深度揭秘U盘Flash芯片的数据恢复过程

【情况简述】

 故障优盘型号: 台电16G 优盘。优盘损坏通电识别,磁盘管理无媒体

收到硬盘后经过风枪加热后取出FLASH芯片。因这一步属于基本操作,不再赘述。

优盘参数如下:

    主控AU6998,

    FLASH ID:ADDE14A7.  

    容量:16G,双芯片

    检测结果:U盘主控损坏

 

【数据恢复过程】

拆芯片读取芯片数据

 

 

 

页大小18048字节,块大小8192扇区

将芯片数据转化为图形、拖动图形,可以看到大部分区域为雪花,只有少量规律数据,说明是有XOR加密

 

提取出整个块XOR加密数据,对原始数据进行解密

找到FAT表链,分析固件区大小72.每个数据区大小为1024

 

 

 

 

 

分析完整个页之后

页结构为(1024+72)*16

分离固件区和数据区后

在数据区上找到FAT表链位置。

分析FAT表链发现,在整个块上的FAT表链都是连续。

说明没有分离结合。

该U盘有2颗芯片,读出来就有2个dump。既然块内是没有分离结合的,那么就可以直接将两个dump串接起来。

 

 

 

 

没有分离结合,那么块的大小为8192,设置步进8192查看固件区。

O号块的block number 8000.那么block number在512  513字节,掩码为0X8FFF,字节顺序为3412

 

 

 

 

按顺序将块排列之后,发现有丢失块。最终出现的目录有缺失

 

 

【数据恢复结果】

 

 

 

 

丢失的块并不多,说明这些目录下的文件还有可能存在,可以通过对文件系统的修复找到部分目录丢失的文件。

 

 

 

 

里面的文件已经找到。