今天做了一个客户的硬碟,是MyBook 1130系列的3.5寸随身硬碟,因为以前大部分都是全盘镜像的,今天因为时间的关系只镜像了bitmap中有数据的部分,然后就用原外接卡接上,发现提示UNREADABLE,无法读取.

因为以前就知道,这种类型的加密,后面还会有一部分匹配信息,只是这次因为是另外一个同事处理就没有留意这个部分.突然想到了一个问题,那究竟后面多大扇区有加密的匹配信息呢?一开始补上原碟的20,000个扇区,接上外接卡数据正常.

开始做实验,由最后面up搜索FF,发现在1953521027位置开始有信息,如下:

在up搜索发现还有一处内容是一样的.反复测试删除(注:这里的删除意思是填充00,下同)两处信息,发现并不印象资料的读取.而且发现1953521027这部分信息,在删除之后会自动生成,另外一处同样的则不会.

反复删除位元,最后甚至把不上的20,000扇区全部删除,依然可以读取.

可以总结出一些大胆的猜测:

设定:

A 客户盘 Abyte  Amodule Apcb

B 镜像盘 Bbyte Bmodule Apcb

1. Abyte  Amodule Apcb
2. Abyte Bmodule Apcb

开始的时候前面两种方式都可以读取,然后经过第二个方案之后,就算去除Abyte的信息,还是可以读取,即:
3. Bbyte Bmodule Apcb(一开始补能读取,但是经过2之后再还原到3的状态则有可以读取了)

再一个理由就是,我们可以随意更换Apcb,只要是同类型的就可以

结论:
1.pcb板匹配信息会在byte,module数据中,只要匹配其中一个就可以读取,而且会更改另外一项讯息,就像raid5 一样,只不过PCB是固定的其中一个.
2.还没有机会去测试module是否有变化,呵呵,后续如果有机会可以做一个这样的测试:只镜像bitmap中数据,把数据盘的非重要模块写到镜像盘去,看是否可以正常读取,如果可以读取,则进一步证实了,上面的结论.

Apcb+Abyte 可以出数据,且会把Amodule更改为与Abyte相对应

Apcb+Amodule 可以出数据,且会把Abyte更改为与Amoudle相对应