Восстановление видео с DVR Panda

В подъезде жилого дома были установлены две камеры, которые фиксировали всё, происходящее вокруг, круглосуточно и записывали на стационарный видеорегистратор Panda. В какой то момент, в целях раскрытия преступления, потребовалось отыскать нужный видеофрагмент и выгрузить его на внешний носитель. Сам DVR оборудован USB портом для подключения флешек, и имеет весь необходимый инструментарий для поиска нужного фрагмента и выгрузки, но ситуация осложнялась тем, что точная дата и время, нужной записи не были точно известны, а поскольку сам девайс был достаточно старый, то он понимал только флешки объемом 2 Gb. Дробить месяц записей на маленькие куски и выгружать их отдельно через USB было нецелесообразно.

Пользователь решил демонтировать SATA диск, который стоял внутри видеорекордера "Панда" с целью подключить его к ПК и с помощью программы, которая идет в комплекте с DVR регистратором выгрузить всё видео, сконвертированное в AVI формат на ПК. Однако, что-то пошло не так.

В качестве небольшого отступления стоит отметить, что в DVR видеорегистраторах используется своя файловая система, ничего общего не имеющая с ФС, используемых в операционках. Windows, обнаружив новый неразмеченный с её точки зрения, жесткий диск, без лишних вопросов провел его инициализацию. После того как HDD от видеорегистратора проинициализировали в Windows - он перестал распознаваться как самим DVR устройством, так и фирменным ПО для воспроизведения записей на персональном компьютере.

Пользователь попробовал восстановить видео с регистратора с помощью программ для логического восстановления файлов, типа R-Studio, которые, в том числе, могут производить поиск по заголоку (типу) файлов. Но в случаях, подобных описанному, когда на диске от DVR рекордера не использовалась какая либо из "классических" файловых систем, типа FAT-32 или Ext34, подобный метод не работает. Видеозаписи там не лежат "по файлам". Видеопоток в таком диске разбит служебными блоками, с описаниями, какая камера писала, в какое время, по какому событию и т.п. Поиск по сигнатуре (raw recovery) в таких случаях не работает.

Обратились в нашу компанию для помощи — восстановить данные с видеорегистратора DVR Panda.

Получив диск на анализ первым делом была сделана полная посекторная копия, и в дальнейшем все работы велись не на оригинальном диске, а на клоне. Так же для анализа мы запросили сам регистратор, с целью провести исследования на предмет какая именно система хранения видеопотока там используется.

Просмотр содержимого HDD в HEX редакторе сразу выявил проблему — испорчен 0-й сектор. Что именно в нем находится, насколько информация с него является уникальной - всё это предстояло выяснить.

Опросив заказчика, узнав количество камер и к каким портам вывода они были подключены, мы сделали тестовую запись на занулённый HDD с целью провести исследования — как, что и куда пишет регистратор при инициализации жесткого диска, при записи видео, при дописывании видео к существующему.

Простая запись 0-го сектора от диска, прошедшего стартовую инициализацию, на целевой диск к успеху не приводила. Целевой диск начинал "видеться" рекордером и программой, но видео не воспроизводилось. Начали разбираться дальше.

В результате исследований было выяснено, что файловая система регистратора делится на четыре глобальных части. Самая большая - непосредственно контейнер хранения видеопотока, который циклически перезаписывается. перед ним идет контейнер, содержащий таймкоды - timecode list. Перед ним, контейнер списка событий - event list.

Event List DVR Panda

Так выглядит список событий в Panda Viewer на исправном HDD

И в самом начале первые три сектора в которых идут мета-описания: размер остальных контейнеров, координаты их конца (начало прописано в микрокоде - т.н. "прошивке видеорегистратора"), временные метки (по смещению от "точки начала" - 01.01.1970 г.).

Поняв принцип работы файловой системы, относительно несложной стала задача - вручную прописать корректный 0-й сектор, чтобы диск опознался регистратором и ПО от производителя, запущенном на ПК.

Успешно восстановленный сектор

В результате исследований, которые заняли порядка рабочего дня, нужные мета-описания в испорченный сектор были внесены в шестнадцатеричном редакторе вручную. Диск опознался в "фирменном" ПО и заказчик получил возможность просматривать записи на персональном компьютере.