» Восстановление разделов и информации на HDD (часть 6)

igor_me
Зачем ему сразу полноценный поиск? С большой вероятностью хватило бы просто скрина "Разделы".

Quorior2
ОК, покажите скрин результатов поиска в DMDE (если сохранили), скрин окна "Разделы" (можно без загруженных результатов) и дамп сектора 0 (DMDE, Копировать секторы, источник - физический диск, приемник - файл, число секторов 1, залейте на rghost или dropbox).
С большой вероятностью Вам вовсе не нужно копировать на другой диск, а разделы можно вернуть in-place.

Antech
http://rghost.ru/39183137
http://s017.radikal.ru/i421/1207/db/cc6659665e26.jpg
http://s017.radikal.ru/i428/1207/1b/0009928d4c71.jpg
34,6 GB и 716 GB - размеры похожи на те, что были.

Quorior2
Создали и форматнули один NTFS раздел на весь винт (прежние разделы удалили). Возможно, партмагоидом или другой third-party утилитой (нет выравнивания в стиле Винды ни по 2048 секторов, ни по границам логических цилиндров). Но от старых разделов остались и бутсекторы/копии, и (скорее всего) ФС.
DMDE - Копировать секторы. Источник - файл http://rghost.ru/39186522 , приемник - физический диск. Начальный сектор 0, число секторов 1. После перезагрузки должно быть 2 раздела: первичный NTFS 34.6 ГБ и логический NTFS в расширенной области 716 ГБ. Но у первого раздела нет бутсектора (в 63-м сейчас бутсектор от нового раздела). Через "Копировать секторы" скопируйте сектор 67585454 физического диска в сектор 63 (источник и приемник - один и тот же физический) - это вернет бутсектор первому разделу. Но есть еще один момент. MFT первого раздела могла быть переписана, и уж наверняка переписано начало этого раздела. Поэтому даже после возвращения бутсектора врядли он будет открываться. Покажите результат chkdsk.exe БукваПервогоРаздела: без /f (разумеется, после записи патча MBR и копирования бутсектора).

Antech
После первого копирования и перезагрузки воскрес 716 ГБ со всеми данными. 34.6 ГБ Был, но смотрелся как 0 байт из 0 байт свободно. После второго "Копировать секторы" он появился, но пустой.
http://s017.radikal.ru/i441/1207/86/95471d96c15f.jpg

Antech
А чем открыть MBR-mbr.img?

AlexanderGreat
Любым hex-редактором, в т.ч. дисковым с поддержкой образов (WinHex, DMDE, HxD).

Quorior2
Понятно. MFT нового раздела затерла начало MFT старого первого раздела.
Уберите букву первого раздела в Управлении Дисками. Покажите дамп сектора 63 и 1000 секторов, начиная с сектора 6291519 от начала физического диска. Покажите лог-файл Поиска NTFS в DMDE (где-то там должна быть MFT Mirror, наверняка она уцелела).

Antech
lba_63_1.bin http://rghost.ru/39192417
lba_6291519_1000.bin http://rghost.ru/39192435
ntfsscan.log http://rghost.ru/39192461 - по состоянию на 53%. Сейчас загружусь с него и продолжу.

Quorior2
ОК, покажите 10 секторов физического, начиная с сектора 33792751. Там MFT Mirror, и если все нормально, в ней должно быть 5 фрагментов MFT...

Antech
http://rghost.ru/39193291

Quorior2
Что-то не так: по DMDE там должна быть MFT Mirror. Номер сектора я проверил.

Antech

Цитата:

Что-то не так: по DMDE там должна быть MFT Mirror. Номер сектора я проверил.

Что это значит и что можно сделать?

Quorior2

Цитата:

что можно сделать?

Правильно снять дамп. Он должен начинаться FILE0... Вы открывали физический и поиск делали в физическом? Хотя поиск-то точно был в физическом... Я еще раз проверил начальный сектор: это точно 33792751.

Antech
Я ещё раз скопировал 10 секторов с 33792751, перепроверил, что копию делаю с физического диска.
http://rghost.ru/39195538

Quorior2
Это должно быть вначале сектора 33792751 физического диска. Я не думаю, что ошибается DMDE, а поиск точно был в физическом. Наверняка (99+ %) есть целая MFT мирорр, зачем делать реконструкцию, когда надо просто правильно снять дамп?

Добавлено:

Цитата:

ещё раз скопировал

Нет, там то же самое... Сейчас еще кое что проверю... Нет, по бутсектору тот же номер сектора: 33792751. ИМХО Вы не убрали букву раздела в Управлении Дисками (или просто не успели сделать это вовремя) и теперь MFT Mirror перезаписана журналом нового раздела (RCRD). Придется делать реконструкцию из 5 фрагментов, быстро это не получится, please wait... Не делайте пока что ничего с разделом (букву только уберите), ведь мне нужно заморочиться с этой реконструкцией и будет обидно, если Вы к тому времени уже отформатируете...

Antech
Я ещё раз скопировал 10 секторов с 33792751, перепроверил, что копию делаю с физического диска.
http://rghost.ru/39195538

Quorior2
Да не, я уже посмотрел и исправил свое сообщение. Я делаю реконструкцию MFT...

Antech
Хорошо, буду ждать дальнейших инструкций. Букву раздела убрал сразу, как прочитал Ваше сообщение.

Quorior2

Цитата:

Букву раздела убрал сразу, как прочитал Ваше сообщение

Значит оно все-таки успело переписаться в интервале времени между поиском в DMDE и снятием дампа. Возможно, снятие буквы не всегда помогает и надо было временно убрать таблицу разделов...

Ладно, я сделал реконструкцию MFT Вашего раздела. DMDE - Копировать секторы. Источник - файл http://rghost.ru/39196846 , приемник - физический диск. На приемнике начальный сектор 6291519, число секторов 8. Патч проверен на тестовом винте, в начале MFT Чекдиск не находит ни одной ошибки. Правда, $Logfile удален, но мы давно знаем, что оставлять его нельзя: ведь патч делается из MFT живого раздела (это мой раздел), в которой исправляются все нужные значения (да, в Вашем случае это было довольно геморно из-за 5 фрагментов, но патч, к счастью, сделан). А собирать по фрагментам $Logfile никто не будет: его Чекдиск запросто воссоздаст и это безопасно для инфы. В то же время, если оставить $Logfile как есть, то Чекдиск будет считать, что занятые этим журналом кластеры не могут быть использованы другими файлами, и покоцает файлы, налезающие на неправильно аллоцированный журнал... Так что раздел сразу (после патча/перезагрузки) не заработает, но Вы напустите на него Чекдиск без /f и покажите что он говорит.

Доброго времени суток, с недавнего времени начал пропадать в системе HDD Western Digital 1Tb Caviar Green 5400rpm 64Mb SATA2 (WD10EARS), а тут я уезжал на несколько дней, приезжаю, а его система совсем не распознает. в XP пишет отформатируйте, в 7 - просто не открывает, смотрю в DMDE - там все есть, может посмотрите? смарт
первые 100 секторов - http://rusfolder.com/31635575 ну и ptables http://rusfolder.com/31635574.

Antech
http://s009.radikal.ru/i309/1207/c6/9885a946eec3.jpg
http://s009.radikal.ru/i310/1207/fa/a4b4b8333b95.jpg
http://s017.radikal.ru/i415/1207/bd/c2e46c44e4e6.jpg
http://i052.radikal.ru/1207/3e/46db6d687c94.jpg
http://s13.radikal.ru/i186/1207/e6/572ecd3b7c8a.jpg

Quorior2
Понятно.
Патч сработал, но есть подозрение, что мешает какой-то метафайл. Сделайте так:
1. Сохраните дамп 504 секторов физического, начиная с сектора 6291527. Это будет текущее состояние начального куска MFT, который был переписан при создании нового раздела (кроме 8 начальных секторов, исправленных патчем, потому что их сейчас трогать не нужно). Он понадобится, если надо будет откатить изменения п. 2.
2. В любом дисковом редакторе заполните нулями 504 сектора физического, начиная с 6291527 (т.е. обнулите тот фрагмент, который записали в файл дампа). Например, в WinHex отметить начало блока = Alt+1, перейти на заданное число секторов = Alt+G (from current position), отметить конец блока = Alt+2, заполнить выделенный фрагмент = Ctrl+L.
3. Повторите Чекдиск и покажите результат.

Antech
http://s005.radikal.ru/i210/1207/fc/1517c419afe4.jpg

Quorior2
ОК, можете пускать на исправление (/f). Но мы никогда не даем 100% гарантии того, что Чекдиск не нагадит, даже если по результатам теста все красиво. Так что, если есть важная инфа, лучше предварительно скопировать, например, через WinHex (Restore/Copy по правой кнопке; одиночные файлы можно и в DMDE Free).

Antech
http://s019.radikal.ru/i609/1207/d9/c91151c69eab.jpg
http://s40.radikal.ru/i087/1207/98/d6966e305dd7.jpg

Quorior2
А где же лог с параметром /f? Без завершающих исправлений Чекдиском раздел не будет работать (вручную можно поправить основные проблемы, но исправить все полностью вручную, включая минорные, в подобных кейсах нереально по времени).

Исправление Чекдиском я сделал, а вот

Цитата:

лог с параметром /f

не додумался сохранить, да и много там было, он где-то час всё делал.

Quorior2
Но сейчас на скрине есть ошибка в одном из каталогов. Что сейчас дает Чекдиск на исправление?

Antech
http://s40.radikal.ru/i090/1207/32/88781b3b9e71.jpg
http://s43.radikal.ru/i099/1207/33/b8c7f5689159.jpg

Quorior2
После этого раздел все равно недоступен, а Чекдиск выдает те же ошибки?

Antech
http://s017.radikal.ru/i421/1207/29/9064ae4efe6e.jpg
Раздел не доступен.