13、硬盘隐藏区域与安全特性的访问及处理

硬盘隐藏区域与安全特性的访问及处理

在硬盘的使用和分析过程中，我们常常会遇到一些隐藏区域和安全特性，如设备配置覆盖（DCO）、主机保护区域（HPA）、服务区域以及ATA密码保护等。了解如何访问和处理这些区域和特性，对于硬盘数据的获取和分析至关重要。

1. 硬盘相关日志信息

首先来看一些硬盘的日志信息，如下表所示：
| 代码 | 数量 | 数值 | 描述 |
| ---- | ---- | ---- | ---- |
| 0x000f | 2 | 0 | R_ERR response for host - to - device data FIS, CRC |
| 0x0012 | 2 | 0 | R_ERR response for host - to - device non - data FIS, CRC |
| 0x8000 | 4 | 14532 | Vendor specific |

不同的硬盘厂商可能还有其他的SMART日志，可查阅相关工具手册获取更多关于附加标志和查询的信息。

2. 启用对隐藏扇区的访问

在硬盘分析中，处理HPA和DCO通常是成像过程的一部分。不过，这里将检测和移除HPA/DCO作为准备过程，而非实际成像过程。移除HPA或DCO只会修改硬盘的配置，不会改变其内容。

2.1 移除DCO

DCO是为了让PC系统制造商使不同的硬盘型号看起来具有相同的特性而开发的。使用DCO可以禁用某些功能，并减少硬盘的可用容量。识别和移除DCO是分析可疑硬盘时的标准法医实践。
- 检测DCO是否存在