» Восстановление разделов и информации на HDD (часть 8)

temp9285


Цитата:

...
Теперь можешь открыть том, нажав дважды Enter. Смотри что в Root и пробуй восстанавливать.

Сделано.


Цитата:

Если что то восстанавливается некорректно, запиши и сообщи ID записи - обьясню что можно сделать ещё.

143287 (5)
143288 (6)
143289 (4)

27532-27550
27557
27457-27473
27477
27485-27488
27493-27530
28149-28248
28556
27723
27734
27756
27758
27761
27558
27349
27348
27351-27360
27762
27763
27365-27368
27370
27764
и много еще..




Цитата:

И что насчёт сигнатурного восстановления?

Что-то находится, но много чего - нет. Фотки в основном интересуют. С остальным смирились.

[more] Elvis_Warlock_new
Сразу предупреджаю что это ещё та тягомотина, и не факт что сработает.
Но проверить хотя бы на нескольких файлах то можно?
Итак, ранее выяснено что раздел сдвинулся на 14092288 секторов. И MFT перепрописалась на это же смещение. Часть ошибок, потенциально, могли быть и ранее, но до появления проблемы их просто могли не замечать - под таковыми можно предполагать выбивающиеся из "строя" записи 143287, 143288,
143289. Тем не менее проверить их можно.
Алгоритм следующий. После открытия тома выбираем какую то запись (файл) - для начала не из удалённых, найденных и т.п.Запоминаем его ID и смотрим в правое нижнее окно.
Применительно к фото, начальные байты должны выглядеть типа FF D8 FF . Если байт не такие, то конечно же данные откроются с ошибкой (*) Если такие, то можно предположить что файл фрагментирован и какой то из фрагментов не пересчитан).
Но пока рассмотрим вариант что байты не соотвествует - то есть файл смещён на те самые 14092288 сектора. Соотвественно, смотрим какой текущий LBA, прибавляем к нему 14092288 и переходим в указанный сектор. Не исключён и обратный сдвиг, поэтому можно проверить вариант и с отнятием число секторов.
Если в месте перехода нужные байты, то дальше надо смотреть какие фрагменты у файла, рассчитывать их длину и начало-конец следующих. Всё это вычитывать, "сшивать" и смотреть на результат.

(*) тут выше упоминалось про сжатые файлы, а ещё есть и шифрованные - для таких это не актуально. Речь идёт об обычных файлах. [/more]

temp9285
Да, случай все тот же.
Хотел отрезать от него место для диска D.
Спасибо за консультацию, буду продолжать работать...

temp9285

Цитата:

Впрочем, открыл образ 2 (там просто удалены два нефрагментированных файла) - GDB не смогла их восстановить. Как и WinHex. Покупать DE (чоб було такое крутое) нет желания.

Причем тут GBD, Winheх или DE.
Структур либо достаточно для восстановления файла, либо нет.
В ручную вы те два файла, которые были не фрагментированы, тоже не восстановите. Если даже черновой поиск их не находит.
И в DE нет машины времени или способностей экстрасенсов.
Есть весьма удобные функции, которые быстро позволяет понять ситуацию, показывая структуры очень наглядно. Без всяких дополнительных вычислений.
Есть много дополнительных и настраиваемых функций, которых нигде больше нет. Но еще много чего нет, что хотелось бы иметь в определенных ситуациях. При чем этого нет еще ни в одной программе.
Я, например, сразу нашел смещение начала файла FFF и поправил ссылку на него в виртуальном снапшоте образа, Так что начало сразу встало на место, как будто файл не удалялся. Но DE не может нарисовать таблицу размещения кластеров, если ее уже не стало после удаления файла.
Можно воспользоваться комбинацией оснастки работы с картами и чернового поиска, чтобы по каким то сигнатурам находить следующие фрагменты и построить цепочку кластеров в ручную. Или удалить из общей карты занятые и свободные пустые кластеры и из оставшегося попытаться собрать фрагменты в одну цепочку.
Но делать это придется в ручную, автомат тут мало реально создать.

Удаленно все это бес толку показывать, скриншотами или видео фрагментами, с этим просто нужно длительное время работать, чтобы понимать, что и как делать.

з

Добавлено:
kro4i
Вариант уменьшения C предполагал но, исходя из опыта решения случаев с акронисом, размер тома в секторах в бутсекторе (вроде бы) меняется в последнюю очередь. А у тебя в бутсекторе размер около 80 гигов. Плюс, в результатах поиска явно фигурируют структуры (неполные) второго раздела. Этот твикс и подтолкнул к предположению, которое написал ранее.
Если было только уменьшение (не буду сыпать соль на рану по поводу уменьшения средствами винды), то вполне логично был бы перенос данных из зоны уменьшения и пересчёт соответствующих значений в служебных файлах ФС. Что как бы предполагает незатронутость данных в пределах начала раздела. Вот только поделки акрониса с (моей) логикой не дружат.

Добавлено:
tomset
Если вы почитаете тему, ссылка на которую была раньше, то поймёте и причину невосстановления некоторым ПО, и то что я смог бы восстановить вручную нефрагментированный файл.

Цитата:

Я, например, сразу нашел смещение начала файла FFF и поправил ссылку на него в виртуальном снапшоте образа

МАЛАДЕЦ! Вот только DMDE сделала это сама.

tomset

Цитата:

В ручную вы те два файла, которые были не фрагментированы, тоже не восстановите. Если даже черновой поиск их не находит.

В моей практике бывало, что ни одна прога не могла восстановить сигнатурным поиском один из видов файла MP4. Пришлось в качестве эталона взять заголовок файла, снятого на этот же аппарат, и уже по нему искать файлы. Получилось как ни странно успешно.
Да и на хоботе в теме про восстановление с флэш носителей был случай, когда пользователь перепробовал много рекаверилок с нулевым результатом (также при восстановлении файлов MP4). Вручную по моему совету кажется восстановил два файла из пяти. Остальные три видимо были фрагментированы. Речь идёт о сигнатурном восстановлении, когда от фат вообще ничего не осталось.

[more] tomset

Цитата:

Просто забиваю на все и пищу тут всякую фигню.

Вы почаще, почаще Это дело очень полезное, прочищает мозК

Цитата:

так как отсутствовал список битых, не полностью вычитанных файлов

Ммм, я уж говорил, но вы всё так "молитесь" на это и что-то захотелось повторить, что подобное реально ценно может быть в паре процентов случаев. Для клиентов - особо-неадекватов Для адекватных людей это не нужно. В большинстве случаев восстанавливают ВАЖНЫЕ файлы, которые будут ПРОВЕРЯТЬ ЛИЧНО после восстановления. Применив вашу логику, могу сказать, что если человек не проверит ЛИЧНО, ГЛАЗАМИ якобы важные файлы, а доверится отчёту - то и файлы на самом деле не важны для него вовсе Да и какой толк проверять например файлы с бухгалтерского компа, где документов набралось скажем за последние 10 лет, а работник реально пользовался для работы 10 % доков. Остальные просто остались по инерции, так как их просто некогда было удалять Пустая трата времени и ресурсов Ну и так далее в таком духе... [/more]

igor not me
ну ты не прав. )
Тому же бухгалтеру периодически нужны отчеты по старым годам.
И когда он выяснит, что отчет битый, припомнит мастера нехорошими словами.
А варианты творческих работ, а всякая конструкторская документация.
Да просто коллекция любимых фильмов, музыки, фотографий или чего угодно.
Он то будет считать, что у него все восстановлено, будет годами хранить эти битые файлы, а потом, когда захочет ими воспользоваться выяснится, что ни чего уже и нет.

Допустим восстанавливаешь диск без одной головки, запилена поверхность, вычитать ее не реально.
На нем миллион файлов.
По количеству, битых файлов получается пусть 25%, А по объему это может быть и все 70% файлов.
Так как погибают в основном большие файлы.
Просмотреть миллион файлов, пусть по 2 секунды на каждый и по 8 часов в день, это ~ 70 дней работы.
Какой нормальный человек более 2-х месяцев будет только проверять файлы, забросив вся остальное.
Ясное дело, что он сможет выделить на это дело по паре часов в день, а это уже почти год просмотров.
Ну и спрашивается зачем такой геморрой, когда можно посмотреть список битого и решить, что стоит восстанавливать путем поиска в других местах этой информации, повторного создания, или просто забить и не хранить битый хлам.

[more] tomset
Вообще то бухгалтеру важна база а не отчёты, которые формируются.
А база, особенно старая должна иметь бэкап. Таковой, делается обычно в архивном файле, что позволяет проверить целостность.
Не так давно был случай - люди считали что у них есть резервные копии фоток. Потом выяснилось что их побила шашель в виде шифратора, который не шифровал весь файл, а лишь вставлял фрагменты. да и вообще мусор в файлах может быть по другой причине. И если нет контроля чётности, то как будешь определять целостность?
Да и вообще, если ещё не поняли - уже не раз признали что DE крут в части физических проблем с винтом. Толку от его контроля вычитывания секторов в случае если диск переформатировали, деструктруировали акронисом, и других логических проблем. Это как недавно залётный специализд подколол меня тем что я SMART не всегда запрашиваю. Ну и зачем он в случае когда чел образом загрузочной флэшки переписал начало диска?
Впрочем, конечно же круто купить мабах и ездить за хлебом в булочную в соседнем доме. Ну да, не пешком же, да ещёё и в коже, да ещё и с кондишеном... ой климат-контролем. [/more]

temp9285
У меня практически нет заказов с логическими случаями на живых дисках.
Только как продолжение физических проблем.
в 95% случаев, пользователь сам восстановит большую часть файлов любой рековери программой. Специалист тут совершенно не нужен.

Вы же в основном решаете проблемы, - сделать, как было. Что в целом на фиг не надо, при наличии свободного места на других дисках. Который по любому нужен для резевных копий, если данные представляют хоть какую-то ценность.
Новая система всяко лучше, чем кое-как восстановленная. Потом можно огрести всякие глюки. Спрашивается - за чем рисковать.
Ориентироваться на работы с такими случаями, для меня нет ни какого смысла.

tomset

Цитата:

Вы же в основном решаете проблемы, - сделать, как было.

Я делаю по разному, и предупреждаю о последствиях и т.п.
В том числе и по месту - а как ещё делать если у человека нет места и т.п. Думаете что если я не помогу сделать ин-плэйс некоторые пойдут покупать новый диск или оплачивать услуги датацентров? В темах (иных форумов) немало случаев когда не дожидаясь помощи или получив неадекватную, люди прощаются с данными или пускаются на более рискованные эксперименты. Вон, на осзоне недавно один помогал, вставляя "разделы" у которых нет даже ФС. Хорошо что закончилось удачно. Или на кибере в случае расколбаса акрониса советовали тестдиск..

Опять же, практика восстановления нередко показывает что не всегда программы восстанавливают правильно. И про операционки я только недавно написал.
Только видится мне что вы не хотите этого понять, а скорей в отместку пытаетесь подколоть меня тем, что у вас надуманно в голове.

temp9285


Цитата:

Только видится мне что вы не хотите этого понять, а скорей в отместку пытаетесь подколоть меня тем, что у вас надуманно в голове.

Не выдумывайте, зачем мне вас подкалывать. Пора юношеского самоутверждения давно в прошлом. Просто мое мнение, не более. Не виноват же я, что моя точка зрения вам не нравится.

[more] tomset

Цитата:

ну ты не прав. )

Может быть, но

Цитата:

И когда он выяснит, что отчет битый

Я говорил, если есть "и когда ..." - данные НЕ важны. ВСЁ, что важно, должно быть открыто и проверено, просмотрено глазами, СЕЙЧАС, сразу после получения инфы после восстановления. Это хороший тон. Начальству на работе сказать, нужно 2-3 дня на проверку данных. Зато после проверки будешь уверен почти на все 100, что всё цело Лично я практикую такой подход...

Цитата:

будет годами хранить эти битые файлы

Тот же принцип. Ну и вы же сказали ранее, что "годами" современные винты не работают и "не должны", 2-3 года, вроде как "ваш" срок?

Цитата:

У меня практически нет заказов с логическими случаями на живых дисках.

Ну вот, всё понятно, как выше сказал temp9285

Цитата:

Да и вообще, если ещё не поняли - уже не раз признали что DE крут в части физических проблем с винтом.

СОГЛАСЕН, а вот проверку файлов по логике он может организовать только известных форматов. Ну дык а это умеют и обычные проги для восстановления инфы, некоторые. Так что по части указания логической целостности файла DE почти ничем не круче других. ПРедлагаю зафиксировать эту мысль и закончить спор [/more]

Цитата:

по логике он может организовать только известных форматов.

Прошу прощения, что вмешиваюсь, но это не верное утверждение. В DE в частности реализовано и добавление форматов (описывайте вручную, никто не мешает). А если реально, то его функционал намного шире, чем его представляют себе даже некоторые мэтры. Функционал ограничивается пожалуй только знаниями мастера. Прошу не считать за рекламу.

Цитата:

Прошу прощения

Да не вопрос

Цитата:

добавление форматов

Не вопрос, "только известные форматы", добавленные вручную или на заводе. Для файлов, у которых нет чётких сигнатур - он НИЧЕМ не лучше, значится.

igor not me

Цитата:

Так что по части указания логической целостности файла DE почти ничем не круче других.

Ошибаешься. по круче будет.

В какой ни будь программе что то видел подобное?
У каждого файла и директория, при контроле целостности директорий и файлов, стоит цветная метка, зашифрован, сжат, проверен, не проверен, стоит на месте, не на месте.
Без этого развалившийся транслятор или не понятный рейд, вряд ли удастся собрать.
Убрать сдвиги трансляции FS.

Плюс тесное взаимодействие с технологическими утилитами, когда можно включать отключать обработку ошибок, кеширование. Чтения средствами технологических команд. Посмотрю как вы транслятор восстановите на Cигейте F3, после очередного мухобоя без технологического чтения.
Построение карт головок. Вообще карты любых объектов FS, в практически любой комбинации. Проводить анализ только этих карт.

Дешифровка на ходу некоторых алгоритмов сжатия и шифрования.

Но уже не раз говорил, что и этого чертовски мало, для некоторых ситуаций.
Но они пишут и улучшают его постоянно, несколько программистов по разным направлениям.

[more]
Цитата:

Чтения средствами технологических команд. Посмотрю как вы транслятор восстановите на Cигейте F3, после очередного мухобоя без технологического чтения.
Построение карт головок. Вообще карты любых объектов FS, в практически любой комбинации. Проводить анализ только этих карт.

Всё, что описано выше - это хардварная работа с диском.
Я ж писал, что касаемо работы с HDD - не вопрос, он крут. НО когда с диска снят образ, с правильной трансляцией и т. п. - это уже этап ЛОГИЧЕСКОГО разбора. Там файлы могут быть перезаписаны другими, иметь "дырки", не вычитанные из-за бэда в этом месте и т. п. На ЭТОМ этапе он НИЧЕМ не лучше
А если вы напишете в ответ в вашем репертуаре что-то типа " так ты попробуй получи этот образ". То тут я уже много раз говорил. И пробовать не буду, если там мёртвая голова или порушен транслятор. ИБО В МОЁМ РЕГИОНЕ спрос на подобные работы КРАЙНЕ НЕВЕЛИК. У меня было всего несколько случаев, когда диски или стучали бошками или не определялись, и после того, как я говорил, сколько это стоит у DR-щиков, только ПОПЫТАТЬСЯ восстановить инфу - сразу забивали и всё
У нас география разная, не забывайте. В Москве можно найти всё, в т. ч. достаточное колличество "миллионеров", готовых оплачивать DR. Хотя нет, вы ж сказали, что сейчас уже с этим у вас туговато А У НАС с этим было туго ВСЕГДА [/more]

Цитата:

Не вопрос, "только известные форматы", добавленные вручную или на заводе. Для файлов, у которых нет чётких сигнатур - он НИЧЕМ не лучше, значится.

Ну тут уж ни кто и ни что не поможет, если файл не имеет ни каких разумных структур.
Кроме как родной программой его ни чем не проверишь.
Беда в том что разработчики таких программ, не хотят ни кому отдавать средства контроля своих файлов. А все открытые распространненные форматы уже давно включены в DE.

Последний "писк", при черновом восстановлении, файлы получают названия по метаданным, где они есть в самом файле.
JPG например сортируются по разрещению, каждый в свою папку.
А не валятся в одну папку. с именами 1.2.3.4.5....
В имени пишет камеру, дату, название фотки, если есть в метаданных.
из word, и excel документов, берет первые заголовки.


Добавлено:
igor not me
Вы не осознаете, не вникаете что я пишу, не сталкивались и не видели как он работает.
Мне сюда скриншоты ни какого смысла нет выставлять.
Это уж пускай ася свой продукт рекламирует.
А если действительно хотите понять, как он работает и что умеет.
Посмотрите вебинары на U-tube. там уже десятки фильмов. как решать те или иные проблемы с помошью DE. И сравните с вашими методами.
Можно на конференцию бесплатную съездить в конце концов, где даже накормят на халяву. Только дорогу и проживание придется оплатить.
Но люди туда ездят за счет своих фирм, когда им оплачивают командировки. Масса организаций покупает комплекс для своих внутренних нужд, а не для создания DR фирмы. Потому что не хотят, чтобы их информацию кто-то ковырял посторонний.

[more] [more] tomset

Цитата:

Не виноват же я, что моя точка зрения вам не нравится.

Причём здесь не нравится - я хотел бы чтобы она не была голословной.
Вот только вчера описывал как попробовать собрать файлы которые расколбасило акронисом. Где там речь о восстановлении по месту. Или как понимать как было? Восстановить файл целым, каким он был ранее - а что, вы делаете не так?
Могу напомнить уже обсуждаемый случай про A-data (да и не только его) - там вы выглядели как врач, который даёт лекарства, но не хочет вникать в причину болезни. И если бы не попытки восстановления по месту, которые кстати проходили практически идеально, и анализ дампов, то неизвестно когда бы нашлась причина таких сдвигов.

Или вы имеете ввиду ваше желание всех заставить всех делать всё только через посекторку?
И настойчивое нежелание понимать что оппоненты понимают что в физике DE крут, может и в некоторых моментах логики, но только его стоимость ога.

И если вы считаете что восстановление это onlyDE в гермозоне, то предложите модераторам кучи форумов закрыть подобные цели. И не надо про юношеские самоутверждения. [/more]

Добавлено:
tomset
И вообще, я уезжаю на пару недель в командировку - у вас есть прекрасная возможность показать тем, кто сюда прийдёт за помощью, как правильно надо восстанавливать (а не страдать фигнёй). [/more]

temp9285


Цитата:

кто сюда прийдёт за помощью, как правильно надо восстанавливать (а не страдать фигнёй)

Мне это совершенно ни к чему.
Вам нравиться помагать, вникать, считать, пожалуйста , занимайтесь.
Вот мне вы ничем помочь не сможете в моих ситуациях.

А копия, между прочим, профессионалом, делается всегда при восстановлении данных, в каком бы состоянии хард не был. Иначе можно ничего не получить и угробить что было.
Ошибиться может любой и любая программа, электричество наконец пропасть в самый ответственный момент. И UPS не спасет.
Второй попытки может уже и не быть.
Я вам уже писал, всегда две копии данных.
А без копий в палатках на рынках работают, по-быстрому срубить бабла, а дальше хоть трава не расти.
Ну и начинающие, пока на "грабли" не наступят.

[more] tomset

Цитата:

Вам нравиться помагать, вникать, считать, пожалуйста , занимайтесь.

Спасибо, барин!


Цитата:

Я вам уже писал, всегда две копии данных.

Та хоть десять.
А теперь представляем как должны выглядеть форумы и темы по восстановлению в вашей постановке задачи. Запросивший помощь обязан предоставить заверенные нотариусо справки что он сделал две посекторки и что они идентичны. Лишь в этом случае оказывается помощь? Или после этого идёт посыл к владеющему ПАК (среди которых, кстати, немало сильно тонущих в логике)?

Или будем соглашаться с залипухой, когда вопрошающий сразу будет писать о трёх посекторках? Нечто подобное сейчас имеется с лицензионным ПО. По всем симптомам видно что пиратка, но спрашивающий утверждает обратное - потому что в противном случае тему прикроют.

Или деградируем до уровня "форумов", на которых рекомендуют зайти на сомнительный сайт, где большинство проблем "лечится" чекдиском, в том числе и физических. При этом без посекторок и всяческх пояснений для чего это нужно. Может вы профессиональные копья лучше пометаете в адрес таковых, заодно и фигнёй пострадаете? Вот только не получится это - там обиженка (владелец сайта) быстро порежет правду. [/more]

temp9285
Да не, я по другим форумам мало хожу, там неадекватов полно.
Сгонит муху с 11 серии или r-студию запустит и уже крутой спец.
Что им не пиши, все равно скажут не так.
Особенно ремонтники мониторов, ноутбуков.
Заразу что ль какую в них буржуи кладут, что у людей мозги перекашивает.
Сюда тоже бывает забредают, но меньше.

Цитата:

Особенно ремонтники мониторов, ноутбуков

Ага, ага, это я. Я - ремонтник Такой бред иногда несу, правда

Цитата:

Заразу что ль какую в них буржуи кладут, что у людей мозги перекашивает

Может и кладут, но лично у меня иммунитет. Вакцина под названием "любовь к родине" .

Цитата:

правда

Правда, правда!
Вы так мало пока знаете о дисках, и ситуациях, которые приводят к потере данных, так что простительно наверное для начинающего.

Для общего развития:
https://m.youtube.com/watch?v=tDacjrSCeq4

Есть внешний диск HP dt3000i USB 3.0 (внутри WD 3 Тб) с кучей данных на одном разделе. По USB работал нормально. Вынул WD 3 Тб и подключил по SATA. В Windows 7 x64 диск не открывается.
Успел выполнить восстановление раздела с помощью testdisk что не дало результатов.
После этого в DMDE выполнил команду "Сигнатура загрузочного сектора.".
При попытке выполнить "Вставить" для раздела выдает что загрузочный сектор не найден и раздел будет виден как неотформатированный. При открытии тома в DMDE показывает структуру каталогов правильно.
Скрины DMDE и CrystalDisk
Помогите восстановить раздел без потери данных. Спасибо.

vet2007
Сектор 4k.
коробка так работает.
только через коробку или ДатаEхстрактор.
DMDE пока не научился работать с 4k.

vet2007
вам еще повезло, что коробка не с хардварным шифрованием...
вертайте все в зад и через нее смотрите, правильно вам подсказали.

tomset
и откуда у людей столько энтузиазма.. то из коробки достать, то "полечить" тестдиском..
видео шикарно, мораль эпична - "не кричите на ваши диски. Им это не нравится"

Добавлено:
tomset, south_man
Понял) Спасибо!

vet2007, еще раз:
- если хотите читать данные, что созданы "в коробке" - то ставьте обратно и восстанавливайте из нее.
- если хотите и дальше работать в коробке, опять же - ставим туда, переразметку делаем, форматируем и работаем.

разметка диска "напрямую по сата" не будет правильно отдаваться, когда диск сидит в коробке.

Я изначально хотел перенести винт из коробки в корпус ПК чтобы постоянно работать по САТА. Но в такой ситуации лучше не буду морочиться и дальше работать с коробкой по USB)