Ru-Board.club
← Вернуться в раздел «Магнитные носители информации»

» Восстановление разделов и информации на HDD (часть 8)

Автор: Alex_Green
Дата сообщения: 28.02.2016 01:31
temp9285

Цитата:
Я не знаю что хотел увидеть Alex_Green в указанных секторах


Дык на основе вот этого скриншота и хотел посмотреть. На другом же скрине действительно предполагается относительное смещение в 31 сектор, то есть 2079 +31 = 2110. Но там прописан мусор, а вот вторая фат таблица похоже цела и невредима. В принципе можно попробовать прописать вторую фат таблицу на место первой, и сконструировать бутсектор.

insight81

Только до этих операций нужно обязательно сделать посекторный файл образ флэшки.
Автор: temp9285
Дата сообщения: 28.02.2016 02:12
igor not me
На самом деле мне непонятно что находятся метафайлы, есть их размер, но нет ничего.
Впрочем, уже сейчас есть подозрение что это основывается на данных зеркала - там как раз только 4-ре записи. Но только смысл таких находок, если там не будет самой MFT.
А насчёт цвета - сам потом увидел.

Alex_Green
Что касается того скриншота, ведь знаешь - я с FAT знаком поверхностно, и тем более не знаю что означают цифры на скриншоте.
Но теперь предполагаю что размер FAT, а в первой строке выживший участок (конец) FAT1.
Автор: dmkov9
Дата сообщения: 28.02.2016 09:21
temp9285

Цитата:
Мысль была озвучена ранее.

Я не такой спец во всем этом, все что я понимал, сделал, можно еще раз, немного подробнее, что можно сделать.
Например я писал, что в EasyRecovery стояла птичка Enable file signature scan плюс к NTFS и FAT. Как я понимаю первое, это поиск по сигнатурам, но как надо? Извините за назойливость
Автор: temp9285
Дата сообщения: 28.02.2016 10:15
dmkov9
Здесь немало вопрошавших не спецы в этом, тем не менее им достаточно запроса экрана Разделы, дампа и т.п. для того, чтобы сделать это. Ведь для этого достаточно чуть чуть поработать с поиском и почитать - в том числе и тему, в которой масса примеров выкладываемого контента и т.п.
PS. Скриншот экрана Разделы - наверное самое лёгкое из запрошенного. И если на нём такой спотыкач, то что же будет дальше?
Автор: dmkov9
Дата сообщения: 28.02.2016 10:43
temp9285
Разделы как я понимаю это:
Автор: temp9285
Дата сообщения: 28.02.2016 10:51
dmkov9
Ну вот, не всё так сложно как кажется.
Теперь на экране наведи курсор на раздел media и сделай скриншот так, чтобы было видно содержимое фонового окна DMDE.

Добавлено:
Исходя из того, что видно на скриншоте, подтверждается версия о том, что выжило зеркало.
Вопрос в том, что осталось от MFT
Можешь попробовать открыть этот том, затем зайти во Всё найденное+реконструкция, согласиться с виртуальной реконструкцией и далее смотри какие будут предупреждения типа "Не найдена запись тра-та-та MFT". Это и будет число потерянных записей. После окончания этих предупреждений смотри осталось ли хоть что нибудь.
И можешь делать предложенное ранее по поводу Полного сканирования.
Автор: dmkov9
Дата сообщения: 28.02.2016 11:18
temp9285
Фоновое окно:

Сделал, как написал. Была ошибка MFT #2-8703
Вот результат:

Знакомых папок, которые там были не видно, но много описаний из программ, которые у меня стоят на компе.
А полное сканирование имеется ввиду в EasyRecovery?
Я его проводил там с галками FAT, exFAT, NTFS и RAW scan. Вот только у меня вопрос сразу, а в чем разница (как надо) Part03 или диск Е?
И указывал я там Formatted Media Recovery.
Автор: temp9285
Дата сообщения: 28.02.2016 11:33
dmkov9
Ну вот, классический пример использования какой то нестандартной утилиты форматирования. Которая поместила MFT в самое начало раздела - неудивительно что она вся канула в лета, чему подтверждение в сообщении (*) о диапазоне отсутствующих записей.
Так что увы и ах - RAW-восстановление без привычных имён и сортировки по папкам.
(*) Размер файла $MFT - по данным со скриншота ранее 8912896 байт. При стандартном размере записи 1024 байта это 8704 записи. Учитывая что номерация начинается с 0, последняя запись как раз 8703.
Автор: dmkov9
Дата сообщения: 28.02.2016 11:48
temp9285
Жаль. Спасибо за помощь.
Изначально диск форматировался виндой в NTFS.
А эту прогу... Я просто с флэшкой намучился, глючила, все перебирал и... сделал себе лишний геморой
Автор: temp9285
Дата сообщения: 28.02.2016 13:26
dmkov9

Цитата:
Изначально диск форматировался виндой в NTFS.

Возможно, но впоследствии что то делалось с разделом (увеличение, уменьшение, смещение) уже не виндовыми средствами.
У винды стандартное смещение, и при 8секторном кластере оно равно 786432 (*), но никак не 4.
(*) А это район 3гб - и вполне понятно что время на отмену опасного действия намного больше.


Добавлено:
PS. Если хочешь убедиться окончательно в невозможности восстановления в нормальном виде - сделай дамп секторов 267739322+10 и выложи лог Полного сканирования на участке проблемного раздела.
Автор: insight81
Дата сообщения: 28.02.2016 17:00
temp9285, Alex_Green
Посекторный файл образ сделал.
Подскажите, как прописать таблицу FAT2 на место FAT1? Как делать бутсектор?
Автор: bahtey
Дата сообщения: 28.02.2016 19:56
temp9285

Сколько действий, а может ну это всё. сhkdsk /f ?
Автор: temp9285
Дата сообщения: 28.02.2016 20:40
insight81
Размер FAT виден на одном из скриншотов - 15305 секторов.
Вот и скопируй такое число секторов, начиная с 17415 в файл или сразу в сектор 2110.
Что касается бутсектора, то тут не могу гарантировать, потому как если и делал для фата, то очень давно.
Но скорей всего, можно взять от какого нибудь рабочего тома и внести корректировки в соответствии с данными твоего тома.

bahtey
Если тебе даже хочется примитивно тупо запустить чекдиск, то всё равно не получится. Да и здесь неподалёку есть пример того, что может сделать чекдиск.
Автор: bahtey
Дата сообщения: 28.02.2016 20:51
temp9285
А вот не факт.
Было - 250 гб внешн. диск сигейта - ну вытащить только фотки попросился с RAW, а потом фиг с ним - хоть удаляйте всё.
Ну часть вытащили, а после человек говорит дома продолжу - для эксперимента пройтись решил чекдиском, обнулил всё, запутил поиск - и ёще часть вытащил файлов. Хотя, файлы презентаций и эксель там были - порушились.
Но, диск на гарантии был - отдал на ремонт - заменили, потому как то ли второй раз уже валился диск, по питанию может.
Софт бед - сработало.

Другое - ну не всё вечно.
Автор: temp9285
Дата сообщения: 28.02.2016 21:00
bahtey

Цитата:
А вот не факт.

Как раз таки факт.
Потому как в случае:
dmkov9 чекдиск скорей всего запустится, пропишет 4 записи из зеркала в 4-кластер, создаст новый корневой каталог и прочие структуры, и может это сделать на месте нынешних данных. То есть, лишь ухудшит возможность восстановления.
insight81 почитай начальное сообщение - он уже пробовал.

Что касается твоего случая, то это без каких либо данных о том что было выглядит как "ткнул пальцем в небо".

Цитата:
обнулил всё

Только не пиши что весь диск, а то и так смешно.
Автор: bahtey
Дата сообщения: 28.02.2016 21:05
Ладно. Пусть как есть.

Добавлено:
А-ха. понял. мой косяк. но "обнулил" - не в смысле затирка диска.

Я пишу через rdp соединение, отваливается связь, потом уже не вижу что выше написано порой
Автор: temp9285
Дата сообщения: 28.02.2016 22:47
insight81
http://rghost.ru/7Gh7FH2Pb/image.png
Синим выделены критичные значения. Остальные скорей всего - нет.
Автор: Alex_Green
Дата сообщения: 28.02.2016 23:41
insight81
Boot sector можно скачать здесь. Затем в DMDE нужно перейти в меню Сервис >> Копировать Секторы. Потом в источнике указать файл, а в приемнике сектор 2079 (если флэшка открыта как физический диск). Точно также сначала сохраняем вторую фат таблицу в файл. Начиная с сектора 17415 копируем 15305 секторов в файл. Затем выбираем этот файл в качестве источника и копируем 15305 секторов на флэшку выбрав начальный сектор 2110. После этого сохраняем изменения. Для этого снова открываем окно разделы и жмём кнопку Применить (находится в левом нижнем углу окна). В завершении закрываем программу, и отключив флэшку через безопасное извлечение устройств подключаем её снова, и пробуем открыть в проводнике винды.
Автор: insight81
Дата сообщения: 29.02.2016 03:16
temp9285, Alex_Green
После копирования второй таблицы в списке разделов появилась новая строка http://prntscr.com/a98dnz. Номер первого сектора - 2073, так и должно быть?
После копирования бутсектора от Alex_Green, при выделении новой строки стало возможно нажать кнопку "Заменить" (над кнопкой "Применить", которая недоступна). В контекстном меню стала активной строка "Восстановить загрузочный сектор из копии (заменить)...". Пока нажимать не стал, потому что при попытке открыть новый том происходит тестирование таблиц, в результате 0% OK, 0% плох (для обоих таблиц). При этом при открытии второго тома (вторая строка в списке разделов) сразу открывается дерево папок (но недоступна команда "Восстановить загрузочный сектор из копии (заменить)...").
Автор: temp9285
Дата сообщения: 29.02.2016 09:51
insight81
В FAT32 копия загрузочного сектора обычно смешена на 6-секторов (и у тебя именно так прописано в бутсекторе).
Видимо для новой записи содержимое 2079-го воспринимается как копия, и предполагается что в 2073 (2079-6) должен быть бутсектор.
В общем, пропиши бутсектор ещё и в 2085 и посмотри что будет.

И что то у тебя исчезла из таблицы разделов запись о разделе (нет индикатора Е).
Так что не забудь вставить раздел и применить изменения.

PS. Зачёркнутое писал когда скриншот ещё не открылся, потом забыл скорректировать.
Читать как - для новой записи содержимое 2079-го считается бутсектором но, при отсутствии записи в таблице разделов, её же можно предполагать как копией раздела у которого нет бутсектора в 2073-ем. Вот в такой "роли" и показывается.
Если бы не исчезла запись в таблице разделов, то всё было бы нормально.
Автор: insight81
Дата сообщения: 29.02.2016 11:08
temp9285
Вставил раздел, который был второй строкой (2079), применил, после переподключения флешка определилась, стали видны файлы, несколько штук проверил - открываются! http://prntscr.com/a9bn9o
Благодарю за помощь, temp9285 и Alex_Green!!! Нужно ли еще проходить чекдиском (винда не просит)? Интересно, как система определяет, что бутсектор в 2079 секторе? Его что ли (бутсектор) dmde скопировал в 0 сектор, когда я добавил раздел? Что обычно бывает причиной, почему затирается бутсектор и первая таблица?
Автор: temp9285
Дата сообщения: 29.02.2016 11:29
insight81

Цитата:
Нужно ли еще проходить чекдиском

Желательно, потому что возможно что есть ещё где то проблемы.
Для начала - в режиме только чтения.


Цитата:
Интересно, как система определяет, что бутсектор в 2079 секторе?

Ну так в таблице же ты прописал раздел, начинающийся в 2079-ом. Винда и ищет там бутсектор - если не находит, то выдаёт ошибку.


Цитата:
Что обычно бывает причиной, почему затирается бутсектор и первая таблица?

Глюки, в том числе сдампливание чего то при нештатных ситуациях - обычно это сваливается в начало диска. И у тебя скорей всего этот случай - так как похоже на тело какого то файла. В принципе, если интересно, можешь попробовать выделить какой то блок мусора и поискать такой же на флэшке, а может и на диске.
PS. Надеюсь что про безопасное извлечение флэшки рассказывать не надо.
Автор: insight81
Дата сообщения: 29.02.2016 13:58
temp9285
Проверка чекдиском выдала 5 ошибок "Неустранимая ошибка в каталоге... Преобразовать папку в файл?", в т.ч. в каталоге "System volume information". В остальных проблемных каталогах имена файлов - кракозябрами (в дереве каталогов dmde эти папки пустые). Также чекдиск выдал сообщение "Преобразовать потерянные цепочки кластеров в файлы?".
Автор: temp9285
Дата сообщения: 29.02.2016 14:05
insight81
Я не могу гарантировать что чекдиск всё исправит, тем более что с FAT32 я знаком поверхностно.
Но думаю что он всё таки справится с ошибками и ничего не повредит нужного - к тому же у тебя же есть посекторка.

ИМХО, но работать с ошибками в файловой системе сродни работе на автоматизированном складе, в который проникли вредители, без ревизии. Может оказаться что бутылку с нитроглицерином переставили на другую полку, которая числилась пустой. И пока на неё ничего не надо ставить вроде бы всё нормально; но как только поставят, да так что бутыль упадёт, то будет ну очень весело.
Автор: bahtey
Дата сообщения: 29.02.2016 14:57
Соберёт этот чекдиск кучку файлов своих (как раньше *.chk), потом из этих кусков можно собрать потерянные файлы.
Но надо понять, что файлы, в которых важна структура самого файла - из этих цепочек будут лишь "файл поврежден" при открытии, или что-то подобное.


Цитата:
"System volume information"

Пересоздан будеn автоматически при удачном монтировании в системе windows xp->
Автор: insight81
Дата сообщения: 29.02.2016 15:14
bahtey
именно так чекдиск и сделал. А испорченные папки переделал в одноименные файлы - пока неизвестно, важная ли там информация, хозяйка флешки приедет только через три недели. Пока считаю проблему решенной.
Еще раз выражаю благодарность temp9285 и Alex_Green!
Автор: temp9285
Дата сообщения: 29.02.2016 15:23
System volume information создастся и в более новых системах.
Но учитывая что любые новые записи могут быть поверх старых, тем более что эта папка (по сути) не нужна на флэшках, я просто делаю файл с таким именем и записываю в корень дисков где не нужны эти микрософтовские катяхи.


Добавлено:
insight81
Я бы всё таки посоветовал перебить флэшку по новой, прописав раздел с началом в секторе 2048, или вообще без разделов.
Автор: Alex_Green
Дата сообщения: 29.02.2016 15:44
insight81

Цитата:
А испорченные папки переделал в одноименные файлы - пока неизвестно, важная ли там информация


В принципе можно будет их переделать обратно в папки если что. Как правило чекдиск в таких случаях изменяет значение флага каталога с 10 на 00, превращая его таким образом в файл. А вообще да, согласен с 9285 насчёт переформатирования флэшки по новой (естественно после сохранения всего важного).
Автор: insight81
Дата сообщения: 29.02.2016 16:37
temp9285, Alex_Green
Это чтобы потом легче было искать начало раздела, в случае чего? Все выжившие файлы сохранил, добавил раздел в dmde (как без раздела, я не понял), отформатировал штатными средствами винды. Вот что получилось: http://prntscr.com/a9f3sr.
Автор: temp9285
Дата сообщения: 29.02.2016 16:51
insight81
Нет, там что то связано с размерами записываемых блоков.
Я потому и предлагал прозондировать этот вопрос, т.к. не помню в чём там заковырка, но что то типа как и с 4кб секторами на HDD.
Вот, почитай - http://ammo1.livejournal.com/166235.html http://forum.ixbt.com/topic.cgi?id=27:9465


Цитата:
как без раздела, я не понял)

Как минимум ХР-шка формирует (создаёт раздел, форматирует) флэшки без таблицы разделов.

Страницы: 123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354

Предыдущая тема: Проблема HDD с востновлениям информациии


Форум Ru-Board.club — поднят 15-09-2016 числа. Цель - сохранить наследие старого Ru-Board, истории становления российского интернета. Сделано для людей.