[SOLVED]Toshiba HDWD120 2TB - po inicjalizacji nieprzydzielony, jak odzyskać partycję

>>21892423

Hmm... Około 5 h.
Od około 17:30 do 22.
Jak tylko skończył, wrzuciłem screeny .

Wykopiuj pierwsze i ostatnie 2100 sektory i wrzuć na forum. Nie sądzę, żebyśmy bez bardziej szczegółowej analizy byli w stanie popchnąć ten temat dalej.

>>21892429
Postaram się to zrobić po powrocie z pracy.
Będę wdzięczny za podpowiedź, czy można to wyciągnąć przy pomocy DMDE i jeśli tak, to z jakiej opcji skorzystać?

Oraz, zakładając najgorszą wersję, czyli że dysk faktycznie został zaszyfrowany. Czy na systemie gdzieś są przechowywane te kody, aby móc je jakoś odczytać/odzyskać?

DMDE->narzędzia->kopiuj sektory->do pliku.

gothicghatr napisał:

zakładając najgorszą wersję czyli, że dysk faktycznie został zaszyfrowany.

- w takim wypadku odnalezionych plików byłoby aż za dużo. Dlatego na ten moment spróbujmy mniej zakładać, a więcej sprawdzać.

>>21892452

kaleron napisał:

DMDE->narzędzia->kopiuj sektory->do pliku.

Poniżej pliki z wyciągniętymi sektorami:

2048 - był bitlocker. Dalej strumień danych wysokiej entropii. Możemy podjąć próbę wstawienia "na pałe" partycji zaczynającej się w 2048 i zobaczyć, co się stanie.

>>21892710
Pewnie, tylko jak to zrobić?

I dopytam przy okazji, jak zdjąć z pozostałych dysków BitLockera, jeśli nie znam klucza?
Bo dochodzi zagwozdka, że niby jest, ale w panelu sterowania nie ma...



I z ciekawości, jeśli bym chciał ostatecznie oddać dysk do firmy zajmującej się odzyskiwaniem danych, czy w przypadku BitLockera jest to w ogóle wykonalne?

O to chodzi?



Tylko zamiast tego, co w przykładzie, podać wartość 2048?

Nie używaj diskparta, bo jeszcze sobie uszkodzisz coś więcej. Wejdź w DMDE->edytor->sektor fizyczny i ustaw się na przedostatnim sektorze. Wejdź w narzędzia->wyszukaj ciąg znaków i tam w "hex" wpisz 00, zaznacz krateczkę "szukaj końca powtórzeń", oraz kropki "od pozycji kursora" i "wstecz". Za chwilę znajdzie Ci jeden sektor z niezerowymi danymi. Ten omiń i powtórz procedurę. Następny znaleziony zgraj i wrzuć na forum. Najpierw analiza, potem działanie.

>>21893142
Będę wdzięczny za podpowiedź, jak zgrać, bo nie widzę takiej opcji. Chodzi o skopiowanie całego sektora, w którym znalazł poszukiwany ciąg znaków?
Póki co mogę podesłać tylko coś takiego.

Ten omin - szukaj dalej (w sensie jeszcze wcześniejszego, tylko "od tyłu" będzie prościej. Narzędzia->kopiuj sektory->do pliku, tylko tym razem skopiuj jeden sektor.

>>21893442
Nie wiem, czy o to chodziło, ale musiałem troszkę poscrollować, bo przeskakiwanie pojedynczo po miliardzie znaków mnie nie bawiło.

To pierwszy sektor, który znalazłem bez samych 00.

Spróbuj wstawić sektor z załącznika do sektora fizycznego 0 dysku. Zapisz dane wycofywania. Program sam to zaproponuje, ale w razie wątpliwości lepiej zapytaj albo skorzystaj z instrukcji.

Mam jeszcze takie pytanie na marginesie - czy próbowałeś odzyskiwać pliki znalezione przez DMDE? Czy one w ogóle działają?

kaleron napisał:

Spróbuj wstawić sektor z załącznika do sektora fizycznego 0 dysku. Zapisz dane wycofywania. Program sam to zaproponuje, ale w razie wątpliwości lepiej zapytaj albo skorzystaj z instrukcji.

Dzisiaj spróbuję to zrobić, weekend majowy niby, a nie miałem chwili wytchnienia dla siebie ;/

kaleron napisał:

Mam jeszcze takie pytanie na marginesie - czy próbowałeś odzyskiwać pliki znalezione przez DMDE? Czy one w ogóle działają?

Z ciekawości spróbowałem odzyskać jakiś film, mimo iż wiedziałem, że to raczej niemożliwe. wg. DMDE miał ponad 50 GB, a takiego na pewno nie miałem. Po odzyskaniu i uruchomieniu film był "pusty", czyli długość 0:00:00.

gothicghatr napisał:

Po odzyskaniu i uruchomieniu film był "pusty",

- spodziewałem się, że nie będzie działać. Jest to dla mnie ciekawe z trochę innego powodu:)

Dodano po 5 [minuty]:

A czy możesz mi zrobić listę znalezionych plików png? Interesują mnie numery z nazw nadanych przez program.

kaleron napisał:

A czy możesz mi zrobić listę znalezionych plików png? Interesują mnie numery z nazw nadanych przez program.

kaleron napisał:

Jest to dla mnie ciekawe z trochę innego powodu:)

Mogę poznać powód?

kaleron napisał:

Spróbuj wstawić sektor z załącznika do sektora fizycznego 0 dysku.

Jeśli dobrze rozumiem, najpierw muszę zezwolić na zapis jak poniżej

A potem z opcji "Narzędzia -> Wypełnij sektory" wybrać sektor 0 i plik od Ciebie, tak?

gothicghatr napisał:

Mogę poznać powód?

- sam fakt znalezienia plików na dysku zaszyfrowanym = w strumieniu danych o wysokiej entropii wynika z losowej zbieżności ciągu symboli z właściwą dla danego typu sygnaturą. Program identyfikuje odnajdywane pliki na podstawie tych sygnatur, ale ponieważ znalezione pliki się nie otwierają mamy tu do czynienia z błędną identyfikacją (wyniki fałszywie pozytywne). I ok - w odpowiednio długim ciągu losowych/pseudolosowych/zaszyfrowanych danych wystąpienie takich fałszywie pozytywnych wyników nie jest niczym dziwnym. One mogą występować też w "normalnych" danych. Ale to, co jest zastanawiające, to:
1/ relatywnie duża liczba znalezionych plików,
2/ nadreprezentacja plików *.png - jest ich znacznie więcej, niż jakichkolwiek innych plików łącznie,
3/ koncentracja tych plików w relatywnie wąskim obszarze - byłbym wdzięczny, jakbyś mi wyeksportował do pliku całą listę tych *.png albo chociaż sprawdził zakres ID ich występowania. Czy wszystkie mają ID +/- [1 292 ??? ???] ?

Mam pomysł, co z tym można zrobić, ale muszę go jeszcze dopracować.

gothicghatr napisał:

najpierw muszę zezwolić na zapis jak poniżej

- tak

gothicghatr napisał:

wybrać sektor 0 i plik od Ciebie, tak?

- plik ode mnie jako źródło, sektor 0, jako docelowy.

kaleron napisał:

- plik ode mnie jako źródło, sektor 0, jako docelowy.

W taki sposób?

kaleron napisał:

Czy wszystkie mają ID +/- [1 292 ??? ???] ?

Dokładnie tak. Ostatni png podświetlony:

gothicghatr napisał:

W taki sposób?

- tak

gothicghatr napisał:

Dokładnie tak. Ostatni png podświetlony:

- dzięki - będę musiał trochę poeksperymentować z pewnymi rzeczami. Mam nadzieję, że Twój problem uda się rozwiązać, ale prywatnie cieszę się, że ten temat pojawił się na Elektrodzie.

>>21896474

kaleron napisał:

tak

Zrobione. Czy teraz robić aktualizację w DMDE?

kaleron napisał:

- dzięki - będę musiał trochę poeksperymentować z pewnymi rzeczami. Mam nadzieję, że Twój problem uda się rozwiązać, ale prywatnie cieszę się, że ten temat pojawił się na Elektrodzie.

Proszę bardzo, nie polecam się w przyszłości

Teraz możesz w zarządzaniu dyskami wybrać "akcja->odśwież" albo przełączyć dysk offline/online i zobaczyć, czy Ci partycja wróci i czy będziesz w stanie ją odszyfrować.

kaleron napisał:

Teraz możesz w zarządzaniu dyskami wybrać "akcja->odśwież" albo przełączyć dysk offline/online i zobaczyć, czy Ci partycja wróci i czy będziesz w stanie ją odszyfrować.

Po wybraniu "Offline/Online"...



Ło Panie! Działa!
Stokrotne DZIĘKI!

Edit. Sprawdziłem parę zdjęć/filmików, wszystko działa <3

Added after 3 [minuty]:

Pozostaje pytanie, jak powyłączać te BitLockery

gothicghatr napisał:

jak powyłączać te BitLockery

Jaką masz wersję Windowsa? Szukaj w panelu sterowania "system i zabezpieczenia" albo "prywatność i zabezpieczenia" - tam gdzieś powinny być ustawienia szyfrowania.

Mam jeszcze prośbę - czy mógłbyś znaleźć i wrzucić na forum (albo wysłać mi na priv) parę sektorów z numerami odpowiadającymi ID plików png znalezionych przez DMDE?

kaleron napisał:

parę sektorów z numerami odpowiadającymi ID plików png znalezionych przez DMDE?

Nie będzie problemu, tylko pytanie, jak to teraz zrobić? Na nowo skanować dysk, czy jakoś ustalić na podstawie wcześniej zapisanego archiwum ze skanowania przed przywróceniem partycji?

Masz na forum obrazek z listą plików i tam jest kolumna ID - wystarczy "kopiuj sektory->do pliku" podając jako numer sektora ID znalezionego pliku png.

kaleron napisał:

Masz na forum obrazek z listą plików i tam jest kolumna ID - wystarczy "kopiuj sektory->do pliku", podając jako numer sektora ID znalezionego pliku png.

W załączniku skopiowany sektor z wcześniej wspomnianego ostatniego .png

kaleron napisał:

Jaką masz wersję Windowsa? Szukaj w panelu sterowania "system i zabezpieczenia" albo "prywatność i zabezpieczenia" - tam gdzieś powinny być ustawienia szyfrowania.

OK znalazłem.



Dziadostwo cholerne...

@gothicghatr A jak go aktualnie wudzi (proszę o scree) program Clear Disk Info?
https://www.elektroda.pl/rtvforum/topic4130224.html#21629794

pidar napisał:

A jakie są Twoje zdolności manualne?

Sądzę, że dobre, na co dzień rozkręcam i skręcam kserokopiarki

pidar napisał:

Potrafisz rozebrać tego pendrive'a

To jest HDD, nie pendrive.