坏字节编辑器Flash Extractor-芯片级数据恢复取证方案025-83608636

坏字节编辑器

我将尝试解释它如何在示例中工作
如果我们知道要使用什么布局，则此方法有效
对于这种情况，布局是 AU6998 1096 Xor 6771_256

1096 是由 72 个 ECC 字节保护的 512 个字节的两个扇区
6771 是异或类型。 256 页是异或块

块中的所有页面都具有相同的坏字节位置
但是偶数块和奇数块有不同的坏字节位置
所以我们需要做两次我们的工作。首先是偶数块，然后是奇数块
我认为在大多数情况下，异或块与坏字节块相同。但可以不同
在不同的转储中，坏字节的位置会有所不同
首先在混合编辑器中添加“Cut Bad Bytes”步骤。并选择它

打开坏字节编辑器

在属性菜单中设置页数 = 256 块大小并设置启用 = on
打开显示应用布局后扇区的十六进制编辑器
找零的地方
通常，我从转储开始使用块大小跳转，直到找到它（ctrl + page_down）

在此处检查热键：十六进制编辑器
或者使用搜索功能。例如，00000000/h/0x400000/0

该扇区的数据只有零
但是由于在 0x88 位置添加了一个额外的字节，Xor 模式被移位并且数据不是未经处理的。您
将其视为随机字节
可以看到 ECC = Error
当我们从受 ECC (2 x 512) 保护的扇区中删除所有坏字节时，我们将看到 ECC = OK
页大小为 17664。因此，一页中有 16 对 (512x2 + ECC) 扇区
在屏幕右侧，您可以看到原始页面
绿色字节是数据。蓝色字节是 SA (ECC)

在屏幕左侧选择第一个错误字节
它将在屏幕右侧自动选择

可以看到有两个字节具有相同的值
我看到控制器如何填充坏字节的两种不同方式
一些控制器用与我们的例子相同的值填充它
一些控制器用 FF 填充它
您可以检查块中的所有页面这两个字节是否具有相同的值
使用屏幕左侧的页面大小跳转（ctrl + page_down）
Page Size 为 17664 = 0x4500，所以需要设置 Jump Size = 0x4000
双击选定的坏字节

你可以看到在屏幕左侧我们现在有更多的零
现在我们在位置 0x8d 有字节字节
双击它删除
使用这种方法，我们可以清理我们的两个扇区 (512 x 2)
如果我们幸运并且 ECC 中没有坏字节，则 ECC 将是绿色的
0x308000000（第一个）
0x308000200（秒）
0x308000400（下一对中的第一个）
在下一对的第一个扇区，您将在扇区开头看到零
如果我们不走运，ECC 将是错误的，并且下一对没有零，
需要在数据区下的 ECC 区搜索具有相同值的字节

上一篇：软件坏字节
下一篇：来自文件的镜像

站内搜索

联系我们