Разное

Tau_0 · Отправлено: **22:04, 14-01-2015** | #11

Цитата HarrysFerrarievich:

создал виртуалку, которую закриптовал также »

Не нравится мне эта вирталка, ох не нравится…--- ХЗ, как оно на вирталке запускаться будет…???... В инструкции рекомендуется установить это чудо на другой хард... Именно на этот хард необходимо установить WinHex и скопировать MBR в файл…

Попробуем…

1. Запускаете WinHex
2. TooLs ===> Open Disk
В Окне в Physical Nedia выбираете хард (увы и ах… --- виртальный диск…).

3. Как сохранить секторы в WinHex…???...
4. По ALT+1 помечаете начало блока (OffSet = 0), а по ALT+2 конец блока (OffSet = 511 = 1FE). Достаточно слева щёлкнуть по полю смещний и представление изменится с Hex <===> Dec
4. По Shift+Ctrl+N сохраняете фрагмент в файл.

5. Вот этот файл (512 байтов всего Вы и прикрепите к ответу или на обменник выложите… Любопытно мне на тот секретный загрузчик посмотреть…

Пока ВСЁ...

HarrysFerrarievich · Конфигурация компьютера

сейчас пока с вируалкой поиграюсь, рабочий ли вообще метод, а после уже, буду делать на основном hdd.
вот.

именно OffSet = 511 = 1FE ? не 512 ?

по поводу загрузчика, прикрепил этот mbr файл в приложении, в архиве.
взят он с устновочной папки программы, как того и рекомендовал разработчик.
открою этот файл, вытащу отсюда 512 байт начальных и закину с замещением на виртуальный образ - экспериментальный.

если интересно, вот тут моя эпопея начиналась, со скринами и паническими сообщениями.

Скрытый текст

http://forum.ru-board.com/topic.cgi?...5998&start=880

на том форуме вот что сказали, нужно вкратце сделать
"скопировать и записать кусок данных из new_mbr, найти по сигнатуре адрес и прописать его в записанный кусок."

и там надо сделать после замены 512 байт следующее-

Скрытый текст

Запоминаете адрес сектора с найденной меткой, потом в начале диска ищите четыре парных байта и записываете вместо них запомненный адрес (записывать, естественно, нужно в обратном порядке - т.е найденный адрес 1A 2A 3A 4A нужно будет перевернуть вот так - 4A 3A 2A 1A).

я собственно не совсем понимаю вот этот финальный шаг как осуществить в WinHex редакторе.
подскажите может также для чайника?

напомню инструкция на англ от разработчика:

далее согласно инструкции от DCPP суппорта, после вышеуказанной замены, ищу
22 AC CD 84 88 42 AD CE CA B0 21 ED 1E 3B 58 41 00 00 00 00

и вот концовочку, может кто из технически подкованных людей понимает что следует сделать?

Скрытый текст

When the place on the disk is found identify the SECTOR offset of this
data. if the offset to the data is a BYTE offset the value will be
wholly divisible by 512 and it should be devided by 512. If it is a
SECTOR number then the number should be left as it is.

The SECTOR number needs to be expressed in hex. For example Sector
0x000740EF might be identified as the place where the above bytes were
found. Now the hex SECTOR number should always have at least eight
digits. so if the sector number is written as (0x) 740EF then add
leading digits so there are at least 8 digits. IE (0x) 000740EF [This
is VERY important]. Now write each pair of digits in REVERSE order,
so we get EF 40 07 00. Do NOT reverse the order of the DIGIT PAIR
which must remain the same. Basically we are dealing with "little
endian" computers which store larger values in low-high order in
ascending memory locations.

Now, on the NEWLEY restored MBR boot loader at SECTOR #0, at offset 10
decimal, (0x0A in hex) enter there - the four pairs of HEX digits,
in the newly reveresed order including any leading zero bytes. Before
these digits their should be 80 80 80 80 (but not on all versions so
don't worry if not)

Save out the sector now modified and reset the computer. If everything
has worked then the bootauth screen should appear.

Tau_0 · Отправлено: **00:33, 16-01-2015** | #13

Цитата HarrysFerrarievich:

именно OffSet = 511 = 1FE ? не 512 ? »

Именно надо копировать интервал [0...511]
Для интереса пересчитайте пальцы на руках, начиная с нуля.
Это будут цифры 0, 1, 2, …, 9. И в Dec, и в Hex будет (основание системы счисления я опустил). Но пальцев будет десять.
Last - First + 1 = 9 - 0 +1 = 10dec или Ah

Конечно для подсчёта пальцев используются натуральные числа, и никакого нуля мы не используем… Говорят, что появление десятичной системы связано с тем, что у человека десять пальцев. А в компьтинге порой удобно индексировать с нуля и использовать нулевые смещения.

Цитата HarrysFerrarievich:

на том форуме вот что сказали, »

Так ведь Вы не следуете моим рекомендациям, они те же, что и на руборде…
Я просил прислать один сектор или 512 байтов, а Вы прислали 74 с хвостиком…
Много не мало, и посмотреть MBR я могу. Но не освоили Вы работу с WinHex.

Потренируйтесь, чтобы не наломать дров…

Скачайте DMDE и пришлите мне сектор LBA = 0 из WinHex и DMDE.
В DMDE дамп делается так:
В главном меню DMDE:
1. Диск --- выбираете физический диск.
2 Сервис ===> Копировать секторы
Заполняете поля:

Пepвый ceктop: = 0
Пocлeдний ceктop: ---- само посчитается
Чиcлo ceктopoв: = 1
Mecтo для зaпиcи ---- выбираете файл.

HarrysFerrarievich · Конфигурация компьютера

Цитата Tau_0:

Именно надо копировать интервал [0...511] »

сорри, я снова о соседней борде, там человек указал:

Цитата:

с самого первого байта по 512-й (в хекс он будет 200-м) выделяйте.

прокоментируйте пожалуйста.

Цитата Tau_0:

Так ведь Вы не следуете моим рекомендациям, они те же, что и на руборде… »

нет-нет, что Вы, что Вы, я досконально Вашим инструкциям следую, я более чем заинтересован и большое Вам спасибо за сие.

Цитата Tau_0:

Потренируйтесь, чтобы не наломать дров… »

ага, вот на вируалке и поднял все и сэмулировал ситуацию идентичную на HDD, который в сторонке лежит, потом "если успешно получится сделать", я его "воткну", сделаю клон и еще раз все проделаю и уже после всего перейду к основному пациенту, дай то Бог получится все.

Цитата Tau_0:

DMDE и пришлите мне сектор »

в приложении прикрепил, надеюсь верно сделал.
также по WinHex, тут сложнее было, выделил вроде ту область кликнул shift+ctrl+n и вот сохранил файло.

Tau_0 · Отправлено: **15:51, 16-01-2015** | #15

Цитата HarrysFerrarievich:

прокоментируйте пожалуйста. »

Я взял картинку с руборда и малость её разрисовал…. См. картинку во вложении.
Мы видим, что данные начинаются со смещения Offset = 00. Нормальный человек бы сказал, что это первый байт. Но мы люди ненормальные --- он для нас нулевой… А смещение последнего байта Offset = 1FFh = 511dec. Поэтому он для нас пятьсот одиннадцатый. --- Привыкайте…
См. Натуральное число

Заметьте, что для нахождения смещения байта, в таблице указано смещение строки. Например, 1F0 --- нулевой элемент в строке., а 1FF --- F-ый или пятнадцатый элемент в строке. А столбцов всего шестнадцать --- сверху синенькие номера стоят…

Цитата HarrysFerrarievich:

в приложении прикрепил, надеюсь верно сделал. »

Напрасно надеетесь, сектор Вы прислали LBA = 0. Вот только ейное нутрё неверное…

--- Внутри классический загрузчик Windows, а не Вашей приблуды (DriveCrypt Plus Pack). А вот первый раз Вы прислали (надеюсь верной версии…) сектор с верным содержимым. ---Сравните… Но нам не нужно 74 сектора, а нужен нулевой…

Жду два файла. --- Один из DMDE, а второй из WinHex…
ЗЫ Файлу из WinHex давайте стандартное расширение .bin

HarrysFerrarievich · Конфигурация компьютера

Tau_0,

Цитата Tau_0:

--- Внутри классический загрузчик Windows, а не Вашей приблуды (DriveCrypt Plus Pack). А вот первый раз Вы прислали (надеюсь верной версии…) сектор с верным содержимым. ---Сравните… »

но так, я ж сделал fixmbr, может я и похерил полностью этот загрузчик от DriveCryptPlusPack. поэтому его и не видно в файле ? так то вроде hdd верно открываю.

в DMDE вот так оно выглядит, DCPP делает резервный логич диск я так понимаю, может быть там он загрузочную область держит, но я чето содержимого не вижу, а вижу там вот такую картинку:

Скрытый текст

а вот сам виртуальный hdd, откуда и скидывал загрузоч область вроде.

Скрытый текст

p.s. может я не тот блок копирую, я копировал сегодня нулевый блок, не пойму куда мне надо спустится и какой блок скопировать .

9285_125 · Отправлено: **23:10, 16-01-2015** | #17

Цитата HarrysFerrarievich:

так редактор взят HxD, вопрос в том, что я несовсем понял, как в нем сие осуществить, опционально. не дает записать, режим для жесткого диска "только для чтения". »

А разве при открытии нет галки типа как на скриншоте?
Если в более новых версиях и нет, то смотри в настройки.

На скриншоте, в настройках выделил не тот чекбокс, а изменить (удалить) приатаченный файл уже не получается. Добавил исправленный скриншот.

Tau_0 · Отправлено: **00:14, 17-01-2015** | #18

Цитата HarrysFerrarievich:

я ж сделал fixmbr, может я и похерил полностью этот загрузчик от DriveCryptPlusPack. »

MBR затёрли точно...

Это Вы на руборде с ником ferrarievich…???... --- Дело в том, что этот руборд меня путает

Скрытый текст

Перевожу Ководство:
1: Install the SAME version of DCPP on another computer and install Bootauth on it. Encrypt the drive and start the decryption
1: Установите ТУ ЖЕ САМУЮ версию DCPP на другой компьютер, и установите на нём Bootauth. Зашифруйте драйв (хард) и начните декодирование

2: Save the first PHYSICAL sector of the boot hard drive on the other computer with a file. I recommend to use a Windows program called HxD for this.
2: Сохраните первый (имеется в виду LBA=0) ФИЗИЧЕСКИЙ сектор жесткого диска c загрузчиком, что на другом компьютере, в файл. Для этого я рекомендую использовать Windows-программу под названием HxD.

3: Transfer the physical sector (512 bytes) on the hard drive with the lost MBR overwriting the restored MBR at physical sector #0. He will have to use a linux or DOS CD with appropriate tools for this operation, or put the drive into another machine and run HXD paste the data over the top of the existing MBR.
3: Перенесите физический сектор (512 байтов) на жесткий диск с потерянной MBR --- перепишите восстановленную MBR в физический сектор #0. Для этой операции используйте CD c linux или DOS с соответствующими инструментами, или поместите драйв (хард) на другую машину. В HXD вставьте данные поверх существующей MBR.

Вот, что надо сделать в первую очередь…

Давайте подробно обсудим и уточним эти три пункта…

ЗЫ Больше всего мне не нравится виртуалка… --- На лету ведь должно расшифровываться…

HarrysFerrarievich · Конфигурация компьютера

9285_125
ага, точно, глаза надо шире открывать, увидел, открыл в режиме записи.

Цитата Tau_0:

Это Вы на руборде с ником ferrarievich »

ага, он самый.

Цитата Tau_0:

MBR затёрли точно... »

ну так да, я и не спорю. его и надо записать, перезаписать точнее.
там видите, этот софт DriveCrypt PlusPack, он криптует весь HDD (то есть с лайв-сд, мы не откроем его), + у меня стояла ПРЕДзагрузочная авторизацию по паролю.
Было дело, что то делал, потом хлоп, чето в сейф моде запустилось, пару вопросов в предазгрузочной консоли, типа "восстановить загрузочную область?", я клацнул типа да, потом попытался, с просонья ее восстановить, типичными для ОБЫЧНОЙ системы fixmbr, и соответственно криптованную загрузочную область от DriveCrypt PlusPack я успешно потёр и доступ к HDD вот уже 5-ый ГОД (!!) закрыт. А там столько фотографий, видео, я никак не могу его отформатировать и вот стресс успокоился (5 лет нехило да?)), и я с новыми силами взялся за процесс. С вашей помощью, хотелось бы попытатся попробовать и если уже этот метод не получится, то, я (не скрою) пущу мужскую скупую слезу, налью чего нибудь покрепче, выпью пару таблеток новопассита, и нажав кнопку "format ? - yes", пойду прогулятся по морозу со стекающей слезой с щеки. Я реально очень трепетно отношусь ко всему, к смс-ками, к HDD, как я сделал такую глупость как fixmbr, ума не приложу(видимо потому, что нету), но я бы хотел, чтобы Вы понимали, как сие важно. Поэтому пытаюсь. Я страницой ранее выкладывал даже полную инструкцию от службы поддержки данного софта. Надеюсь, что оно не всё потерянно. Попытка, не пытка.

Поэтому, вот эксперементально, я установил виртуальную машину, в ней поднял Win 7, закриптовал ее всю посредством DCPP, сделал загрузочную крипто-область, ну и загрузившись в лив-сд, в консоли сделал fixmbr, чтобы нарушить также загрузоч область ну а дальше вот уже неск дней открыта виртуалка с HeX редакторами.

надо выполнить пару планов

1. понять, где именно на hdd, копировать 512 байт, выше вроде относительно разобрались, хоть точно пока нифига не разобрались. или я все таки ту область цеплял, судя по скриншоту? (коль сейчас Вы поняли, что область в new_mbr (512 байт) и на "поломанном" hdd не должна совподать ))

2. понять, как сделать вот это ))

"Запоминаете адрес сектора с найденной меткой, потом в начале диска ищите четыре парных байта и записываете вместо них запомненный адрес (записывать, естественно, нужно в обратном порядке - т.е найденный адрес 1A 2A 3A 4A нужно будет перевернуть вот так - 4A 3A 2A 1A). "

и согласно инструкции DCPP, мне надо после вышеуказанной замены 512 байт, найти 22 AC CD 84 88 42 AD CE CA B0 21 ED 1E 3B 58 41 00 00 00 00 , я правда не совсем понял что делать именно с этой записью, жуть жуткая блин )

Цитата Tau_0:

ЗЫ Больше всего мне не нравится виртуалка… --- На лету ведь должно расшифровываться… »

не совсем понял Вас, так расшифровыватся не чему, я же сделал полную эмуляцию того действа, что я сделал со своим жестким диском, на который потом перрейду, если тесты пройдут успешно.

я повторюсь, что виртуалка, это обычная ситуация с HDD, там нет отличия, кроме удобства тестов.
я поставил на нее Win7, поставил софт DCPP (ту-же версию, что на пациенте), закриптовал, перезагрузился, поломал загрузочную область коммандой fixmbr, ну и далее загрузка там с live-cd и запуск HeX редакторов и пока стою на этом месте..

Tau_0 · Отправлено: **12:21, 18-01-2015** | #20

HarrysFerrarievich, вынудили Вы меня поискать описание DCPP.
Мне очень не понравилось следующее ===>

Цитата:

Еще одно огромное преимущество утилиты DCPP состоит в том, что парольная фраза вводится на уровне БИОСа перед загрузкой Windows. Важность этого момента трудно переоценить.

См. Например эдесь

По-моему это пипец…

Неспроста Вам указывали на то что DCPP надо поставить на другой компьютер, а не просто на другой хард… --- Это для того, чтобы пароль в BIOS не сбить…

А остальное просто как дерево…
===========================

Цитата HarrysFerrarievich:

и согласно инструкции DCPP, мне надо после вышеуказанной замены 512 байт, найти 22 AC CD 84 88 42 AD CE CA B0 21 ED 1E 3B 58 41 00 00 00 00 , я правда не совсем понял что делать именно с этой записью, жуть жуткая блин ) »

1. На другой машине надо было найти сектор содержащий последовательность байтов “22 AC CD 84 88 42 AD CE CA B0 21 ED 1E 3B 58 41 00 00 00 00”. Термин "запись", как впрочем и "строка" здесь нехорош…
В WinHex этот поиск элементарен. Выставляете условие поиска Offset mod 512 = 0, и ищите

2. Модифицируете MBR по OffSet = 0x0A = 10dec номером сектора (в Hex "little endian").

3. Записываете эту восстановленную MBR на хард с затёртой MBR

Давайте побалуемся, чтобы лучше это прочувствовать и осознать... --- Может старые пароли (если они у Вас есть) спасут...???...
Найдите последовательность байтов “22 AC CD 84 88 42 AD CE CA B0 21 ED 1E 3B 58 41 00 00 00 00” на старом харде. И приложите к ответу картинку из WinHex