——編者按硬盤開盤(第六期)        “技術(shù)實戰(zhàn)-硬盤開盤”系列第六期，效率源工程師講解第四個技術(shù)實戰(zhàn)案例-西數(shù)1TB 恢復(fù)移動硬盤的開盤數(shù)據(jù)。本案涉及的硬盤內(nèi)0號盤被嚴重劃傷，是USB接口，同時采用雙加密(硬盤固件加密) 與前三個硬盤相比，USB固件加密具有獨特的典型性。最大的困難(不同之處在于，常規(guī)硬盤更換磁頭后，可以直接鏡像和讀取數(shù)據(jù)。

USB接口的雙加密硬盤需要更換兩次電路板，繞過缺陷硬盤訪問，模擬解密軟件所需的數(shù)據(jù)啟動WDunlocker，輸入密鑰獲取數(shù)據(jù)解密key，實現(xiàn)解密。否則，即使鏡像成功，也看不到原始數(shù)據(jù)，數(shù)據(jù)恢復(fù)直接失敗。        USB接口一般用于移動硬盤，具有容量大、體積小、速度高、使用方便等特點。為了提高數(shù)據(jù)安全性，許多品牌的移動硬盤制造商為其高端產(chǎn)品配備了優(yōu)秀的加密方法。例如西方數(shù)據(jù)（WD）為自己的系列(如圖1所示)配備硬盤固件加密和USB固件加密(使用WDunlocker軟件加密)。雙加密確實加強了數(shù)據(jù)安全保護，但當硬盤出現(xiàn)故障時，硬盤數(shù)據(jù)恢復(fù)也遇到了很大的解密問題。 【圖1：wd硬盤 My Passport Ultra系列】 實戰(zhàn)對象       WD硬盤1TB移動硬盤WD My Passport Ultra系列，USB接口，外觀完好，無明顯摔傷痕跡。硬盤雙重加密(硬盤固件加密) USB固件加密)。 硬盤準備(3塊實體盤)1、恢復(fù)盤A       USB移動硬盤有故障，存儲需要提取的數(shù)據(jù) 2、鏡像盤B       鏡像復(fù)制數(shù)據(jù)，后期分析 3、配件盤C       更換磁頭和電路板(與A固件版本相同的普通硬盤) 故障現(xiàn)象        硬盤在使用過程中突然不識別，通電有異響 故障檢測   恢復(fù)移動硬盤數(shù)據(jù)     由于本案例是USB接口和雙加密，因此需要使用特殊的解密方法，高效源動員資深移動硬盤解密研究員組成專家組，全面開展數(shù)據(jù)恢復(fù)。       望：360度檢查恢復(fù)盤A，外觀無跌傷痕跡，包括硬盤周圍和最易變形的角落。       看：360度檢查恢復(fù)盤A，外觀上沒有摔傷痕跡，包括硬盤周圍和邊角最容易變形。        氣味：與DRS數(shù)據(jù)恢復(fù)系統(tǒng)(圖2)相連，通電檢測，異響。 【圖2：DRS數(shù)據(jù)恢復(fù)系統(tǒng)可以預(yù)測硬盤硬件的健康狀況        問:根據(jù)描述，硬盤數(shù)據(jù)是高度機密的。同時，硬盤除硬件加密外，USB固件也通過WD自帶的程序WDunlocker加密。       切割：更換恢復(fù)板A的電路板后，仍有異響，排除是由電路板引起的。在雙百級無塵工作室開盤檢測，發(fā)現(xiàn)0號盤1號頭盤劃傷(相當嚴重)(見圖3)。 【圖3：紅色箭頭有劃痕，肉眼可以在實體盤上看到劃痕]        綜合判斷，通過特殊手段仍有希望恢復(fù)，但只有30%。前四期詳細說明了具體的觀察、檢測、開盤等方法，這里不贅述。 數(shù)據(jù)恢復(fù)1、開盤，換磁頭      繼續(xù)在雙百級無塵工作室更換配件盤C的磁頭到恢復(fù)盤A。第一期介紹了具體方法，不贅述。 2、更換電路板(ATA接口)       更換配件盤C電路板(ATA接口)和恢復(fù)盤A電路板。由于USB接口無法處理復(fù)雜的缺陷，因此需要更換轉(zhuǎn)接口。 3、鏡像，分開讀取數(shù)據(jù)       在故障檢測中已經(jīng)確定，硬盤0號盤1號盤嚴重劃傷。在這種情況下，不能直接讀取，否則磁頭會損壞，甚至會劃傷其他磁盤，嚴重影響結(jié)果。效率源工程師使用DRS數(shù)據(jù)恢復(fù)系統(tǒng)的“單獨讀取”功能（圖4）單獨處理硬盤，跳過磁盤劃傷區(qū)域，將恢復(fù)磁盤A數(shù)據(jù)轉(zhuǎn)移到鏡像磁盤B。 【圖4：“分頭讀取”可用于DRS數(shù)據(jù)恢復(fù)系統(tǒng) (此圖僅顯示“分頭”效果，非本案硬盤對應(yīng)圖片，圖中H1-H8均可選擇) 4、特殊處理，解密       由于恢復(fù)盤A被雙重加密，數(shù)據(jù)雖然鏡像到了鏡像盤B，但看不到原始數(shù)據(jù)，需要解密才能實現(xiàn)硬盤的正常識別，這也是案件的難點之一。       如果恢復(fù)盤A只是硬盤固件加密，DRS相關(guān)操作可以直接解密。       如果恢復(fù)磁盤A僅對硬盤固件進行加密，則可以直接使用DRS相關(guān)操作進行解密。然而，如果磁盤是“雙重加密”，難度將急劇升級。我們必須首先解決一個關(guān)鍵問題——讓恢復(fù)磁盤A彈出WDunlocker軟件加密的解密對話框。恢復(fù)板A移動硬盤數(shù)據(jù)恢復(fù)是一個有磁盤劃痕的故障磁盤。如果再次使用計算機啟動，硬盤可能會造成二次損壞或無法讀取。       在數(shù)據(jù)恢復(fù)實踐中，類似的情況經(jīng)常發(fā)生，效率源工程師制定了一套完整有效的解決方案，使用第二電路板更換彈出對話框（具體操作策略），不僅保護硬盤不受二次損壞，而且顯示解密對話框（圖5移動硬盤數(shù)據(jù)恢復(fù)）。 【圖5：軟件解密對話框(藍色框)通過特殊手段顯示] 5、恢復(fù)數(shù)據(jù)       此時，利用效率源DRS數(shù)據(jù)恢復(fù)系統(tǒng)的數(shù)據(jù)提取功能，同時提取恢復(fù)盤A和鏡像盤B的數(shù)據(jù)。DRS在讀取恢復(fù)盤A的過程中，會自動調(diào)整讀取鏡像盤B的數(shù)據(jù)。最后，數(shù)據(jù)恢復(fù)圓滿成功(如圖6所示)。 【圖6：提取結(jié)果】 編后語： 據(jù)效率源工程師介紹，本案最大的困難有兩個:(1)USB接口硬盤的復(fù)雜缺陷處理(分別讀取)；(2)解密對話框在沒有PC啟動硬盤的情況下彈出。這兩點，工程師都是利用自主研發(fā)的特殊手段來解決的。同時，鑒于情況較為普遍，分頭技術(shù)已集成到最新的DRS數(shù)據(jù)恢復(fù)系統(tǒng)等產(chǎn)品中，可通過點擊操作完成。但類似于換板解密操作，需要手動進行，對操作人員的綜合材料要求特別高，必須有非常精致的實踐經(jīng)驗才能開始，否則可能直接導(dǎo)致數(shù)據(jù)恢復(fù)失敗。 【 技術(shù)實戰(zhàn)]系列推薦： 1、【技術(shù)實戰(zhàn)】硬盤開盤第一期:WD硬盤切割成“環(huán)形跑道”的數(shù)據(jù)恢復(fù)開盤檢測 2、【技術(shù)實戰(zhàn)】硬盤開盤第二期:WD硬盤切割成“環(huán)形跑道”的數(shù)據(jù)恢復(fù)換磁頭 3、【技術(shù)實戰(zhàn)】硬盤開盤第三期:WD硬盤切割成“環(huán)形跑道”的數(shù)據(jù)恢復(fù)熱換板 4、【技術(shù)實戰(zhàn)】硬盤開盤第四期:：大戰(zhàn)4天 東芝500G硬盤片碰傷“一個小點” 數(shù)據(jù)恢復(fù)實戰(zhàn) 5、【技術(shù)實戰(zhàn)】硬盤開盤第五期:希捷500G硬盤多次開盤 搶救重要數(shù)據(jù)的特殊手段