» Восстановление разделов и информации на HDD (часть 8)

OneFrom1
Скачай GUI версию - она намного удобнее.
Сделай MBR off, примени изменения и перезагрузи систему.
Заходи в свои разделы и смотри что там.
Скорей всего всё на месте и деструкция ограничилась переписью начальных секторов - до 4096.

Добавлено:

Цитата:

Извиняюсь, это "Открыть том"?

Да.

Да, в System и Addition разделах в режиме "Открыть том" списки каталогов-файлов все видятся



Находясь на ветке System - можно выполнить "Восстановить"?
И затем проделать тоже с Addition?

temp9285

Цитата:

Если такого нет, то можно ограничить число кандидатов в том же Total Commander. Но в нём сигнатура ищется по всему файлу.

Среди восстановленных файлов данный HEX нашел в пяти файлах. Только один из них открылся как шрифт. Т.е. один восстановил только.
Подскажи все же.
Допустим считаем, что файлы шрифтов нефрагментированные (размер маленький, свободное место было). В DMDE я сканирую снова свой диск. Ищу там по коду HEX. А что дальше делать, чтобы восстановить файл?

В общем, восстанавливать DMDE (обычным методом копирования на другой носитель) не стал,
интуиция (и помощь temp9285) подсказала, что все на месте и цело.
Поэтому запустил TestDisk и восстановил как раз эти два раздела, перегрузился, и все на месте-)

Грузится ли сама система - проверю уже на работе.
Хотя она мне уже не нужна - поставил ее заново на другой винт в пятницу.

OneFrom1

Цитата:

Поэтому запустил TestDis

А вот это зря.
В твоём случае не очень критично потому что всё очень просто. Но когда в разделах куча кандидатов на вставку, и особенно если они достаточно инвариантны, использование "автоматов" нередко заканчивается печально.
Мог сделать как сам предложил вставку разделов и применить изменения в DMDE.


Цитата:

Грузится ли сама система  - проверю уже на работе.

Должны быть проблемы, которые устранятся средствами винды в восстановительном режиме.
Это связано с тем, что изменился идентификатор диска. прописанный 0-вом секторе.
В принципе, его можно узнать из реестра винды, прописать и загрузка пройдёт нормально.

Добавлено:
dmkov9

Цитата:

Среди восстановленных файлов данный HEX нашел в пяти файлах. Только один из них открылся как шрифт.

Сигнатура во всех пяти была в самом начале файла? Если да, то есть минимум два обьяснения.
1. Файл был фрагментирован, или в него было вклинивание другого (неизвестного) файла но программа восстановления это не определила.
2. Файл восстановился чуть большего размера и средства работы критичны к избыточной информации.

Что касается методы поиска, то одной строкой не описать - попробую попроще, но позже.

temp9285, я извиняюсь, что воспрошаю, но как я понял, моя проблема нерешаема?

The_Immortal
Значение изменения байтов типично - вопрос только в том, чем это вызвано. И вот в этой части я не знаю что и написать. Разве что посоветовать протестировать контроллер диска (если такой тест есть у производителя). Где то у меня валяется диск. который делал хаотичную (тогда ещё сам не понимал все эти вещи, поэтому не анализировал) хаотичную вставку байтов. Возможно даже 80h. И тест подтвердил этот глюк.
Кстати, сразу не спросил - эффект неоткрытия файлов характерен лишь для docx или есть и другие типы файлов или вообще в любом такое.

dmkov9
[more=Методика поиска примерно такая]
Что имеется:
1. Известна начальная сигнатура файла
2. На диске просто переписаны начальные сектора, то есть нет сдвигов каких то данных.
3. Файлы пишутся покластерно

Следовательно надо открыть проблемный том в DMDE, перейти в ео начальный сектор и запустить поиск по сигнатуре.
При этом в окне поиска поставить чекбокс смещения от начала сектора и оставить значение 0.
Также поставить чекбокс "С учётом регистра".

В случае нахождения смотреть значение сектора правее номера кластера - оно должно быть 0.
Это можно принять за начало файла. А вот где конец - это уже другой вопрос и о нём чуть позже.
Проверил в виртуалке - добавление к концу файла шрифтов не влияет (*) на просмотр шрифта средствами 7-ки. Значит можно копировать число секторов по принципу "сколько не жалко".
Если файл будет просматриваться как шрифт, то тогда уже можно будет попробовать найти что то подобие конца или просто делать постепенное усечение до момента когда при просмотре появится сообщение об ошибке. Это будет свидетельством перебора.

Размер можно посмотреть в упомянутых ранее индексах - если они выжили.
В них будет видно имя и размер. Учитывая что в теле файла шрифта имя шрифта фигурирует (*) можно сопоставить название файла со шрифтом. Но, конечно же, это сопоставление косвенное.

(*) имя шрифта в теле файла, как и открытие при увеличенном размере файла не аксиома, а результат проверки всего лишь на нескольких шрифтах.[/more]

temp9285
Спасибо, буду пробовать!

Сформатировал винт (раздел), потом туда установил Windows 7. Осознал свою ошибку - было уже поздно . Хоть что-то спасти можно? Чем?

vasyosuol_24
Подробности будут?
На разделе раньше стояла винда и его переформатировал? Каков его обьём?
Шанс имеется, но величина его варьируется от 0 и выше.
В любом случае, если работаешь с этой винды - экстренно выключай (не через завершение и т.п.) и дальнейшие действия должны исключить любую возможную запись на диск - например в DMDE сделать Mbr off.

temp9285

Цитата:

Подробности будут?

Будут, если нужны. Думал, написанного достаточно.
Раздел - 2-й, но 1-й . Уточняю: диск (1Tb) разбит на 2-а раздела - 100Гб + 900Гб (остаток). Оба раздела - праймари. Ранее Windows всегда устанавливался на 1-й раздел (100Гб), 2-й раздел отведён под файлохранилище. Именно он (2-й) раздел и отформатировался; на него же и установилась Windows 7. Почему? Чисто по моей невнимательности - во всём виноват M$ . Просто эти нехорошие дяди (и тёти) при разбивке девственно чистого диска средствами M$ (Windows 7) оставляют никому ненужный огрызок (100 Мб) под "систему". В результате получаем те же 2-а раздела, один из которых в системе (Windows 7) не виден. Ну, а при установке... При установке нужно выбирать 2-й раздел, иначе места банально не хватит (ну, это и понятно). Короч, весь день покрутившись на компе 1 (где разметка в стиле M$), вернулся на комп 2 (разметка как я писал выше, т.е. 100Гб + 900Гб), и машинально указал 2-й раздел (файлохранилище). Отформатировал. Поставил Windows 7. Обнаружил отсутствие 2-го диска (на самом деле 1-го, он по примеру, приведённому выше, был просто скрыт как системный), осознал свои потери. Хоть что-то вернуть можно сейчас? Понятно, что часть файлов перезатёрлось, вопрос в софте которым воспользоваться.
Лет 7-8 назад у меня была похожая беда - отформатировал диск (целиком) перепутав с аналогичным диском. В этом случае здорово выручил EasyRecovery (OnTrack) - удалось восстановить всё. Насчёт же DMDE... Не сложились у нас как-то отношения, не сложились...

Цитата:

отформатировал диск (целиком)

Обычно так говорят, когда делают ПОЛНЫЙ формат. Сделав его - восстановить ничего не возможо было бы;). Видимо делали всё же быстрый формат.

Цитата:

Хоть что-то вернуть можно сейчас? Понятно, что часть файлов перезатёрлось, вопрос в софте которым воспользоваться.

Ну разумеется можно. Простая арифметика, ёпти. Если раздел 900 гиг, а винда ну пусть при установке работала на 50 Гб (возьмём с запасом, на самом деле раза в 2 а то и 3 меньше может быть) - то получается, что МИНМУМ 80-90 % инфы должно быть цело. Тут следующий вопрос встаёт - где была MFT? От ответа на него зависит, удасться ли что-то восстановить по файлововй системе, или только RAW, то есть по типам файлов. Если MFT или её часть цела - почти любая прога восстановит хотя бы ЧАСТЬ инфы по файловой системе. Если же MFT убита, была в начале диска - то почти НИКАКАЯ прога не восстановит по файловой системе. Только в RAW.
Ну и тут 250 раз говорилось, что нет одной большой проги, с "золотым ореолом" и кнопкой восстановить всё. Пробовать нужно несколько. Начать со старых и проверенных. У меня это Get Data Back, Easeus Data Recovery Wizard, Undelete. Но есть и другие...

igor not me

Цитата:

Видимо делали всё же быстрый формат.

Делал - M$. Т.е. формат средствами Windows 7. Как она форматит - мне то неведомо. Вангую, что формат действительно быстрый.

Цитата:

Ну разумеется можно. Простая арифметика, ёпти. Если раздел 900 гиг, а винда ну пусть при установке работала на 50 Гб (возьмём с запасом, на самом деле раза в 2 а то и 3 меньше может быть) - то получается, что МИНМУМ 80-90 % инфы должно быть цело.

Почему-то я так и думал . Переходим дальше: Имя, сестра - ИМЯ! (с)
Есть туча программ, в том числе и в шапке - все перебирать никакого терпения не хватит. Хотелось бы рекомендаций именно на тему ЧТО ВЗЯТЬ

Цитата:

Если MFT или её часть цела - почти любая прога восстановит хотя бы ЧАСТЬ инфы по файловой системе. Если же MFT убита, была в начале диска - то почти НИКАКАЯ прога не восстановит по файловой системе.

Это как раз понятно...

Цитата:

Начать со старых и проверенных. У меня это Get Data Back, Easeus Data Recovery Wizard, Undelete. Но есть и другие...

Спасибо, попробую. Надо только "запастись" ими в портабельном варианте - грузиться-то с РЕ буду. Или, может быть, возьму другой диск и установлю на него Винду + проги восстановления...

vasyosuol_24
По памяти, MFT чистой семёрки (64 битной) после установки содержит порядка 70 тысяч записей.
Если раздел и раньше форматировался виндой, то теоретически могут выжить записи далее этого числа.
А было ли их столько? Впрочем, в жизни всякой бывает, поэтому анализ "фарша" лишним не бывает.
И я всё таки настаиваю на DMDE.

Что касается того как восстанавливать. Повторюсь - надо исключить возможную запись а этот раздел.
Кроме MBR off этого можно достичь удалением записи в таблице разделов или изменением типа ФС раздела.

Про сигнатурный поиск уже написано.

temp9285

Цитата:

Если раздел и раньше форматировался виндой, то теоретически могут выжить записи далее этого числа.

Раньше раздел виндой не форматировался - 100%
Он (раздел) вообще форматировался 1 раз: был взят чистый диск (из запечатанного пакетика), разбит на 2-а раздела в соответствии с написанным ранее. После этого форматировался (неоднократно, в том числе и средствами Windows) только 1-й раздел, который сейчас "скрылся". 2-й раздел - ни разу. Напишу сразу: содержимое 1-го раздела (скрытого) не волнует никак. А равным образом и его "открытие" - думаю, если принебречь его содержимым, это делается без проблем. А вот 2-й раздел... Точнее, файлы с него... Хотелось бы вернуть, по-возможности, что можно.

Цитата:

Что касается того как восстанавливать. Повторюсь - надо исключить возможную запись а этот раздел.

Это ясно. К сожалению, до понедельника лишён доступа к этому компу. И, что самое скверное, не сообразил его загасить в пятницу - не до того было
Это я про "замечательный" Windows-шедуллер и иже с ним: чем он там в выходные развлекался - одному лысому ёжику известно.

vasyosuol_24

Цитата:

2-й раздел - ни разу

Да ладно. И как же ты на него записывал данные?

Цитата:

Это я про "замечательный" Windows-шедуллер и иже с ним:

В шедулере нет чего то страшного.
Страшнее всего автоматическое обновление - вот оно гадит много, да и при его работе нефиксированный соп может писать куда угодно + точки восстановления.....

temp9285

Цитата:

В шедулере нет чего то страшного.

Да? А дефрагментация?

Цитата:

Страшнее всего автоматическое обновление - вот оно гадит много, да и при его работе нефиксированный соп может писать куда угодно + точки восстановления.....

Тут я спокоен: комп не в сети . Вообще - патч-корд даже не воткнут...

vasyosuol_24

Цитата:

А дефрагментация?

Есть такая бяка, но не думаю что ей при новой системе, на таком большом разделе будет чем заняться.

Цитата:

Надо только "запастись" ими в портабельном варианте

vasyosuol_24
Вторая и третья у мен яесть в "переносимом" варианте (сам делал). Ну а первую - не встречал. Хотя она на мой взгляд самая лучшая из трёх. Но можно взять старую версию, как у меня. Там установка то - пшик. На PE вполне может установится. Ну то есть на диск конечно, или флешку, не на CD

Цитата:

Вторая  и третья у мен яесть в "переносимом" варианте (сам делал). Ну а первую - не встречал.

Не пойму зачем все эти портэйблы и т.п., если можно исключить запись как описано выше и работать в удобной среде, тем более что нередко нужно позапускать параллельно и другие программы.
PS. Не хочу никого обидеть, но портэйблы нередко ограничены, да и если вспомнить тот же Partition Magic, то как раз таки его портэйбл-версия (неизвестно кем собранная) портит разметку после простого запуска.

Цитата:

Не хочу никого обидеть

Ну надеюсь, что "никто" и не обиделся, а меня обидеть невозможно этим вопросом Дык я тоже НЕ ЛЮБЛЮ их. Вернее те, что неправильно приготовлены. А вообще я не люблю программы, которые требуют глубокой установки в систему. То есть - изначально неправильно написаны! Что стоило программисту их сделать без установки вообще?
Я потому и написал, что "переносимые" весрии. То есть просто после установки скопированы папки с прогами. И запускаются после этого без установки А вот с Get Data Back я, честно говоря, просто и не пробовал вроде. Может и она заработает Ну да это уже оффтоп

Здравствуйте, имеется жесткий диск который случайно отформатировали.
При запуске DMDE он видит старый раздел с пометкой найденный, делал по нему поиск NTFS результата не дало.
Начало старого раздело 63 сектор, а нового 2мб кажется.
Как правильно восстановить файлы из старого раздела, что я делаю неправильно?
http://rghost.ru/7V7nJ4lmy

temp9285
Вопрос по DMDE, чтобы избежать ненужных, так сказать...
Комп вырубил, теперь как я понимаю, мне нужно

Цитата:

исключить любую возможную запись на диск - например в DMDE сделать Mbr off.

Откуда запускать ту же DMDE? Система-то ведь стоит на том самом диске, который мне предстоит восстановить! Загрузиться с Windows PE или же с другой системы (есть возможность поставить ОС на другой физический диск, чтобы не иметь дело с портабельным "огрызком"). Но, насколько я знаю, при запуске с другого диска пока не отключена запись на диск что-то может писаться в System Volume Information на том самом диске.
Windows PE в этом случае мне видится предпочтительнее.

Turkish88
Только отформатировали или что то ещё сделали?
Судя по индикаторам, у прежнего выжило зеркало.
По его данным можно определить где была MFT и сопоставить с тем, что сейчас на диске.
Ведь при переформате не только начало MFT переписывается.

Хотя, что то подсказывает что мог быть полный формат (средствами современных windows) а зеркало прежнего раздела находится в LBA79. Да и ещё есть куча других форматеров, которые размещают данные где вздумается.
Можешь выложить лог поиска и дампы секторов 63+20 (или 4 сектора начала зеркала), 2048+20.

vasyosuol_24
Есть DOS-овская версия.
Можно использовать и виндовую, запуская её из WinPE 2.0 - загрузиться с дистрибутива 32-битной висты, 7-ки и когда появится первое окно вызвать командную строку Shift+F10. И в ней запустить DMDE.

temp9285
Т.е. всё-таки РЕ-ка (или DOS-версия), запускать из под рабочей системы, как я понял сильно нежелательно. Так?

vasyosuol_24
Вот ты выше написал про папку SVI, а ещё есть корзина и в другой системе она тоже создаётся.
Фактически это пар, тройка записей в MFT, но нои могут затереть что то, указывающее на бОльшее.
К тому же есть более существенные вредители - ранее упомянутое автоматическое обновление, дефолтовый файл подкачки который, при недостаточности места на занимаемом разделе, может переместиться на "свободный". И .д. и т.п.
Вот это и есть нежелательное. Я не обязываю тебя делать как написал - ты сам можешь сделать выбор; но только потом не говори что тебя не предупреждали.

temp9285
Про корзину и прочее знаю, просто не упомянул. Насчёт обновлений - ответил ранее; там ничего не было и быть не могло. Да и вообще это всё уже не существенно СЕЙЧАС - что потерялось, то потерялось. Всё равно уже ничего не сделаешь (с тем, что перезаписано) - осталось попробовать вернуть остальное. Вопрос-то не в этом был:
1. Как правильно отключить запись на "потёртый" диск (DMDE). Точнее, как правильно запустить DMDE.
2. Как я понимаю, после того, как я отключу запись на диск, мне никто не мешает загрузиться с другой системы и экспериментировать с программами для восстановления. Разумеется, на другой носитель (физический).
Всё так?

Цитата:

Я не обязываю тебя делать как написал - ты сам можешь сделать выбор; но только потом не говори что тебя не предупреждали.

А это уже не нужно.

vasyosuol_24
Вообще то я комментировал по поводу фразы
Цитата:

запускать из под рабочей системы

И речь не об этой системе - про неё было написано в самом начале, а о другой в которой может быть всё, что написано.
1. Как правильно запустить написано выше - http://forum.ru-board.com/topic.cgi?forum=84&topic=5006&start=940#17
2. Да

temp9285
По поводу DMDE. Когда я делаю Mbr off он пугает, типа: "Имеются незаписанные изменения. Подтвердить прямую запись на диск?" (поставить галку). И всякие прочие "ужасы" .
1. Это не повредит данным на диске?
2. После того, как я закончу с поиском информации с диска не будет проблем с включением Mbr назад?