku zrobisz

Mając nawet tak duży dysk nie wszystko z niego musisz odzyskać . Na pewno masz tam na nim mnóstwo śmieci , które możesz pominąć . Jeśli miałeś na nim system , to tym bardziej będzie zaśmiecony , jeśli nie to i tak możesz odzyskiwać dane wybiórczo . Jak juz pisałem istnieje taka możliwość , ale nie napewno . To trzeba by sprawdzić . Nie dalej jak trzy tygodnie temu ściągałem dane z uszkodzonych dwóch dysków znajomego - 160 GB i 200 GB . Miał tam filmy rodzinne i trochę różnego softu . Zrzucałem je na 60 GB-owy dysk , bo innego nie było pod ręką . Z niego nagrywane były płyty DVD-R , poźniej był czyszczony i następne dane zrzucane . Zabawy z tym dużo i ryzyko , że dysk się może wysypać w tym czasie całkowicie . Trzeba było dołożyć dodatkowe chłodzenie na dyski , bo się przegrzewały w czasie pracy . Tak więc widzisz , że musisz mieć pod ręką odpowiednio duży nośnik , aby na niego zrzucić dane . Inne metody postępowania przynoszą tylko kłopoty i stratę czasu . Ale nie są do pogardzenia , jeśli nie ma innego wyjścia .
Pozdrawiam .

W laboratoriach istnieje możliwość odczytania nadpisanych danych, ale nie daje to 100% poprawności odczytanych danych ani też nie jest tanie. Odbywa się to z użyciem innych głowic i innej elektroniki sterującej.

Jesli chodzi o odzyskanie nadpisanych danych easy recowery to takiej mozliwosci poprostu nie ma fizycznie !! bo nawet jesli glowica odczyta jakies smiecie to zadziala mechanizm korekcji bledow jesli to nie pomoze to dysk ponowi odczyt (przestawiajac niec glowice) nie ma takiej opcji by dysk wypuscil z siebie takie dane bo bez takiej korekcji dysk bylby bezurzyteczny!! a jesli i tak nie uda mu sie odczytac tych danych to uzna ze to bad
Dane na dysku sa zapisywane nadmiarowo a do korekcji bledow uzywa bodajrze algorytmu witeribi
pozarym dane sa przed zapisem konwerterowane RLL tzn tak by nie bylo mozliwosci pojawienia sie ciadu samych "zer" lub "jedynek" bo ze wzgledu na niewielkie wachanaia predkosci obrotowej talezy odczyt byl by niemozliwy.
A co do odzyskania danych nadpisanych to jest to mozliwe ale nie w stopniu uzasadniajacym odzyskiwanie tak danych bo starczy odzyskac troszke zaszumione dane i sa bezuzyteczne dla klienta.
A w przypadku computer evidence czy jak kto woli computer forensics sprawa wyglad jzu inaczej bo jesli odzyska sie jakies szczatki danych to to moze wystarczyc.
Jednak jest to problem dosc powazny bo zeby cos takieg odczytac to trzeba miec niezly sprzecik bo trzeba miec odpowiednia glowice trzeba ja znacznie bardziej dokladnie pozycjonowac i to pewne tak zze 2 rzedy wielkosci
dalej trzeba odczytac sciezke kilka razy odczyt kolo odczytu pewnie tez sprubkowac z wiekszaczestotliwoscia i potem taka mase danych obrobic wiec w przypadku calego dysku byly by to z pewnoscia koszty znacznie przewyzszajace budrzet potecjalnych klientow ktorzy byli by gotowi za to tyle zaplacic bez gwarancji 100% sukcesu

poaztym jest tez cos takiego co sie chyba nazywa mikroskop magnetyczny

Hm... panowie troche twardej ziemi nie zaszkodzi zeby po niej pochodzic.
tak wlasnie sie tworza mity. Jak sobie kto wyobraza domene magnetyczna? troche fizyki przy zabawie z recovery nie zaszkodzi.

Zmiana ustawien domeny z powiedzmy sobie jak to sie w wyobrazni interpretuje z zera na 1 nie zostawia zadnych sladow magnetycznych ani na zboczach bo to w koncu nie sa gory ani tez na powierzchni na ktorej jest napylony nosnik. Po prostu nadpisanie danych to jest absolutna utrata danych i mozecie sobie w przyplywie fantazji wyobrazac rozne rzeczy ale bedzie to po prostu sience fiction.

Zadna firma recovery nawet ta w ktorej ja pracuje a liczy sie na rynku tych uslug, nie zrobi takich rzeczy jak odzyskanie danych po ich nadpisaniu. Jasne ze po formatowaniu mozna je prawie w calosci wyciagnac, nawet po kolejnych 10-ciu formatowaniach ale nie po nadpisaniu.

Szkoda, ze nie wchodzilem wszesniej na te fora bo herezje tutaj sieja ale cuz nikt nie rodzi sie uczonym.

A to prawda, że z połamanego CD-ka idzie też czytać?

agere napisał:

Hm... panowie troche twardej ziemi nie zaszkodzi zeby po niej pochodzic.
tak wlasnie sie tworza mity. Jak sobie kto wyobraza domene magnetyczna? troche fizyki przy zabawie z recovery nie zaszkodzi.

Zmiana ustawien domeny z powiedzmy sobie jak to sie w wyobrazni interpretuje z zera na 1 nie zostawia zadnych sladow magnetycznych ani na zboczach bo to w koncu nie sa gory ani tez na powierzchni na ktorej jest napylony nosnik. Po prostu nadpisanie danych to jest absolutna utrata danych i mozecie sobie w przyplywie fantazji wyobrazac rozne rzeczy ale bedzie to po prostu sience fiction.

Zadna firma recovery nawet ta w ktorej ja pracuje a liczy sie na rynku tych uslug, nie zrobi takich rzeczy jak odzyskanie danych po ich nadpisaniu. Jasne ze po formatowaniu mozna je prawie w calosci wyciagnac, nawet po kolejnych 10-ciu formatowaniach ale nie po nadpisaniu.

Szkoda, ze nie wchodzilem wszesniej na te fora bo herezje tutaj sieja ale cuz nikt nie rodzi sie uczonym.

Witam
Również gorąco witamy na TYM forum
A co do tematu, jak wszyscy wiemy dysk twardy to tylko urządzenie mechaniczne, wiec posiada swoje wady wynikłe ze sposobu działania. Pośród tych wad występuje m.in. błąd pozycjonowania głowicy zapisującej/odczytującej co wiąże się z tym że informacja magnetyczna nigdy nie jest zapisywana w tym samym miejscu. Do czego nas to prowadzi ? Dzięki analizie spektralnej możemy odczytać śladowe pozostałości po zapisanym zerze czy jedynce, czyli teoretycznie odtworzyć strukturę danych na dysku.
O czym wspomniał Kolega tzok

tzok napisał:

W laboratorium analizując ślady magnetyczne.

Dzięki analizie spektralnej dowiemy się co prawda że przed zapisaniem jedynki było zero ale nie wiemy ile razy taka operacja była wykonana, wiec wiąże się to z analizą danych bit po bit'cie, co przy dzisiejszych dyskach liczonych w setkach GB, nie miało by kompletnie ekonomicznego uzasadnienia. Ale możliwość taka istnieje wiec nie "siejmy herezji" Kolego agere

Teoretycznie można się do tego posłużyć statystyką - czytać dany obszar kilkaset tysięcy razy bez korekcji błędów i statystycznie ustalić, że czasem 1 jest odczytywana jako 0 a 0 jako 1 co może sugerować, że w poprzedniej "warstwie" był tam inny bit. Pozatym dane na dysku nie są zapisywane wprost a po przetworzeniu przez pewien algorytm (kiedyś MFM lub RLL), tak że to raczej zmiana pola odpowiada wartości a nie jego polaryzacja. No i wrescie pojedynczy bit to nie jest jedna domena magnetyczna a wiele i nigdy wszystkie nie zostaną równomiernie przemagnesowane.

Autora powyższego tekstu niestety nie znam.
http://www.cs.auckland.ac.nz/~pgut001/pubs/secure_del.html