Один из читателей специально сделал "чистую" систему, запустил туда CIH и поставил 26
апреля. Как все происходило: прошло обращение к винту - и машина мертво зависла.
После reset'а - даже монитор из дежурного не захотел выходить - ну, правильно,
а кто будет видеокарточку "поднимать"? BIOS'а то уже нет :), стояла
у него motherboard - EliteGroup P5VXBE с обычным биосом - Award Flash.
Классный эксперимент, правда? :) После перестановки BIOS'а все заработало нормально
(винт, ессно, потерся).
Ну, вот. А вот как восстанавливать данные с винта, где CIH вытирает ровно
2048 секторов? (по 512 байт - ровно 1Mb). Этого с лихвой хватает на потерю MBR
(таблицы разделов), boot-сектора, обоих копий FAT, корневой директории и первых
файлов, находящихся в начале диска. Обычно это всякие io.sys, msdos.sys, command.com
и пр. требуха.
В принципе, если бы на одном цилиндре вмещалось 2048 секторов, то все ограничилось
бы только MBR и все было бы просто прекрасно, но я пока таких дисков не знаю
:))
Итак, что делать, как восстанавливать? Надо признать, но CIH подкармливает сейчас
многих, кто понимает, что нужно делать. Ну, тут уж, что поделать, за ошибки
приходится платить.
Достать можно директории, которые сохранились далее по дисковому пространству.
Корневой, ясное дело, нет. Но впрочем, там никто файлов и не держит. С другой
стороны, нет FATа - это самое фиговое в этой ситуации. Если диск фрагментирован
(а это практически всегда так - ну маловероятно, что перед самым крахом кто
взял и провел дефрагментацию!), то достать большие файлы (нетекстовые - архивы,
например) будет почти невозможно. Но обычно-то, народ теряет какие-то важные
текстовики. Вот тут надо просто ручками искать все кластеры, содержащие нужный
текст и сбрасывать их куда надо. Вообще, есть специальная программа, называется
TIRAMISU - она этот процесс
несколько автоматизирует, даже разбирается с длинными именами и понимает FAT32
(это где четырехбайтовый [unsigned long] FAT). Программа даже как-то там пытается
анализировать кусочки из кластеров (видимо, разделяет бинарники и тексты) но
я очень сомневаюсь, что она понимает русские тексты или вообще, как-то их подразделяет.
Все равно, лучше уж ручками. Конечно, вероятность есть, что большая база данных
записана последовательно, но... представьте, если она как-то подпаковывается
или шифруется - вообще, непонятно, как такие вещи доставать, а уж какая-то программа
и тем более ничего не просечет.
Небольшие файлики (не больше размера кластера) достать нет проблем - это понятно.
Даже первого вхождения не надо. Правда, когда винт большой - работы много. Ну,
тут уж зависит от важности информации.
А ручками чем делать? de.exe - что ж еще? :)) Между прочим, я не понимаю,
почему такая полезная программа особо никем серьезно не развивается. Кое-каких
функций там явно не хватает (например, давно пора вставить туда функции fdisk'а).
Ну, понятно, под windows с ней работать нельзя, ну и что, пусть без GUI - он,
собственно, и не нужен там.
http://www.virusbtn.com/VirusInformation/cih.html
- пожалуй лучшее описание (англ.) вируса CIH и как он сделан. (линком
поделился Evgeny Zemlerub)
|