硬盘 - 恶意软件感染后清除 HPA 和 DCO 等“隐藏区域”

Question 1

因此，愚蠢地使用 DBAN 擦除了驱动器（PRNG，8 次通过）。后来才知道 DBAN 不会杀死 HPA（主机保护区）和 DCO（驱动器配置覆盖）

因此，我们在此基本承认驱动器已被擦除，因此驱动器上没有分区表、文件系统或数据。因此，不可能存在数据损坏或文件系统损坏，因为两者都不存在，DBAN 已确保这一点，因此以下 HDPARM 警告不适用。

hdparm 有一个更严重的缺点：如果某些参数被误用，它可能会导致计算机崩溃并使其磁盘上的数据无法访问。在约 67 个参数中，有几个参数很危险，如果滥用，可能会导致“大规模文件系统损坏”。

启动 Linux 启动盘并运行hdparm

使用 HDPARM 清除 HPA

对于 x = 您所针对的设备，使用以下 HDPARM 命令显示您是否启用了 HPA。

# hdparm -N /dev/sdx

如果你定义了 HPA，它将返回类似以下内容：

/dev/sdx:
max sectors   = 78125000/78165360, HPA is enabled

要删除 HPA 并将可见区域扩展到驱动器的整个大小，请使用上述报告中的分母（可见区域/最大扇区）：

# hdparm -N p78165360 /dev/sdx

它将返回一份报告，指出可见区域等于最大扇区数，并且 HPA 已被禁用。

/dev/sdx:
setting max visible sectors to 78165360 (permanent)
max sectors   = 78165360/78165360, HPA is disabled

使用 HDPARM 检查 DCO 是否到位并将其恢复为出厂默认设置

由于 DCO 是由制造商设置的，因此您必须接受，对其进行干扰可能会损坏驱动器。但是，如果您认为您遇到了一些可以干扰它的复杂恶意软件，那么这就是您最不用担心的问题了。要查看 DCO，请使用以下 HDPARM 命令。

# hdparm --dco-identify /dev/sdx

在您的示例中，它为您提供了：

/dev/sda:
DCO Revision: 0x0001
The following features can be selectively disabled via DCO:
    Transfer modes:
         mdma0 mdma1 mdma2
         udma0 udma1 udma2 udma3 udma4 udma5 udma6(?)
    Real max sectors: 625142448
    ATA command/feature sets:
         SMART self_test error_log security HPA 48_bit
         (?): selective_test conveyance_test write_read_verify
         (?): WRITE_UNC_EXT
    SATA command/feature sets:
         (?): NCQ interface_power_management SSP

因此，您的驱动器制造商使用 DCO 来定义允许的数据传输模式（MDMA、UDMA）、驱动器的实际大小（最大扇区）以及可以禁用的 ATA/SATA 命令。

如果您想尝试将 DCO 恢复为出厂默认设置，可以使用以下 HDPARM 命令：

# hdparm --dco-restore /dev/sdx

它会向你发出以下警告，即更改 DCO 将导致数据完全丢失。可以将其视为更改分区大小或擦除分区表并使用不正确的参数进行恢复。在擦除的磁盘上，你已经丢失了数据，是吗？基本上是很抱歉您在继续操作之前没有备份数据，如果在命令运行后 DCO 不匹配，并且您认为由于大小重新分配而可以从驱动器中恢复任何内容，那么您就麻烦了。

/dev/sdx:
Use of --dco-restore is VERY DANGEROUS.
You are trying to deliberately reset your drive configuration back to
the factory defaults.
This may change the apparent capacity and feature set of the drive,
making all data on it inaccessible.
You could lose *everything*.
Please supply the --yes-i-know-what-i-am-doing flag if you really want this.
Program aborted.

根据说明，您添加以下“我接受后果”开关：

# hdparm --yes-i-know-what-i-am-doing --dco-restore /dev/sdx

它会告诉你：

/dev/sdx:
issuing DCO restore command

Answer