• Acasă
  • Despre noi
  • Autori
  • Mărturii
  • Arhivă
  • Trimite Articol
  • Contact

WORLDIT

Lumea în 1 și 0.

  • Știri
    • Tehnologie
    • Tehnologie mobilă
    • Securitate
    • Developers
    • Știință
    • Benzi desenate
    • Jocuri
    • Intern
  • Tehnic
    • Browser
    • C#
    • C/C++
    • Challenge
    • HTML/CSS
    • Javascript, Ajax, jQuery
    • Open Source
    • PHP
    • Python
    • Securitate IT
    • Socializare
    • WordPress
    • Altele
  • Recenzii
  • Interviuri
  • Evenimente

Cum poți recupera o partiție de Truecrypt dacă e corupt MBR-ul?

2
  • Publicat de Andrei Avădănei
  • în Fără categorie
  • — 9 apr., 2013 at 6:26 pm

E foarte important să ne protejăm datele ce le stocăm mai ales acum în era tehnologică când o parte semnificativă din viața noastră atât profesională cat și personală e deținută de computerele ce le utilizăm. Trebuie să avem grija ca datele noastre să nu ajungă în mana unor persoane ce nu ne vor binele. Așa a apărut Truecrypt, una dintre cele mai bune soluții de stocare a datelor într-un mod criptat. Una dintre facilitățile de la Truecrypt e că iți permite să criptezi o întreagă partiție și să o montezi când dorești pentru a folosi datele de acolo. Ea se comportă ca o partiție obișnuită doar că e neaccesibila până în momentul în care o montezi. Asta înseamnă că toate informațiile despre ea le găsești în MBR-ul (Mașter Boot Record) HDD-ului.

Cum poți recupera partiția de Truecrypt dacă s-a corupt MBR-ul?

Prin corupere mă refer chiar și la suprascrierea MBR-ului de un alt sistem de operare, un virus ce a scris date acolo, formatarea HDD-ului samd. În majoritatea situațiilor există șanse ca datele pe HDD să fie nealterate (atenție, e important ca primă partiție să nu fie de Truecrypt).

1. Truecrypt Rescue Disk

În momentul în care construiești partiția criptată Truecrypt va avea nevoie de un CD/DVD pe care să facă un backup la Bootloader-ul Truecrypt ce poate fi restaurat foarte repede în cazul coruperii acestuia. Mai multe detalii aici.

2. Recuperarea manuală în situația în care nu avem Rescue Disk

Dacă nu avem sau nu mai găsim Rescue Disk-ul dar știm parola partiției respective există șanse să recuperăm datele de acolo. Să presupunem următoarea situație – avem 3 partiții, nu știm exact dimensiunile dar știm că prima are puțin peste 100GB, a doua aproximativ 150 de GB și e criptată cu Truecrypt iar a treia e tot de aproximativ 150 GB. Mai știm că device-ul are în total aproape 500GB folosiți de cele 3 partiții.

De ce avem nevoie?
0. Închidem PC-ul și nu mai scriem nimic pe HDD.
1. Un HDD extern de cel puțin aceeași dimensiune cu al nostru.
2. Un live CD (stick, DVD etc) cu System Rescue CD.

System Rescue CD

Cum detectăm partiția și o accesăm?

1. Facem un dump la tot HDD-ul pe cel extern. Folosind System Rescue CD, accesăm terminalul și putem da următoarele comenzi, unde /dev/sda e HDD-ul intern iar /dev/sdb e hdd-ul extern :

sudo su
dd if=/dev/sda of=/dev/sdb/hdd.dd bs=1M

Așteptăm câteva ore până se face dump-ul și apoi ne vom focusa doar pe el.
2. Putem încerca să descoperim și celelalte partiții din System Rescue CD folosind comanda testdisk din terminal și încercând atât Quick Scan cat și Deep Scan. Dacă ai noroc și nu e prea mare paguba ai șanse să descoperi și partiția de truecrypt dar foarte improbabil.
3. Instalăm un hexeditor și deschidem noul dump format în două terminale separate.

apt-get install hexedit
hexedit /dev/sdb/hdd.dd

demo

4. Dacă e să ne imaginăm HDD-ul nostru, partiția căutată de noi se va regăsi cu siguranță undeva la poziția 100GB+150GB/2 în HDD. Cu alte cuvinte dacă calculăm offsetul poziției aproximative a ultimului byte din valoarea de 180 GB și îi facem conversia în HEX vom avea ceva de genul 0x2D00000000. În hexedit ctrl+G și scriem acest offset și în acest moment ar trebui să vedem date complet random. Pe ce mizăm acum ca să găsim partiția de Truecrypt? Pe faptul că în momentul în care am criptat partiția toate datele de pe HDD sunt complet random, și nu există prea multe zerouri. Asta înseamnă că dacă mergem în sus prin hexeditor și în jos căutând primul dump de mai mult de să spunem 5-6 zerouri, ar trebui să găsim capetele partiției.
5. Să căutăm capetele partiției. CTRL+S (caută în jos) și scriem 10 zerouri și apoi în celălalt terminal deschis cu hexedit CTRL+R (căutăm în sus) și scriem 10 zerouri. Când găsim foarte multe zerouri înseamnă că am ajuns la capetele celor două căutări și avem partiția. Luăm cele două offset-uri (în hex), facem diferența și conversia decimală în GB. Ar trebui să avem să spunem 156GB care e exact cat partiția noastră. Dacă obținem așa ceva atunci am reușit! Dar mai avem puțin de lucru. Notăm poziția de start și de sfârșit precum si diferența in GB.

Extragem partiția de Truecrypt
Luăm poziția de început, o transformăm în decimal apoi împărțim toată valoarea la 1048576 (1MB în bytes) [START] și facem la fel și cu dimensiunea obținută în diferență. Cei 156GB îi transformăm în bytes și apoi împărțim la 1048576 [COUNT]. Asta ne va ajută să putem copia exact de unde trebuie, numărul ideal de blocuri. (Mai știm că partițiile de truecrypt au un număr de blocuri de 512 bytes clar, adică numărul de blocuri de 512 bytes ai partiției este divizibil cu 512). Deschidem un nou terminal și înlocuim [START] și [COUNT] cu valorile obținute anterior.

sudo su
dd if=/dev/sdb/hdd.dd of=/dev/sdb/tc.tc bs=1M skip=[START] count=[COUNT]

După ceva timp vom avea partită de Truecrypt stocată pe HDD în fișierul tc.tc. Avantajul e că Truecrypt nu-i pasă de formatul partiției sau dacă e fișier sau nu așa că nu ne rămâne decât să testăm dacă ce am obținut e ok.

Testăm dump-ul obținut cu Truecrypt pentru a vedea dacă am descoperit-o bine
Deschidem un alt terminal și dăm următoarele comenzi.

$ ./truecrypt -t --filesystem=none /dev/sdb/tc.tc 
Enter password for /dev/sdb/tc.tc: 
Enter keyfile [none]: 
Protect hidden volume? (y=Yes/n=No) [No]: 
Enter system administrator password: 
$ mount
...
truecrypt on /tmp/.truecrypt_aux_mnt1 type fuse.truecrypt (rw,nosuid,nodev,allow_other)
$ sudo testdisk /tmp/.truecrypt_aux_mnt1/volume

Dacă vom reuși să accesăm cu testdisk fișierul /tmp/.truecrypt_aux_mnt1/volume înseamnă că am reușit să montăm partiția decriptată de Truecrypt și de aici nu trebuie decât să recuperăm datele normal. Cu alte cuvinte am recuperat partiția de Truecrypt. Felicitări! 🙂

truecrypt-s

În loc de încheiere, disclaimer

  • Materialul prezentat se bazează pe o situație reală.
  • Nu încercați să o faceți singuri dacă nu aveți experiență și nu înțelegeți cum funcționează HDD-ul.
  • Experimentați dar nu pe HDD-ul de „producție”.
  • Cifrele folosite sunt orientative, rămâne la latitudinea voastră să le aflați în contextul HDD-ul pe care lucrați.
  • E posibil să nu meargă în toată situațiile.
  • Testarea dump-ului de Truecrypt se poate face și cu doar câțiva MB, asta înseamnă că nu trebuie să faci dd la toată partiția dacă nu ești sigur că ai descoperit headerul bine.
  • Explicațiile nu au fost detaliate pentru că se presupune că respectați punctul 2 al disclaimerului deci înțelegeți ce am făcut.
  • Suntem deschiși și la alte variante.

Daca acest articol contine o greseala, selecteaza cuvintele sau fraza gresita si tasteaza combinatia de taste Shift + Enter sau apasa click aici pentru a o raporta. Multumim!

— Andrei Avădănei a scris 1246 articole

Andrei scrie pe worldit.info din vara lui 2011. Este fondatorul Asociatiei Centrul de Cercetare in Securitate Informatica din Romania - CCSIR si coordoneaza DefCamp, cea mai importanta conferinta de securitate informatica & hacking din Europa Centrala si de Est. Andrei ofera in cadrul Bit Sentinel servicii de securitate informatica, penetration testing, security management, recuperarea de pe urma unui atac cibernetic, training-uri si workshop-uri.

  • Articolul anterior Anonymous a lansat un atac masiv asupra spațiului cibernetic din Israel, #OpIsrael
  • Articolul următor Cum să generezi permutări în node.js?

2 Comentarii

  1. bahluviensis spune:
    aprilie 9, 2013 la 7:15 pm

    A. E valabil si in cazul discurilor de 3TB sau mai mari cu GPT ?

    B. În fraza „Prin corupere mă refer chiar și la suprascrierea MBR-ului de un alt sistem de operare, un virus ce a scris date acolo” ultima porțiune „un virus ce a scris date acolo” = Weiss ? 😉

    • Andrei Avădănei spune:
      aprilie 9, 2013 la 8:21 pm

      A. Da, ar trebui sa fie aproximativ acelasi principiu. Doar ca trebuie sa iei in calcul dimensiunile headerelor ce stiu ca sunt mai mari. Spre exemplu eu cand am gasit partitia de Truecrypt am sters 512 ai headerului NTFS si abia apoi am montat-o pe Truecrypt. Nu stiu exact cat e la GPT dar probabil pe Wikipedia afli raspunsul asta.
      B. Cred ca se aplica si la exemplu dat de tine. :-))


  • Facebook

    WorldIT.info
  • Ultimele Atacuri Cibernetice din Romania – RO Hacked

    • imacoolat-curat.ro
      | Published: februarie 3, 2020 - 2:00 am
    • hotel-palace.ro
      | Published: februarie 2, 2020 - 2:00 am
    • www.tahometru.ro
      | Published: februarie 1, 2020 - 2:00 am
    • alexisart.ro
      | Published: ianuarie 30, 2020 - 2:00 am
    • justshop.ro
      | Published: ianuarie 29, 2020 - 2:00 am
    RO Hacked este registrul atacurilor cibernetice din România.
  • Caută

  • Articole Recomandate

    • Recent Posts
    • Tags
    • Număr record de participanți la DefCamp 2015, cel mai important eveniment dedicat securității cibernetice din Europe Centrala si de Estdecembrie 2, 2015
    • La DefCamp 2015 vei afla prin ce tehnici pot fi evitate măsurile de securitate ale sistemelor informatice criticeoctombrie 16, 2015
    • Ultima sansa sa rezervi bilete de tip Early Bird la DefCamp 2015septembrie 1, 2015
    • 15 sfaturi despre cum poti deveni un programator bun venite de la specialisti romaniaugust 4, 2015
    • algoritmica Android antivirus Apple Avadanei Andrei benzi desenate BitDefender blog browser C++ Chrome concurs eveniment Facebook Firefox Google google chrome hacking html5 infografic informatica internet Internet Explorer IT javascript linux Microsoft Mozilla Firefox online PHP programare retea sociala review Romania securitate Tehnologie Twitter web Windows Windows 7 Wordpress WorldIT worldit.info Yahoo! YouTube
  • ianuarie 2021
    L Ma Mi J V S D
    « dec.    
     123
    45678910
    11121314151617
    18192021222324
    25262728293031
  • Link-uri Sponsorizate

    • laptop second hand

    • Calculatoare Second Hand

    • cod voucher pc garage

  • Home
  • Cum poți recupera o partiție de Truecrypt dacă e corupt MBR-ul?
  • Important

    • Bit Sentinel
    • Centrul de Cercetare în Securitate Informatică din România
    • DefCamp
  • Prieteni

    • BetiT.ro
    • bijuterii handmade
    • Computerica | Resurse gratuite PC
    • Descopera.org
    • Gadgeturi si IT – Giz.ro
  • Prieteni

    • PC – Config
    • RO Hacked
    • Stiri IT

Copyright © 2009-2014 WORLDIT. Toate drepturile Rezervate.
Termeni și condiții | Contact | Licența Creative Commons

Multumim foarte mult ca ne-ai raportat greseala! O vom remedia in cel mai scurt timp posibil.