Команда dd и все, что с ней связано. Как получить содержимое MBR
Что такое MBR?
Главная загрузочная запись (англ. master boot record , MBR ) - код и данные, необходимые для последующей загрузки операционной системы и расположенные в первых физических секторах (чаще всего в самом первом) на жёстком диске или другом устройстве хранения информации.
MBR содержит небольшой фрагмент исполняемого кода, таблицу разделов (partition table) и специальную сигнатуру.
Функция MBR - «переход» в тот раздел жёсткого диска, с которого следует исполнять «дальнейший код» (обычно - загружать ОС). На «стадии MBR» происходит выбор раздела диска, загрузка кода ОС происходит на более поздних этапах алгоритма.
В процессе запуска компьютера, после окончания начального теста (Power-on self-test - POST ), Базовая система ввода-вывода (BIOS ) загружает «код MBR» в оперативную память и передаёт управление находящемуся в MBR загрузочному коду.
Зачем необходимо делать дамп MBR?
Дамп MBR необходимо делать при заражении системы различными видами троянов-вымогателей класса MBR.Locker или загрузочных руткитов (буткитов ) для отправки хелперам или вирусным аналитикам для исследования и получения методов лечения.
Способы получения дампа MBR.
Данная статья не претендует на полноту и не содержит всеобъемлющий список способов получения дампов MBR. Рассмотренные здесь способы не требуют углубленных знаний по использованию различных утилит, командам консоли и проч.
Так как использование компьютера при заражении системы троянами класса MBR.Locker невозможно по причине блокирования загрузки системы на начальном уровне, копировать загрузочную область мы будем с помощью LiveCD. LiveCD могут базироваться на основе ОС Windows (Windows PE 2.0, Windows PE 3.0, BartPE ), так и на основе Linux - таких абсолютное большинство от полных Live версий известных сборок, например Ubuntu, Fedora и проч, до специализированных мини-сборок таких, как диски восстановления от и специальные сборки для восстановления данных и работы с разделами жестких дисков.
Мы рассмотрим способы получения дампа с использованием Windows PE и Linux-based LiveCD от Лаборатории Касперского - Kaspersky Rescue Disk . Повторять все описанные действия и способы нет необходимости , выберите способ, который наиболее подходит для Вас. Итак приступим:
Получение дампа MBR с использованием LiveCD на основе Windows PE .
Для этого способа потребуется диск с записанным на него образом Windows PE , скачанным с интернета или созданным по (также можно собрать свой LiveCD с помощью конструкторов BartPE builder или UBCD4Win , для создания которых потребуется диск с дистрибутивом Windows XP ). Пользователи Windows Vista / Seven также могут воспользоваться , находящейся на установочном диске данных ОС (среда восстановления предустановленная на скрытых разделах жесткого диска, для нашей цели не подходит, так как доступ к ней будет заблокирован). Так же потребуется флеш-накопитель с записанной на него одной из утилит, которая и будет использоваться для копирования MBR в файл. Следует ответить, что при использовании загрузочных дисков на основе BartPE , флеш-накопитель следует подключить к компьютеру до начала загрузки (при использовании среды восстановления и загрузочных дисков Windows PE 2.0 / 3.0 флеш-накопитель подключать можно в любой момент времени).
!!! Внимание. Скачивание утилит и запись образов на CD необходимо производить на заведомо чистых системах.
____________________________________________________________
Получение дампа MBR с помощью утилиты get_mbr by thyrex
!!! Внимание. Данный способ не сработает, если повреждена таблица разделов .
!!! Внимание. Некоторые антивирусы
В UNIX системах есть одна очень древняя команда, которая называется dd. Она предназначена для того, чтобы что-то куда-то копировать побайтово. На первый взгляд - ничего выдающегося, но если рассмотреть все возможности этого универсального инструмента, то можно выполнять довольно сложные операции без привлечения дополнительного ПО, например: выполнять резервную копию MBR, создавать дампы данных с различных накопителей, зеркалировать носители информации, восстанавливать из резервной копии данные на носители и многое другое, а, при совмещении возможностей dd и поддержке криптографических алгоритмов ядра Linux, можно даже создавать зашифрованные файлы, содержащие в себе целую файловую систему.
Опять же, в заметке я опишу самые часто используемые примеры использования команды, которые очень облегчают работу в UNIX системах.
Начну с небольшого примера, наглядно иллюстрирующего основные параметры команды:
# dd if=/dev/urandom of=/dev/null bs=100M count=5
Параметры:
- if: указывает на источник, т.е. на то, откуда копируем. Указывается файл, который может быть как обычным файлом, так и файлом устройства.
- of: указывает на файл назначения. То же самое, писать можем как в обычный файл, так и напрямую в устройство.
- bs: количество байт, которые будут записаны за раз. Можно представлять этот аргумент как размер куска данные, которые будут записаны или прочитаны, а количество кусков регулируется уже следующим параметром.
- count: как раз то число, которое указывает: сколько кусочков будет скопировано.
Создание образа диска:
# dd if=/dev/cdrom of=image.iso
Команда будет считывать из устройства данные и записывать в файл до тех пор, пока не достигнет окончания устройства. Если диск битый, можно попробовать его прочитать, игнорируя ошибки чтения:
# dd if=/dev/cdrom of=image.iso conv=noerror
Параметр «conv» позволяет подключать несколько фильтров, применимых к потоку данных. Фильтр «noerror» как раз отключает остановку работы программы, когда наткнется на ошибку чтения. Таким образом, некоторые данные с диска все же можно будет прочитать. Точно таким образом я спас данные со своей флешки Corsair, которую погнули: подобрал подходящее положение, когда контакт есть, и сделал дамп файловой системы.
Подключить, кстати, такие образы можно при помощи команды mount с ключем "-o loop":
# mount -o loop image.iso /mnt/image
Если что-то не получается, процесс разбивается на 2 уровня:
# losetup -e /dev/loop0 image.iso
Если и так не работает, значит файловая система образа полетела.
Работа с носителями информации
Очень простое, хоть и не оптимальное решение клонирования жесткого диска:
# dd if=/dev/sda of=/dev/sdb bs=4096
Все то же побайтовой копирование с размером буфера 4 Кб. Минус способа в том, что при любой заполненности разделов копироваться будут все биты, что не выгодно при копировании разделов с маленькой заполненностью. Чтобы уменьшить время копирования при манипуляции с большими объемами данных, можно просто перенести MBR на новый носитель (я ниже опишу как), перечитать таблицу разделов ядра (при помощи того же fdisk), создать файловые системы и просто скопировать файлы (не забыв сохранить права доступа к файлам).
Как вариант, можно даже по расписанию делать бекап раздела по сети. Разрулив ключи ssh будет работать такая схема:
# dd if=/dev/DEVICE | ssh user@host «dd of=/home/user/DEVICE.img».
Когда-то читал исследование, согласно которому очень большая доля жестких дисков на барахолке подвергается восстановлению данных без привлечения чего-то специализированного, и содержит конфиденциальную информацию. Чтобы на носителе ничего нельзя было восстановить - можно забить его нулями:
# dd if=/dev/zero of=/dev/DEVICE
Думаю, понятно на что нужно заменить DEVICE. После проведения лекций по Linux, я очень тщательно стал следить за тем, что пишу.
Проверить можно тем же dd, но преобразовав данные в hex:
# dd if=/dev/sda | hexdump -C
Должны посыпаться нули.
Операции с MBR
MBR расположена в первых 512 байтах жесткого диска, и состоит из таблицы разделов, загрузчика и пары доп. байт. Иногда, ее приходится бекапить, восстанавливать и т.д. Бекап выполняется так:
# dd if=/dev/sda of=mbr.img bs=512 count=1
Восстановить можно проще:
# dd if=mbr.img of=/dev/sda
Причины этих махинаций с MBR могут быть разные, однако хочу рассказать одну особенность, взятую из опыта: после восстановления давней копии MBR, где один из разделов был ext3, а позже стал FAT и использовался Windows, раздел перестал видиться виндой. Причина - ID раздела, который хранится в MBR. Если UNIX монтирует файловые системы согласно суперблоку, то винды ориентируются на ID разделов из MBR. Поэтому всегда нужно проверять ID разделов при помощи fdisk, особенно если на компьютере есть винды.
Генерация файлов
При помощи dd можно генерировать файлы, а затем использовать их как контейнеры других файловых систем даже в зашифрованном виде. Технология следующая:
При помощи dd создается файл, забитый нулями (случайными числами забивать не рационально: долго и бессмысленно):
# dd if=/dev/zero of=image.crypted bs=1M count=1000
Создался файл размером почти в гигабайт. Теперь нужно сделать этот файл блочным устройством и, при этом, пропустить его через механизм шифрования ядра linux. Я выберу алгоритм blowfish. Подгрузка модулей:
# modprobe cryptoloop
# modprobe blowfish
Ассоциация образа с блочным устройством со включенным шифрованием:
# losetup -e blowfish /dev/loop0 image.crypted
Команда запросит ввести пароль, который и будет ключем к образу. Если ключ введен не правильно, система не смонтируется. Можно будет заново создать данные в образе, используя новый ключ, но к старым данным доступа не будет.
Создаем файловую систему и монтируем:
# mkfs.ext2 /dev/loop0
# mount /dev/loop0 /mnt/image
Образ готов к записи данных. После завершения работы с ним, нужно не забыть его отмонтировать и отключить от блочного loop устройства:
# umount /dev/loop0
# losetup -d /dev/loop0
Теперь шифрованный образ готов.
Основные идеи я расписал, однако множество задач, которые можно решить при помощи маленькой программки, имя которой состоит из двух букв, намного шире. Программа «dd» - яркий пример того, что IT"шники называют «UNIX way»: одна программа - часть механизма, выполняет исключительно свою задачу, и выполняет ее хорошо. В руках человека, который знает свое дело, которому свойственен не стандартный подход к решению задачи, такие маленькие программки помогут быстро и эффективно решать комплексные задачи, которые, на первый взгляд, должны решать крупные специализированные пакеты.
Выбор одного из стандартов GPT или MBR может оказаться довольно простым для владельца нового компьютера с большим жёстким диском и современным интерфейсом UEFI.
Такие параметры требуют перехода на более современный стандарт.
Тогда как при наличии более или ПК выбор может быть сделан в пользу практически устаревшего MBR – а он может оказаться и вообще единственным вариантом.
Cодержание:
Что означают эти аббревиатуры?
Любой жёсткий диск или твердотельный накопитель перед использованием для записи операционной системы, системной и другой информации обязательно разбивается на разделы.
Стандарт MBR, расшифровывающийся как «главная загрузочная запись» , представляет собой старый способ хранения данных , GPT (или «таблица разделов GUID») – новый.
Оба они необходимы ещё и для хранения сведений о начале и конце каждого раздела, благодаря которым система узнаёт расположение секторов и определяет, загрузочной ли является эта часть диска или нет.
Хотя при этом MBR считается надёжной и простой – и восстановление требуется нечасто.
К минусам стандарта относится невозможность поддержки большого количества разделов – небольшой недостаток для HDD размером до 500 ГБ, но уже достаточно серьёзный для терабайтных или даже 4-терабайтных моделей.
При необходимости создать больше 4 разделов требовалось использовать достаточно сложную технологию EBR.
Вторая проблема, связанная с увеличением объёмов жёстких дисков, заключается в невозможности работать с разделами больше 2,2 ТБ.
Преимущества и недостатки нового стандарта
Усовершенствованный стандарт GPT, постепенно заменяющий MBR, входит в состав технологии UEFI, который, в свою очередь, заменяет устаревший интерфейс BIOS.
У каждого раздела есть свой уникальный идентификатор – очень длинную строку символов. Преимуществом GPT по сравнению с устаревшим стандартом можно назвать :
- отсутствие ограничений на объём раздела. Точнее, максимальная величина всё же существует – но достичь её получится не раньше, чем через несколько десятилетий;
- неограниченное количество разделов – до 264 в целом, до 128 для ОС Windows.
На диске, поддерживающем стандарт MBR, данные о разделах и загрузке расположены в том же месте. При повреждении этой части накопителя у пользователя ПК возникает целый ряд проблем.
Ещё одно отличие GPT – хранение циклического избыточного кода, позволяющего контролировать сохранность данных.
Повреждение информации приводит к немедленной попытке её восстановления.
В то время как при использовании MBR узнать о проблеме получается уже после того, как система перестала загружаться, а её разделы исчезли.
Среди минусов стандарта стоит отметить отсутствие поддержки предыдущих технологий – . И, хотя операционная система с устаревшим интерфейсом распознаёт , вероятность её загрузки минимальна. Кроме того, при использовании этого варианта нельзя назначать имена всем дискам, так же как разделам, а восстановление данных не всегда доступно – из-за ограничения количества и расположения дубликатов таблиц.
Совместимость
Попытка настроить диск GPT с помощью технологий, поддерживающих только MBR, ни к чему не приведёт – таким образом, защитный вариант главной загрузочной записи предотвращает случайную перезапись и разметку по старому стандарту.
Системы Windows загружаются с размеченных по технологии GPT дисков только на устройствах, поддерживающих интерфейс UEFI – то есть на ноутбуках и ПК с Виндоус от Vista до 10-й.
Если прошивка материнской платы содержит , разделы будут читаться, но загрузки, скорее всего, не произойдёт.
Хотя эти же операционные системы способны работать с GPT-дисками в качестве хранилища информации.
Следует знать: Стандарт GPT поддерживается и другими операционными системами – в том числе, Linux. А на компьютерах марки Apple эта технология заменила старую таблицу разделов APT.
Сравнение стандартов
Для оценки сходства и различий двух стандартов, возможностей их работы , накопителями и загрузочным интерфейсом, стоит создать небольшую сравнительную таблицу.
По ней намного проще определиться с тем, какой стандарт разделов использовать для своего компьютера .
| Стандарт | MBR | GPT |
|---|---|---|
| Работа с прошивками | С BIOS и с UEFI | Только с UEFI |
| Поддержка Windows | Все версии, начиная с самых первых | Только 64-битные версии Windows 7 и Vista, все варианты Виндоус 8 и 10 |
| Чтение и запись | Любые платформы | Все операционные системы Windows от Vista и выше + XP Professional 64-бит |
| Число разделов одного диска | Не больше 4 | До 264 |
| Максимальный размер раздела | 2,2 ТБ | 9,4 х 109 ТБ |
| Встроенный мультизагрузчик | Отсутствует | Есть |
Проблемы работы с новым стандартом и их решение
Существование двух стандартов может привести к появлению определённых проблем. Особенно, если на компьютере запрещена загрузка другим способом, кроме использования жёсткого диска.
Исправить ситуацию позволяет переход к , который не позволяет работать с новым стандартом – и при попытке загрузиться на экране возникает ошибка, сообщающая о наличии стиля разделов GPT.
Решить проблему не так сложно – для этого понадобится взять обычный загрузочный диск с ОС Виндоус и выполнить следующие действия :
- Начать загрузку с диска ;
- Дойти до момента выбора раздела , на котором появляется проблема;
- Запустить консоль (одновременное нажатие Shift и F10 );
- Начать работу со специальной утилитой, введя команду diskpart .
После того как программа запущена следует набрать «list disk» , что приведёт к появлению на экране списка пронумерованных дисков.
Теперь достаточно ввести в командной строке «clean» , очистив лишнюю информацию, и перейти к преобразованию стандартов.
Для того чтобы диск GPT был преобразован в устаревший формат следует ввести команду convert mbr , позволяющую работать с диском и ставить на него любую платформу.
Эта же утилита обеспечивает работу с разделами.
Например, введение команды «create partition primary size=X» создаёт раздел размером X Гб, «format fs=ntfs label=»System» quick» выполняет форматирование в NTFS, а «active» позволяет разделу стать активным.
Одним из эффективных шагов по устранению неполадок связанную с загрузкой windows, является восстановление загрузочной записи Master Boot Record или MBR. Одна из распространенных причин, по которым MBR может быть повреждена, связана с заражением вредоносными программами. Неправильное завершение работы также может привести к повреждению загрузочной записи (MBR). Иногда проблемы бывают, когда Linux Grub установлен, и Windows не может его обнаружить. В некоторых случаях вы можете получить ошибку Bootmgr is Missing или BCD при включении компьютера. В таких случаях вы можете запустить восстановление MBR для устранения этих проблем.
Восстановление загрузчика Master Boot Record (MBR) в Windows 10
Нам нужно запустить командную строку (cmd) при загрузке системы windows, когда она не работает и не загружается на рабочий стол. Процесс одинаков для Windows 10/8/7. Прежде всего, нужен установочный DVD-диск или установочная флешка.
Шаг 1 . Нажмите F8 во время загрузки системы, чтобы войти в меню восстановления Windows. В более поздних версиях F8 не работает - можно создать или , чтобы запустить меню дополнительных параметров.
Шаг 2 . Нажмите "Поиск и устранение неисправностей ".
Шаг 3 . Выберите "Дополнительные параметры ".
Шаг 4 . Нажмите на "Командная строка ".
Шаг 5 . Теперь воспользуемся инструментом Bootrec.exe . Введите командную строку следующие команды одну за другой:
bootrec /RebuildBcd
bootrec /fixMbr
Какая технология лучше для работы жесткого диска - MBR или GPT? Этим вопросом задаются компьютерные специалисты и пользователи ПК, которые устанавливают новый жесткий диск в системе. По сути, на смену старой технологии MBR пришла новая GPT и казалось бы, что ответ на вопрос «GPT или MBR что лучше?» очевиден. Но не стоит опережать события. Не всегда «новоиспеченное» во всем и сразу заменяет «хорошо отшлифованное старое».
Предыстория
Для хранения информации нужен носитель. В компьютерах для этих целей на протяжении нескольких десятков лет, да и по сей день, используется жесткий диск. Операционные системы (ОС) также записаны на этом носителе информации. Для того, чтобы ПК смог запустить ОС, сперва ему потребуется найти логический диск, на котором она находится.
Поиск осуществляется с помощью базовой системы ввода-вывода (basic input/output system, сокращенно BIOS), в этом ей помогает MBR.
Концепция MBR
MBR (Master Boot Record) в переводе на русский «Главная загрузочная запись» - это первый сектор (самые первые 512 байт участка памяти) носителя информации (будь то жесткий диск (HDD) или твердотельный накопитель (SSD)). Предназначен MBR для нескольких функций:
- Содержит код и данные (446 байт - начальный загрузчик) которые необходимы BIOS, для начала загрузки ОС.
- Содержит информацию о разделах жесткого диска (4 первичных раздела по 16 байт каждый). Эта информация называется таблица разделов (Partition Table).
- Стража (0xAA55, размер - 2 байта).
Процесс загрузки ОС
Загрузка операционной системы после включения компьютера - многоступенчатый процесс. Большинство ПК на сегодняшний день подготавливают свою аппаратную часть к работе с помощью прошивки BIOS. Во время старта BIOS инициализирует системные устройства, затем ищет загрузчик в MBR первого устройства хранения (HDD, SDD, DVD-R диск или USB-накопитель) или на первом разделе устройства (поэтому, для того чтобы выполнить загрузку с другого накопителя, нужно ).
Далее BIOS передает управление загрузчику, который считывает информацию из таблицы разделов и готовится загрузить ОС. Завершает процесс наш страж - специальная сигнатура 55h AАh, которая идентифицирует главную загрузочную запись (загрузка ОС началась). Сигнатура находится в самом конце первого сектора, в котором расположен MBR.
Недостатки
Технология MBR впервые была применена в 80-х годах еще в первых версиях DOS. По прошествии времени MBR была отшлифована и обкатана со всех сторон. Она считается простой и надежной. Но при росте вычислительных мощностей, выросла и потребность в больших объемах памяти носителей. С этим возникли сложности, так как технология MBR поддерживает работу накопителей объемом только до 2,2 ТБ. Также, MBR не может поддерживать более 4 основных разделов на одном диске.
Особенности
GPT расположен в начале жесткого диска, так же как и MBR, только не в первом, а во втором секторе. Первый сектор по прежнему остается зарезервированным для MBR, которая также может быть в дисках GPT. Это сделано в целях защиты и для того, чтобы была совместимость со старыми ОС. В целом структура GPT схожа с предшественницей, за исключением некоторых особенностей:
- GPT не ограничивает свой объем в одном секторе (512 байт).
- Для таблицы разделов в Windows резервируется 16 384 байт (если используется сектор в 512 байт, то по подсчетам доступно 32 сектора).
- GPT имеет функцию дублирования - оглавление и таблица разделов записаны в начале и в конце диска.
- Количество разделов не ограничено, но технически сейчас существует ограничение в 2 64 раздела из-за разрядности полей.
- Теоретически GPT позволяет создавать разделы диска (при размере сектора в 512 байт; если размер сектора больше, то и размер раздела больше) размером до 9,4 ЗБ (это 9,4×10 21 байт; чтобы лучше представлялось, размер раздела носителя информации мог бы иметь такой объем, как вмещают в себя 940 миллионов дисков по 10 ТБ каждый). Этот факт сметает на нет проблему ограничения носителей информации в 2,2 ТБ под управлением MBR.
- GPT позволяет назначить разделам уникальный 128-битный идентификатор (GUID), имена, атрибуты. Благодаря использования стандарта кодирования символов юникод, разделы могут быть названы на любом языке и сгруппированы по папкам.
Этапы загрузки ОС
Загрузка ОС происходит совсем не так, как в BIOS. UEFI не обращается для загрузки Windows к коду MBR, даже если он есть. Вместо этого используется специальный раздел на винчестере, который называется «EFI SYSTEM PARTITION». В нем располагаются файлы, которые необходимо запустить для загрузки.
Загрузочные файлы хранятся в директории
- Включение компьютера → проверка аппаратного обеспечения.
- Загружается прошивка UEFI.
- Прошивка загружает диспетчер загрузки, который определяет, с каких дисков и разделов будут загружены UEFI приложения.
- Прошивка запускает UEFI приложение с файловой системой FAT32 раздела UEFISYS, как это указано в загрузочной записи менеджера загрузки микропрограммы.
Недостатки
Недостатки у GPT имеются, и самый ощутимый из них - нет поддержки технологии в предшевствующих устройствах, использующих прошивку BIOS. ОС семейства Windows умеют различать и работать с GPT разделом, но не все могут с него загрузится. Приведу наглядный пример в таблице.
| Операционная система | Разрядность | Чтение, запись | |
| Windows 10 | x32 | + | + |
| x64 | + | + | |
| Windows 8 | x32 | + | + |
| x64 | + | + | |
| Windows 7 | x32 | + | - |
| x64 | + | + | |
| Windows Vista | x32 | + | - |
| x64 | + | + | |
| Windows XP Professional | x32 | - | - |
| x64 | + | - |
Также, среди недостатков GPT можно выделить:
- Невозможно назначить имя всему диску, как отдельным разделам (есть только свой GUID).
- Идет привязка раздела к его номеру в таблице (сторонние загрузчики ОС предпочитают использовать номер вместо имен и GUID).
- Дубликаты таблиц (Primary GPT Header и Secondary GPT Header) строго ограничены в количестве 2 штук и имеют зафиксированные позиции. В случае повреждения носителя и наличия ошибок, этого может быть недостаточно для восстановления данных.
- Эти 2 копии GPT (Primary и Secondary GPT Header) взаимодействуют друг с другом, но не позволяют удалить и перезаписать контрольную сумму в случае, если она в одной из копий не верна. Это значит, что не предусмотрена защита от на уровне GPT.
Наличие таких недочетов показывает, что технология недостаточно совершенна и над ней еще нужно работать.
Сравнение двух технологий
Хоть и концепции MBR и GPT достаточно отличаются друг от друга, постараюсь сравнить их в общих чертах.
Также наглядно сравните загрузку ОС посредством старой и новой технологии.
Заключение
Прежде чем решить, что лучше GPT или MBR, поставьте перед собой следующие вопросы:
- Я буду использовать диск с нужным мне разделом для хранения данных или как системный для загрузки Windows?
- Если как системный, то какую Windows я буду использовать?
- На моем компьютере стоит прошивка BIOS или UEFI?
- Объем моего жесткого диска менее 2 ТБ?
Ответив на эти вопросы после прочтения статьи вы определитесь, какая технология лучше в данный момент именно для вас.
P.S. Материнские платы, что печатаются сейчас, оснащаются прошивкой UEFI. Если у вас такая, предпочтительно использовать разделы со стилем GPT (но опять таки, смотря какие цели вы преследуете). Со временем BIOS уйдет в прошлое и рано или поздно, но большинство компьютеризированных устройств будут работать с накопителями используя GPT.
