» Восстановление разделов и информации на HDD (часть 3)

---

Если у Вашего винта большого объема (более 120 Гб) возникли проблемы с доступом к информации (пропала таблица разделов, винда говорит что нужно отформатировать винт или диск перестал опознаваться), то сначала прочитайте эту ветку про LBA48

Для операций с разделами на жестких дисках по-возможности используйте штатные средства ОС. Прежде, чем править разделы с помощью Acronis, PartitionMagic и им подобных программ, пробегите быстро по всем страницам всех частей этой темы и Вы увидите, что половина проблем из-за них! Если не хотите сами наступить на эти грабли, помните:

Любой Менеджер Жёстких Дисков (менеджер разделов на нём) - Враг №1 Вашей системы!

Прочтите и передайте другим, которые заходят сюда, когда уже слишком поздно...

То же самое касается программ Microsoft Scandisk и Chkdsk, автоматически проверяющих диски при загрузке системы. В случае серьезных сбоев они ничем помочь не смогут, но навредить могут изрядно. Поэтому всегда отключайте эти утилиты из автозапуска и выполняйте проверку дисков только вручную, периодически, когда уверены, что серьезных проблем на диске нет. Как их отключить написано здесь

---

[more=Общие рекомендации по самостоятельному восстановлению данных]Как только произошла потеря данных, немедленно прекратите любое использование проблемного диска и ничего на него не записывайте. В противном случае удаленные данные могут быть безвозвратно затерты новыми. Для исключения взаимодействия операционной системы с поврежденным диском, на время подготовки к восстановлению он должен быть физически отключен из системы, а все дальнейшие операции с ним должны производиться с заранее подготовленной загрузочной дискеты или LiveCD/DVD/USB диска. О том как изготовить такой диск самостоятельно вы можете узнать отсюда. Можно также воспользоваться специальными мастерами, идущими в комплекте с некоторыми программами для восстановления или использовать уже готовые загрузочные диски на основе DOS и WinPE. В крайнем случае можно загрузиться и со второго физического или исправного логического диска, но нужно отдавать себе отчет, что в этом случае какие-то служебные данные при загрузке ОС неизбежно будут писаться на поврежденный диск, не говоря уже о потенциально опасной активности запущенных в системе приложений и сервисов. Поэтому чтобы снизить риск перезаписи поврежденных данных до минимума, загрузку следует производить в Safe Mode, кроме того желательно выгрузить из памяти все лишние программы и сервисы и отключить кэширование картинок в проводнике. Также не следует просматривать папки и файлы на поврежденном диске прямо из проводника Windows, для этих целей лучше воспользоваться сторонними оболочками, типа Total Commander или FAR. Для сохранения восстановленных файлов потребуется резервный накопитель большой емкости.

1. Ознакомьтесь со списком программ для восстановления. Внимательно прочитайте прилагаемую к нему инструкцию. Определившись со своей ситуацией, перепишите выбранные программы на загрузочный диск, включая пару-тройку утилит для диагностики диска, например MHDD, Victoria или HDDScan.

2. Подключите поврежденный диск, загрузитесь с подготовленного на предыдущем этапе загрузочного диска и протестируйте сбойный диск на наличие аппаратных проблем. Если таковые будут выявлены, то лучше не рисковать и сразу нести такой диск в сервис-центр, однако, если данные не очень важны, либо слишком важны, чтобы доверять их третьим лицам, можете продолжить восстановление самостоятельно, только учтите, что физически поврежденные диски ведут себя непредсказуемо и иногда "рассыпаются" на глазах за считанные минуты.

3. По возможности (если позволяет место на резервном накопителе) сделайте образ восстанавливаемого диска. Для дисков поврежденных физически этот шаг является обязательным. Далее можно будет работать с таким образом, как с обычным диском, не опасаясь что-либо испортить и не нагружая понапрасну физически неисправный диск.

4. Используйте имеющиеся на диске программы для восстановления. Ни в коем случае не сохраняйте восстановленные данные на поврежденный диск, если предварительно не сделали с него посекторную копию.

5. Восстановив данные, отформатируйте поврежденный диск (рекомендуется), либо пройдитесь по нему Scandisk'ом или Chkdsk'ом для исправления системных ошибок (не рекомендуется, так как чревато рецидивами) или программами для in-place восстановления разделов (по ситуации) после чего, если потребуется, перепишите на него восстановленные данные.[/more]

[more=Хороший совет по восстановлению, когда не уверен в своих знаниях](©Perforator)
Берёте VMWare, создаёте виртуальную машину, ставите туда любимую OS, затем добавляете туда нужный жёсткий диск, и делаете его Advanced->Indepent->Nonpresistent. После этого издеваетесь над этим жёстким диском как хотите, т.к. никакие физические изменения с ним не происходят, а все изменения записываются VMWare'ью и сбрасываются после PowerOff в VMWare. Например так можно проверять, поможет TestDisk в данной ситуации, или нет, или спокойно работать DiskEditor'ом, не опасаясь, что всё испортите.[/more]

Список программ для восстановления информации

Статьи о восстановлении данных и жестких дисках

Восстановление данных из .chk файлов

---

Обращаясь в тему за помощью, обязательно укажите информацию о диске: тип, емкость, способ подключения, информацию о разделах, SMART винта из MHDD / Victoria / HDDScan, наименование и мощность БП, возраст БП, результаты MemTest86, версию ОС и сервис-пака, а также обстоятельства краха - честное слово, толковым запросам и отвечать приятно. Здесь телепатов нет...

---

[Первое сообщение третей части - и опять прога-аналог PartitionMagic и потеряна инфа]
[Начало обсуждение вопроса - в конце второй части темы]

NOTOV
По какому принципу, механизму смещалась информация, точнее, адреса файлов
Не знаю. Это ведь зависит от алгоритма проги, а она проприетарная.

Есть ли статьи, рекомендованные к прочтению
Чтобы разобраться в таблицах разделов, почитайте статью Akina ("Master Boot Record").
Для начала работы с файловой системой Вам нужно иметь представление об основных структурах NTFS.
Восстановление данных в разделах NTFS
Это хорошая статья для начинающих. Более подробно можете почитать в мануалах Linux NTFS, используйте Гугл, здесь стремно давать внешние ссылки, хватит одной.

Какими программами Вы посоветуете пользоватьсяпри этом
Я использую дисковые редакторы DMDE и WinHex (в основном WinHex, он платный, но это лечится ).

Ваш кейс довольно сложный. Придется определять вначале что сделала прога. Это самое трудное. Я не занимаюсь датарекавери, так что могу дать только общие, очевидные советы. Попробуйте начать с того, чтобы установить соответствие между какой-нибудь NTFS FILE Record и телом соответствующего файла (различие в байтах или секторах между указателем в файловой системе и истинным положением файла). Здесь удобно использовать файл с известныи именем содержимым, чтобы его легко было найти. Если файловая система (MFT) еще сохранилась, попробуйте браузер WinHex (Access - Partition - Open). Он показывает структуру каталогов и файлов и в контекстном меню для каждого файла - GoTo FILE Record (и GoTo beginning of file, но это не поможет). Можно юзать для навигации по файловым записям. Если соответствие будет найдено, придется повторить еще хотя бы на одном файле. Если смещение будет то же самое, можно приступать к копированию. Для этого Вам нужно будет создать на другом винте достаточного объема один раздел. В начало раздела скопировать бутсектор. По смещению, указанному в бутсекторе, залить MFT и MFT Mirror. Ну и основное содержимое раздела скопировать (с каким смещением - Вам теперь известно). Для копирования крупных кусков можно пользовать инструмент CloneDisk в WinHex.
Не редактируйте файловую систему, чтобы поправить смещение. Это, мягко говоря, гораздо сложнее (вернее, геморойнее), чем сместить кусок раздела с содержимым файлов.

Кстати, непонятно, куда делась старая файловая систма. Ведь она должна была сохраниться на третьем гигабайте (примерно) второго раздела. Правда, тут вот что возможно. Вместо копирования MFT на новое место (третий гиг первого раздела) прога могла сделать нестандартное расположение MFT, оставив ее на месте. Но начало раздела сместилось, и она должна была исправлять все смещения первых экстентов... Допустим, она это сделала для части файловых записей, а для других не успела. Тогда хотя бы часть файлов должна быть с правильными адресами. Попробуйте проанализировать FILE Records из начала и конца MFT: может быть, записи в начале имеют правильные ссылки на первый экстент?

поскажи те прогу чем для соедение 2-ых разделов в 1
без потери даных на обоих

Kobmat
Лучше продуктами Acronis, я лично пользуюсь DD Suite, с загрузочного носителя.
Цитата:

без потери даных на обоих

Важные данные сохрани где-нибудь.

Kobmat
для соедение 2-ых разделов в 1
Товарищ NOTOV как раз недавно соединял. Сейчас он занят восстановлением данных, причем автоматические программы не помогают. (Правда, в данном случае проблема из-за того, что программу остановили до завершения операции.)
Скопируйте все нужное с разделов на два других физических винта. При установки Винды, либо Пуск - Выполнить - DiskMgmt.msc удалите старые разделы и создайте один новый, отформатируйте его. Верните инфу на место.
Конечно, если у Вас там игрушки и прочая шняга, можте использовать проги от Acronis или даже Partition Magic...

Вот некоторые скрины на МФТ и на МФТ Мирр
сравнил MFT i MFT Mirr

acidplace
Это не MFT. Это корневой каталог! И, естественно, в нем есть записи для системных файлов (в NTFS имена файлов записаны как в файловых записях, так и в индексах каталогов). Ведь системные файлы, включая файл $MFT (описывает расположение всей MFT) находятся в корневом каталоге, просто виндовый драйвер файловой системы скрывает их, а через редактор диска все видно. Если Вы пролистаете немного выше, скорее всего увидите сектор, который начинается строкой INDX. Это начало записи корневого каталога.
Вспомните, что я говорил о файловых записях. Запись начинается в начале сектора, строкой FILE. Вся MFT состоит из таких записей, они обычно расположены последовательно (но ничто не мешает MFT быть фрагментированной, как у меня на ноуте). Каждая запись, как правило, занимает два сектора. MFT начинается с файловой записи $MFT, за ней следуют $MFTMirr, $LogFile, $Volume, $AttrDef, "." (Корневой каталог, имя состоит из одной точки).
(Касательно каталогов, в т. ч. корневого. Они состоят из двух частей. Первая часть - это файловая запись, где, в частности, записано имя каталога, расположение нерезидентного списка файлов/подкаталогов (if any) и т. д. Вторая часть - это список (INDX, индекс) файлов и подкаталогов данного каталога (вот этот список представлен на Ваших скриншотах). Для мелких каталогов внешнего списка нет, список расположен в самой файловой записи.)
Так вот, Вам надо искать файловую запись $MFT, а не элемент файла $MFT в корневом каталоге. Как искать, я уже писал.

Вот формат заголовка файловой записи из статьи Фролова, ссылку на которую я давал.
[pre]Смещение, Длина, Описание
байт байт

0x00 4 Текстовая строка "FILE" - признак записи MFT
0x04 2 Смещение массива корректировки записи Update Sequence
0x06 2 Размер массива корректировки записей Update Sequence
0x10 2 Последовательный номер сектора в записи MFT
0x12 2 Счетчик ссылок
0x14 2 Смещение начала списка атрибутов
0x16 2 Флажки, отмечающее состояние записи MFT
0x18 4 Реальный размер записи MFT
0x1C 4 Размер памяти, занимаемый записью MFT
0x20 8 Файловый номер (File Reference) базовой записи MFT
0x28 2 Максимальное значение идентификатора атрибута + 1
0x2A 2 Массив корректировки записи MFT[/pre]
Далее расположены структуры-атрибуты, описание некоторых есть в статье, более полное - в доках "Linux NTFS", которые элементарно ищутся в Гугле.

Успехов в исследованиях

Вот TestDisk позволяет

Repair NTFS MFT
The MFT (Master File Table) is sometimes corrupted. If Microsoft Check Disk (chkdsk) failed to repair the MFT, run TestDisk and in the Advanced menu, select your NTFS partition and choose Repair MFT. TestDisk will try to repair the MFT using MFT mirror, its backup.
Можно и таким образом ?

а вот ишё GetDataBack

GetDataBack will recover your data if the hard drive's partition table, boot record, FAT/MFT or root directory are lost or damaged, data was lost due to a virus attack, the drive was formatted, fdisk has been run, a power failure has caused a system crash, files were lost due to a software failure, files were accidentally deleted...

Можно с этими утилитами воспользоватся для востановления МФТ NTFS`а я с winhex боюси воспользоватся так как не умею и не знпю мнрго вешей.

acidplace
От программ мало чего зависит, основное - это, что и как слетело.
Потому и не угадаешь - какая программа поможет или нет.
ТестДиск надо на посекторную копию всего диска натравливать, а то может так исправить MFT - ни один спец не разберется.
Getdataback, R-studio, Easerecovery и т.п. программы одного класса. В определенных случаях, в зависимости от характера разрушений, какая-то может оказаться более эфективной, или не поможет ни одна из них. Но они безапасны тем, что никогда не правят непосредственно на пострадавшем диске, а только копируют то, что нашли, на другой диск.
Так, что пробуй все подряд, если сложно в редакторе разабраться.
Не помогут программы, обращайся к спецам.
На диск главное ничего не писать/не править. Только на копии!!!

Премного благодарю за полезную информацию, надеюсь, она мне сильно поможет.
Буду биться до конца, сегодня вот приобрел 320Гб IDE хард Seagate\Maxtor Diamond, чтобы было куда восстанавливать.
О результатах обязательно сообщу.
Спасибо за то, что помогаете таким бедолагам, как я.

День добрый.
Может кто подскажет.
Ситуация:
стоит Win2000.Была заменена мать (с VIA на i865) и проц (с Celeron на Celeron D).После этого,ессно,выдаётся сообщение
STOP: 0x0000007B(0xED41B84C,0x0000034,0x00000000,0x00000000)
INACCESSIBLE_BOOT_DEVICE.
Родного загрузочного диска нет.
Вопрос:
можно ли столкнуть ситуацию и заставить загружаться винду без переустановки?

PS. Нашел загрузочный Win2000 (не родной). Команды Консоли восстановления Fixboot или Fixmbr в этом случае помогут?
В XP для этого случая есть команда Bootcfg, а в Win2000 такой команды нет.

acidplace
Можно и таким образом?
Нет!!! Вы были в секторе, куда указывает MFT Mirror в бутсекторе? Насколько я помню, там что угодно, но не MFTMirr. Представьте, что будет, если TestDisk скопирует Это в начало основной MFT...
Не хотите разбираться с NTFS - используйте R-Studio/GetDataBack/EasyRecovery в разных режимах или обратитесь к специалисту.

NOTOV
Искренне желаю успехов.

AlexIva
Вам надо в Винде некоторые драйверы заменить на стандартные (насколько помню, драйверы IDE контроллеров), естественно, это надо было делать когда она еще грузилась, на старом железе.
А восстановление данных тут совершенно не при чем.

Antech

Цитата:

А восстановление данных тут совершенно не при чем

Строго говоря - да. Хотя понятие "данные" может быть широким.

Цитата:

это надо было делать когда она еще грузилась, на старом железе.

В том то и грусть,что замена - вынужденная, после внезапного вылета обоих.

Цитата:

Вам надо в Винде некоторые драйверы заменить на стандартные (насколько помню, драйверы IDE контроллеров

Это понятно. Сделать как?

Добрый день. столкнулся с неприятной ситуацией: винт баракуда 120 ide, было 3 нтфс раздела, решил их склеить в один.. не долго думая решил сделать это при помощи partition magic 8, поставил процедуру на выполнение на ночь. утром увидел сообщение о ошибке на 67%... теперь мучаюсь с восстановлением инфы, ресторер2000 восстанавливает некоторые тела файлов с их нормальными названиями но они не открываются....
посоветуйте как и чем лучше вытаскивать повреждённую инфу...

..благодарю за внимание..

Краткая предыстория:
У меня на жестком диске (Seagate 7200.10 400Gb SATA) стоит несколько систем - менеджер разделов - SyMon. Решил поставить Windows Server 2008 Longhorn Beta 3. Отключил разделы на которых стояли системы - три хрюши и один линут - всего пять (со свопом). Создал для Лонгхорна, установил, вошел в систему, а после перезагрузки обнаружил, что эта зараза что-то наворотила с разделами и Саймон показывает из 5 только одну с названием по умолчанию "Windows NT", да и размер диска какой-то странный - 20 гигабайт. Переустановка СайМона, понятно, ничего не дала. Запустил ПартишнМэйджик, он че-т там пофиксил, СайМон показал после этого размер диска 100 гигабайт. Я в Runish Partition ..., там увидел свой первый раздел, на котором моя основная система, переписал значения цилиндров, головок, секторов, опять в Саймон - вбил эти значения туда - Хрюша стала загружаться, но после лого впала в Бсод, после ребута Саймон очевидно тоже что-то пошуршал, потому как Хрюша более не загружалась, чего я только не делал. В конце концов вбив в Ранише записанные значения раздел стал определяться как "Неизвестный". Форматирований никаких не делал, только фокусы-покусы с Таблицей разделов. Установил на 2-м жестком диске, запустил TestDisk - все разделы обнаружились, захотел скопировать документы, но вот только не копируются файлы, т. е. копируются некоторые (возможно те, в именах которых нет русских букв). Че делать дальше - ума не приложу. Помогите советом, плиз, хотя бы документы восстановить, а уж если можно будет загрузиться в основную Ось, благодарности не было бы границ.

DmitryKz
Для восстановления документов (по крайней мере) можно попробовать это
http://forum.ru-board.com/topic.cgi?forum=35&bm=1&topic=26914&start=800#lt
Скорее всего может быть достаточно CD - версии.

AlexIva
Ок, спасибо, попробую в ближайшие дни скачать. Меня волнует вопрос: если TestDisk показывает кракозябры в именах файлов, ни в коем случае не надо пытаться записывать таблицу разделов в МБР? Сейчас винда тот диск видит с одним разделом но не отформатированным.

DmitryKz
записывать таблицу разделов в МБР?
ИМХО после Ваших разрушительных действий уже не важно, записывать PT или нет. Если сами разделы в порядке, то таблица разделов, тем более испорченная, не представляет особой ценности. Переписывайте, если Вы уверены, что прога не тронет ничего, кроме MBR.
Но лучше бы Вы почитали www.akina.hop.ru/mbr.php3 и воспользовались www.techdm.narod.ru

AlexIva
тебе сюда http://forum.ru-board.com/topic.cgi?forum=27&bm=1&topic=1874&start=1440#lt
как раз тема по твоему вопросу

parabellum
Спасибо за интересную ссылку, но мне кажется что у меня (а может и не только у меня) ситуация несколько иная.

Цитата:

Цитата:это надо было делать когда она еще грузилась, на старом железе.

В том то и грусть,что замена - вынужденная, после внезапного вылета обоих.

AlexIva
http://forum.ru-board.com/topic.cgi?forum=27&topic=1874&start=927&limit=1&m=1#1
самый последний абзац.
это Инструкция "Перенос системы на другую мать и метод создания Заливок" (Win2K, WinXP, Win2K3, Vista) (моя предыдущая ссылка, шапка топика "Перенос системы на другую мать" )

AlexIva

Цитата:

можно ли столкнуть ситуацию и заставить загружаться винду без переустановки?

Можно сделать образ системного раздела программой
Acronis image Server c Universal Restore. Затем восстанвливая образ, сказать ему чтоб искал необходимые драйвера с CD, подсунув инсталляционый диск от матери или дистрибутив системы.

Спасибо всем - удалось справиться средствами только TestDisk, предварительно потестил на VMWare. Записал таблицу, заново поставил СайМон (без этого Винда не хотела грузиться, а копать здесь уже не было сил) и ... я дома

Добавлено:
Кстати, все таки мне кажется, что кракозябры в ТестДиск - это русские имена файлов и папок.

такой вопрос:
по ошибке была начато удаление папки, потом прервано, успело удалиться примерно 40Гб. Комп был выключен, потом поднят с WinPE и проведенно восстановление с EasyRecovery Professional. Многое восстановилось, но почти все файлы CorelDraw (.cdr) не открываются , в то время как большинство .pdf и .jpg открываются. Как это можно поправить и почему это произошло, ведь на комп ничего не записывалось ?

Trex
Восстанавливалось по файловой системе или по заголовкам?
Надеюсь, восстановленные файлы записывались на другой диск.

DmitryKz
кракозябры в ТестДиск - это русские имена файлов и каталогов
Скорее всего, это так.

Antech
Восстановление проводилось с помощью EasyRecovery Professional, по именам файлов и на другой диск.

Trex
по именам файлов
Нет такого способа. Но если имена файлов восстановлены, значит по файловой системе. Причину неправильного восстановления, причем именно *.cdr, не знаю. У этих файлов есть заголовок? Не пробовали сравнивать восстановленные с другими, исправными файлами?

Скорее всего просто *.cdr большие и с большей вероятностью фрагментированные.

LeoT
фрагментированные
Так он вроде по файловой системе восстанавливал. Разве что там был FAT32, а не NTFS. Тогда да.

WesternDigital 320Gb работал по USB 2 и вдруг совершенно без причины, перестали открываться папки на коренвом диске, некоторые папки открываются, а некоторые нет.

Некоторые папки читаются. я сейчас с них копирую, но некоторые не читаются. Причем нет зависимости между ними, ни размер ничего другое. Все на английском.
Я сейчас копирую те папки что работают, а те на которых зависают не могу скопировать.

Файловая Система NTFS

как можно прочитать те папки которые не открываются?