logo elektroda
logo elektroda
X
logo elektroda
REKLAMA
REKLAMA
Adblock/uBlockOrigin/AdGuard mogą powodować znikanie niektórych postów z powodu nowej reguły.

Odzyskiwanie danych po szybkim formacie karty SD Samsung EVO 512GB – brak efektów w programach

Dawid afg 13 Lis 2025 12:33 405 11
REKLAMA
  • #1 21750040
    Dawid afg
    Poziom 13  
    Posty: 65
    Pomógł: 6
    Ocena: 7
    Cześć, potrzebuję pomocy. Chciałem zarchiwizować dane z karty SD telefonu. Robię tak co pewien czas. Wczoraj zacząłem proces, a dziś miałem dokończyć. Niestety chcąc przejrzeć katalogi do backupu, omyłkowo trafiłem palcem w opcje->format. Próbowałem ratować sytuację, ale w panice po prostu mi się nie udało.
    Próbowałem odzyskać dane programami: Easeus Data Recovery, Disk Drill, DiskGenius, ale dla nich karta jest pusta. Nie wiem co robię źle.

    Czy jeszcze da się odzyskać dane z karty?
    Karta to Samsung EVO 512GB.

    Była zapełniona praktycznie do końca, ale tylko kilkadziesiąt GB jest ważne. Dane nie były szyfrowane.
  • REKLAMA
  • #2 21750052
    kaleron

    Specjalista - HDD i odzyskiwanie danych
    Posty: 7040
    Pomógł: 960
    Ocena: 2322
    Wyłącz obsługę funkcji TRIM. Karty SD też tę funkcję obsługują i jeśli to jest przyczyna, że na karcie nic nie ma, to już musztarda po obiedzie, ale prewencyjnie wyłącz.
    Pokaż, jak partycjonowanie karty jest widziane przez DMDE. Sprawdź w hex-edytorze, czy karta ma niezerową zawartość, czy może jest cała wyzerowana.
    Konto firmowe:
    Kaleron sp. z o. o.
    Hirszfelda 4/18, Jelcz-Laskowice, 55-231 | Tel.: 713XXXXXX (Pokaż) | Strona WWW: https://kaleron.pl
  • #3 21750073
    Dawid afg
    Poziom 13  
    Posty: 65
    Pomógł: 6
    Ocena: 7
    W edytorze poza LBA 0 i 2048 DMDE pokazuje same zera. We wszystkich folderach jest pusto.
    Rozumiem, że już po wszystkim i to nie jest tak, że sam kontroler "udaje" że nie widzi plików na nand?



    Widok DMDE pokazujący strukturę katalogów z dysku USB, wszystkie foldery są puste
    Widok edytora sektorów DMDE pokazujący dane w LBA 2048 i 2049 jako ciągi F4 oraz zera
  • REKLAMA
  • #4 21750085
    kaleron

    Specjalista - HDD i odzyskiwanie danych
    Posty: 7040
    Pomógł: 960
    Ocena: 2322
    Dawid afg napisał:
    kontroler "udaje"
    przez chwilę, ale zaraz za tym idą procesy fizycznego kasowania bloków w układach pamięci.
    https://kaleron.edu.pl/TRIM-w-dyskach-SMR-i-SSD.php
    Biorąc pod uwagę, że karta została przeskanowana kilkoma programami, było wystarczająco dużo czasu, by dane zostały fizycznie zniszczone. Moim zdaniem pora powiesić białą flagę.
    Konto firmowe:
    Kaleron sp. z o. o.
    Hirszfelda 4/18, Jelcz-Laskowice, 55-231 | Tel.: 713XXXXXX (Pokaż) | Strona WWW: https://kaleron.pl
  • #5 21750309
    SGdata

    Poziom 27  
    Posty: 662
    Pomógł: 125
    Ocena: 179
    kaleron napisał:
    przez chwilę, ale zaraz za tym idą procesy fizycznego kasowania bloków w układach pamięci.

    To raczej nie do końca prawda. Wiele eksperymentów, jak i ostatnie dokonania ACElab pokazały, że ten cały TRIM to pic na wodę i bazuje tylko na usuwaniu translatora. Do tej pory brak możliwości pracy z translatorem zamykał temat. Poza odczytami bezpośrednio z NAND. Jeśli nie były szyfrowane można odzyskać większość danych.
    Problemem tutaj jest model karty - EVO. Dla niej nie ma możliwości poskładania danych w logiczną całość po odczycie po protokole NAND.
    Swoją drogą, gdyby TRIM faktycznie działał na fizycznych blokach pamięci, bardzo skracałoby to żywotność i tak słabych układów obecnie produkowanych pamięci.
    Konto firmowe:
    SGdata
    Spacerowa 90, Gliwice, 44-141 | Strona WWW: https://sgdata.pl
  • REKLAMA
  • #6 21750341
    kaleron

    Specjalista - HDD i odzyskiwanie danych
    Posty: 7040
    Pomógł: 960
    Ocena: 2322
    SGdata napisał:
    Wiele eksperymentów, jak i ostatnie dokonania ACElab pokazały, że ten cały TRIM to pic na wodę
    jakie konkretnie eksperymenty masz na myśli:? I po co w ogóle byłby w takim razie TRIM implementowany, skoro to
    SGdata napisał:
    pic na wodę


    SGdata napisał:
    bazuje tylko na usuwaniu translatora
    - jak usuniesz translator, to jak odnajdziesz w układach dane, jakich nie skasowałeś? Nie usuwasz translatora, tylko nanosisz w nim informację o sektorach LBA "skasowanych" na poziomie struktur logicznych, co pozwala "kłamać" i zamiast odczytywać realną zawartość, wystawiać sektory wypełnione zerami. A przy tym nie przechowywać fizycznie w układach zawartości tych sektorów - to pierwszy krok w działaniu tej funkcji.
    SGdata napisał:
    Poza odczytami bezpośrednio z NAND. Jeśli nie były szyfrowane można odzyskać większość danych.
    - jeśli doszło do awarii urządzenia - tak, ale wtedy to nie TRIM jest podstawowym problemem. Jeśli dojdzie do skasowania danych, upływ czasu sprawia, że szybko możesz zapomnieć o "większości", a po paru godzinach w ogóle o możliwości odzyskania czegokolwiek sensownego. Mogą ci zostać jakieś fragmenty skasowanych danych w blokach zawierających dużo stron z aktualną zawartością, ale większość bezpowrotnie przepadnie.
    SGdata napisał:
    gdyby TRIM faktycznie działał na fizycznych blokach pamięci
    - może nie bezpośrednio, ale w sumie taki jest jego cel - pozwolić nie przechowywać fizycznie danych, jakie zostały usunięte logicznie, a więc jego działanie przekłada się na fizyczne bloki i możliwość ich skasowania, kiedy nie przechowują niczego, co byłoby zaalokowane w strukturze logicznej systemu plików.
    SGdata napisał:
    bardzo skracałoby to żywotność
    - wręcz przeciwnie - ograniczając liczbę fizycznych zapisów ograniczasz fizyczne zużycie układów, a zwiększając liczbę wolnych bloków, gotowych do przyjęcia nowych danych, ułatwiasz zarządzanie nośnikiem i pracę algorytmów wyrównywania zużycia. Żeby programować strony w bloku, i tak musisz go najpierw skasować, więc fizyczne skasowanie bloku jest neutralne dla żywotności nośnika. Ale brak konieczności fizycznego zapisywania danych skasowanych na poziomie logicznym oszczędza liczbę zapisów i pozwala utrzymywać większą liczbę wolnych (skasowanych) bloków, niż wynikałoby to do pojemności nośnika w adresacji LBA względem fizycznej objętości sumy wykorzystanych układów. Przy tym pojawiają się wynikające z wcześniejszego wyrzucenia z adresacji LBA (tam, gdzie translator poinstruowany przez TRIM wie, że zamiast fizycznego odczytu może walić zerami) i skasowania części bloków bonusy wydajnościowe zauważalne przy zapisie większej ilości danych naraz - m. in. dlatego z punktu widzenia optymalizacji działania nośnika TRIM ma sens, choć z punktu widzenia kogoś, kto przypadkowo coś sobie usunął lub sformatował, jego konsekwencje już są bolesne.
    Konto firmowe:
    Kaleron sp. z o. o.
    Hirszfelda 4/18, Jelcz-Laskowice, 55-231 | Tel.: 713XXXXXX (Pokaż) | Strona WWW: https://kaleron.pl
  • REKLAMA
  • #7 21750363
    SGdata

    Poziom 27  
    Posty: 662
    Pomógł: 125
    Ocena: 179
    Po co jest TRIM? Zapewne chodzi o nasze bezpieczeństwo. Podobnie jak szyfrowanie sprzętowe. Wg. mnie zbędne, a jednak są.
    Usuwanie translatora/ dokonywanie w nim zmian to prawie to samo. Wszak kasujesz cały blok by poprawić stronę, prawda? :) Skrót myslowy.
    Możesz skasować/ sformatować kartę pamięci w aparacie i mieć same zera w Hex. Zostaw podłączoną na tydzień, skanuj do woli. Po tygodniu, po NAND odzyskasz większość danych. Historie odzysków są tutaj najlepszym tego dowodem, że po paru informatykach nadal można było po NAND dane znaleźć.
    Gdyby tak nie było, ACE nie wrzuciłby możliwości pracy z translatorami w NVMe ogłaszające tego rewolucyjnym rozwiązaniem, tylko "no, może czasem zadziała".

    Żadne wręcz przeciwnie, jeśli chodzi o skracanie żywotności. To, że wyrówna zużycie to co innego. Bo taki fizyczny TRIM dalej zużywa pamięci, tylko, jak piszesz, równomierniej. Po paru aktualizacjach Windows, przy zapełnionym w 60% dysku żywotność by szybko spadała.

    Ale chętnie zobaczę jakieś dowody na działanie trim fizycznie na komórkach pamięci/sektorach.
    Konto firmowe:
    SGdata
    Spacerowa 90, Gliwice, 44-141 | Strona WWW: https://sgdata.pl
  • #8 21750426
    kaleron

    Specjalista - HDD i odzyskiwanie danych
    Posty: 7040
    Pomógł: 960
    Ocena: 2322
    SGdata napisał:
    Po co jest TRIM? Zapewne chodzi o nasze bezpieczeństwo
    - nie spotkałem się z dopinaniem do TRIMu ideologii związanej z bezpieczeństwem.
    SGdata napisał:
    szyfrowanie sprzętowe. Wg. mnie zbędne,
    - z punktu widzenia bezpieczeństwa - na ogół tak. Większość szyfrowanych nośników nie jest w żaden sposób zabezpieczona i odszyfruje Ci dane za samo tylko podłączenie do prądu...ale szyfrowanie bardzo dobrze randomizuje dane, a to już jest wygodne dla ograniczania liczby błędów bitowych. Coraz bardziej złożone szablony randomizacji, a w końcu randomizacja dynamiczna wzięły się z walki z niekorzystnymi zjawiskami indukcyjnymi w sytuacji, kiedy tranzystory przechowują zbyt jednorodne dane. Tylko, że w marketingu o wiele lepiej wygląda implementacja szyfrowania ze względów bezpieczeństwa danych, niż po prostu dla randomizacji. Tym bardziej, że wśród użytkowników komputerów trudno spotkać kogoś, kto miałby choćby elementarną wiedzę o kodowaniu danych, przetwarzaniu sygnałów, czy fizyce przechowywania informacji. Nawet wśród serwisów ryzykowne byłoby stwierdzenie, że ta wiedza jest znana w wystarczającym stopniu.
    SGdata napisał:
    Po tygodniu, po NAND odzyskasz większość danych.
    - zrób to w kontrolowanych warunkach, kiedy upewnisz się co do poprawnego działania funkcji TRIM, bo w przypadku kart pamięci nie zawsze jest ona niezawodna, a w przypadku czytników USB często to właśnie one powodują, że TRIM nie zadziała, nawet, jak jest obsługiwany. Też miałem takie sytuacje, że próbowałem wylutowywać układy i nieraz było tak, że >80% bloków, to same FF.
    SGdata napisał:
    Gdyby tak nie było, ACE nie wrzuciłby możliwości pracy z translatorami w NVMe
    - od kiedy mamy możliwość pracy z translatorami? Z tego, co pamiętam, to od ponad dekady, tylko cicho było, bo większość ludzi myślała, że to tylko dla odbudowy translatora, jak się wysypie, a że na sprawnym dysku można wejść w safe-mode, zablokować procesy w tle i przeszukać adresację fizyczną, to już trzeba było mieć na to pomysł. Teraz się zrobiło głośno, to już pomysłu nie trzeba mieć.
    SGdata napisał:
    ogłaszające tego rewolucyjnym rozwiązaniem
    - marketing. Apple rewolucyjnym rozwiązaniem ogłasza zaokrąglenie narożników telefonu. Marketing polega na używaniu wielkich słów w odniesieniu do małych rzeczy. Gdzie nie chcę deprecjonować osiągnięć cioci Asi, ale też obaj dobrze wiemy, że nie jest tak różowo, jak w ich folderach reklamowych.
    SGdata napisał:
    może czasem zadziała
    - jeśli zrobisz to dostatecznie szybko - tak, możesz mieć sporą skuteczność, Ale mało prawdopodobne, że stuprocentową.
    SGdata napisał:
    wyrówna zużycie to co innego
    - dla ścisłości - są to zupełnie inne algorytmy, jakie działają w tle nawet wtedy, kiedy wyłączysz obsługę funkcji TRIM. Zwłaszcza rośnie rola zbierania śmieci, bo bez tego mogłoby się okazać, że masz kupę bloków zawierających po kilka - kilkanaście aktualnych stron, przez co nie możesz tych bloków skasować i nagle kończą Ci się wolne bloki, co uniemożliwia Ci zapis. Im mniej masz wolnych bloków, tym ważniejsze skuteczne zbieranie śmieci. To też zużywa układy, ale jest konieczne dla zabezpieczenia poprawnej pracy nośnika.
    SGdata napisał:
    fizyczny TRIM dalej zużywa pamięci
    - ale mniej, niż gdyby go nie było. Kasować pamięci i tak musisz. Tak wygląda cykl zapisu danych w nośnikach półprzewodnikowych. Zapisz nowe dane w nowym fizycznym miejscu (pustym, skasowanym bloku poza adresacją LBA), przeadresuj w translatorze adresy ze starego bloku na nowy (przenieś numery LBA na nowy blok, wywalając blok zawierający przestarzałe dane z adresacji LBA) i skasuj blok z przestarzałymi danymi, przygotowując go na przyjecie nowych danych. Sprawa się trochę komplikuje, kiedy blok zawiera zarówno strony aktualne, jak i przestarzałe, Aktualne strony nie pozwalają skasować bloku i liczba wolnych bloków spada. Tu wchodzi śmieciarz przenoszący aktualne strony z bloków, gdzie jest dużo stron przestarzałych, do innych bloków. I tu też wchodzi TRIM pozwalając kasować bloki ze stronami zawierającymi aktualną zawartość sektorów (nie zmieniasz jej przy kasowaniu na poziomie struktur logicznych - zmieniasz tylko wpisy w metadanych), ale niezaalokowanymi w strukturach logicznych systemów plików bez przenoszenia tych stron do innych bloków (ograniczasz zużycie zmniejszając liczbę wymaganych zapisów),
    SGdata napisał:
    przy zapełnionym w 60% dysku żywotność by szybko spadała.
    - a teraz pomyśl, dlaczego stopień zapełnienia dysku ma wpływ na tempo spadku żywotności? Dlaczego dyski bardziej zapełnione pracują wolniej, ale za to zużywają się szybciej? Czy to nie dlatego, że przerzucają więcej danych, niż dyski zapełnione w mniejszym stopniu? A to własnie dlatego, że dzięki TRIMowi SSDki nie muszą przerzucać danych zawartych w sektorach niezaalokowanych w strukturach logicznych jako części plików. Czytając w hex-edytorze te sektory dostaniesz same zera, szukając tych bloków na programatorze - dostaniesz FF. Porównaj pracę dwóch dysków przy różnym stopniu zapełnienia jeden przy włączonej funkcji TRIM, drugi - przy wyłączonej.
    SGdata napisał:
    chętnie zobaczę jakieś dowody na działanie trim fizycznie na komórkach pamięci/sektorach.
    - to sam poeksperymentuj. Sprzęt przecież masz. Zawartość o wysokiej entropii = jakaś treść. Zawartość +/- ustrukturyzowana = prawdopodobny szablon XOR nałożony na jednorodne dane, najczęściej 00. Będziesz spotykał takie rzeczy, bo nie każde 00, to wolna przestrzeń. W strukturach logicznych często spotkasz duże, wyzerowane obszary, ale one będą zapisywane i odczytywane fizycznie nawet przy włączonej obsłudze TRIMu, bo są zaalokowane w strukturze logicznej i coś znaczą. FF=wolny blok. Jeśli masz mniej zajętych bloków, niż wynikałoby to z pojemności SSDka w adresacji LBA = nie przechowuje on fizycznie wszystkiego, co pokazuje logicznie. I tu już masz dowód na to, że TRIM pozwala kasować bloki zawierające dane niezaalokowane logicznie. Jak chcesz - możesz bawić się dalej badając, jak wiele wolnych bloków będziesz miał na dysku całkiem pustym (sformatowanym) i jak szybko wolnych bloków będzie przybywało, kiedy logicznie skasujesz dużą objętość danych. I porównaj to sobie z próbą kontrolną - dyskami pracującymi pod kontrolą systemu, gdzie wyłączysz obsługę funkcji TRIM.
    Konto firmowe:
    Kaleron sp. z o. o.
    Hirszfelda 4/18, Jelcz-Laskowice, 55-231 | Tel.: 713XXXXXX (Pokaż) | Strona WWW: https://kaleron.pl
  • #9 21750442
    SGdata

    Poziom 27  
    Posty: 662
    Pomógł: 125
    Ocena: 179
    Nie można mówić o stuprocentowej skuteczności jeśli dane odzyskujemy wg sygnatur, a nie wg. translatora - karty pamięci i pendrive.
    Co do SSD/NVMe zapewne odzyskany translator też nie jest idealny bo choćby powstała jego nowsza wersja.
    Tak czy siak ja wolę mówić, że zwykle po formacie takich nośników jak karta czy pendrive jednak da się odzyskać dane, a nie zasłaniać się TRIM, jak to wielu czyni. Pomijając karty EVO i te oparte na LDPC. Choć w wielu przypadkach "nie da się bo TRIM" może być skrótem od "obecnie nie ma możliwości pracy w trybie technologicznym na starszych wersjach translatora".
    Czekamy na wprowadzenie trybu testowego i rozwiązań do kart pamięci :)
    Konto firmowe:
    SGdata
    Spacerowa 90, Gliwice, 44-141 | Strona WWW: https://sgdata.pl
  • #10 21750476
    helmud7543
    Poziom 43  
    Posty: 12624
    Pomógł: 1216
    Ocena: 1563
    SGdata napisał:
    Po co jest TRIM? Zapewne chodzi o nasze bezpieczeństwo. Podobnie jak szyfrowanie sprzętowe. Wg. mnie zbędne, a jednak są.

    Właśnie nie. TRIM, przynajmniej w swoim pierwotnym założeniu był wprowadzony aby kasować bloki pamięci logicznie oznaczane jako puste, ponieważ komórki flash nie mają możliwości bezpośredniego napisania zawartości - muszą zostać wcześniej skasowane. W dodatku, przynajmniej tak było w pierwszych generacjach popularnych SSD, kasować można całe strony, a zapisywać bloki komórek. TRIM miał w założeniu informować kontroler o zwolnieniu komórek pamięci, a ten przeorganizować translację i kasować wolne obszary aby były przygotowane do zapisu. W założeniu wpływa to na wydajność (komórki, a w zasadzie bloki, są już przygotowane do zapisu, bez TRIM kontroler musiałby najpierw przenieść dane do jakiegoś cashe, wyzerować stronę i dopiero zapisać blok). Rozbijanie procesów kasowania na każdą operację zapisu, zamiast hurtowych "akcji" (czyli zamiast jednego procesu kasowania powtarzamy je przy każdym żądaniu zapisu) zużywa też niepotrzebnie pamięć. Więc trim, razem z wear leveling, optymalizuje przy okazji zużywanie się samej pamięci. TRIM w takim znaczeniu kompletnie nie miałby sensu gdyby dotyczył translatora. Nie ma on też nic do bezpieczeństwa (chyba że są jakieś interakcje z szyfrowaniem, nie wiem, nie szukałem informacji pod tym kątem) i nie dla bezpieczeństwa to powstało.
    Co do odzyskania danych, pomijając kwestie w poprzednich komentarzach, reszta zależy ile TRIM zdążył stron wymazać. TRIM jest też implementowany w HDD SMR - z tego samego powodu (wydajność zapisu, w tej dyskusji chyba nie trzeba wyjaśniać kwestii SMR), choć przyczyny są inne no i nie ma tu optymalizacji zużycia. I tak samo dla SSD jak i HDD TRIM nieodwracalnie niszczy dane - w obszarach które kontroler uzna za puste, czy to z powodu przypadkowego usunięcia danych, czy jakiejś awarii, błędu itp. Jak szybko to się dzieje i wg jakiego algorytmu, pewnie zależnego od danego modelu i producenta, nie wiem. Na komputerze na którym odzyskuję dane mam w każdym razie trim wyłączony.
  • #11 21750482
    SGdata

    Poziom 27  
    Posty: 662
    Pomógł: 125
    Ocena: 179
    helmud7543 napisał:
    kasować można całe strony, a zapisywać bloki komórek.

    Odwrotnie.
    Konto firmowe:
    SGdata
    Spacerowa 90, Gliwice, 44-141 | Strona WWW: https://sgdata.pl
  • #12 21750542
    kaleron

    Specjalista - HDD i odzyskiwanie danych
    Posty: 7040
    Pomógł: 960
    Ocena: 2322
    SGdata napisał:
    zwykle po formacie takich nośników jak karta czy pendrive jednak da się odzyskać dane
    - zwykle - tak, bo dla tego typu nośników nie zawsze funkcja TRIM jest obsługiwana, czy to po stronie samego nośnika, czy po stronie urządzenia/systemu z tego nośnika korzystającego. LDPC samo w sobie nie uniemożliwia odzyskania danych, ale matematycznie jest dużo trudniejsze do obsłużenia od kodów wielomianowych (BCH). Zresztą obie metody ECC powstały w podobnym okresie (przełom lat '50 i '60), ale RS/BCH wygrały, bo były prostsze w implementacji i dopiero niedawno wzrosło zainteresowanie LDPC - trudniejszym, ale skuteczniejszym i wydajniejszym.

    helmud7543 napisał:
    HDD TRIM nieodwracalnie niszczy dane
    - nie tyle sam TRIM, bo w przypadku dysków twardych nie mamy operacji kasowania i dane sobie grzecznie leżą i czekają, póki ktoś ich nie nadpisze, ale sam fakt przepisywania całych stref SMR powoduje, że procesy nadpisywania w przypadku dysków SMR odbywają się szybciej, niż w przypadku dysków z konwencjonalnym zapisem.

    I tak - strona jest minimalną jednostka zapisu/odczytu, a blok - kasowania.
    Konto firmowe:
    Kaleron sp. z o. o.
    Hirszfelda 4/18, Jelcz-Laskowice, 55-231 | Tel.: 713XXXXXX (Pokaż) | Strona WWW: https://kaleron.pl

Podsumowanie tematu

✨ Użytkownik przypadkowo wykonał szybki format karty SD Samsung EVO 512GB podczas próby archiwizacji danych i nie może odzyskać plików za pomocą popularnych programów do odzyskiwania danych, takich jak Easeus Data Recovery, Disk Drill czy DiskGenius, które wykrywają kartę jako pustą. Karta była prawie całkowicie zapełniona, a dane nie były szyfrowane. Problem polega na tym, że szybki format nie usuwa fizycznie danych, ale nadpisuje strukturę plików, co utrudnia ich odzyskanie standardowymi narzędziami. W dyskusji podkreślono, że skuteczne odzyskanie może wymagać użycia specjalistycznego oprogramowania obsługującego niskopoziomowe skanowanie lub usług profesjonalnych laboratoriów odzyskiwania danych, zwłaszcza przy dużych pojemnościach kart SD i braku widocznych plików w standardowych programach.
Wygenerowane przez model językowy.
REKLAMA