» Восстановление разделов и информации на HDD (часть 2)

Народ,HELP

При входе в жёсткий диск ,после продолжительной паузы предлогает отформатировать диск
Акронисом проверял диск,также была продолжительная пауза и вылезла табличка "ошибка при чтении сектора 293.048.205",пропустил ошибку и увидил все свои папки.Жёсткий на 280 гиг,230 из которых забито.Как быть?
Партишен меджиком пробывал сменить файловую систему,поменять первичный на логический,но всё безтолку,выходит сообщение об ошибке.При проверке Norton Disk Doctor выходит сообщение "Нет доступа к диску D,этот том использует неизвестную файловую систему".После загрузки компа,перед входом в пользователи,на секунд 30 зависает,установка и удаление программ-виснет на создании списка.
Кто что может предложить?

Ребят подскажите можно востановить инфу на винте, не прибегая к профессиональному оборудованию, которая была полностью стерта используя комманду erase в mhdd?

Sish
Таки вернул доступ к данным.
Вот схема:
- виндовый проводник, меню сервис, свойства папки, вкладка вид.
- снять галку с "использовать простой общий доступ".
- свойства папки, с которой проблемы: вкладка безопасность, кнопка дополнительно
- вкладка владелец. установить правильного владельца и поставить галку на "стать владельцем подпапок..."

Цитата:

полностью стерта используя комманду erase в mhdd?

Нет, ни каким даже супер крутым профессиональным обородуванием, восстановить информацию после Erase невозможно.
Только чисто теоретически, на электроном тунельном микроскопе со скоростью где-то один бит в минуту. Так что восстановление одного гигабайта займет около 200 лет.

Antech HddScan ошибок не нашел. В управлении дисками раздел не виден (написано "не распределен"), статью прочитал, но так и не понял, что нужно делать. Что нужно сделать в указанных программах (WinHex, DMDE, Acronis Disk Editor )?

Shlyapa

Цитата:

статью прочитал, но так и не понял, что нужно делать.

Остается только посочувствовать.
И рекомендовать обратиться к специалисту. Город-то какой?

tomset, жаль. А что за алгоритм стирания там используется, и что лучше с точки зрения невозможности восстановления, использовать?

alan1

Цитата:

А что за алгоритм стирания там используется

В МНDD просто все сектора диска прописываются нулями.
Для современного диска этого вполне достаточно для полного уничтожения данных.
Все сказки про остаточную намагниченость на краях дорожки, это только желанее продать никому не нужные програмы с многократной записью различными патернами.
Современные головки уже с трудом и собственые записи читают. А уж прочитать шум на краях дорожек уже ни какие головки не смогут.

Цитата из статьи: "Я использую DOS 7.10 от Windows 98 SE и DISKEDIT из пакета NORTON UTILITIES 2002" Может кто поделится образом

Shlyapa
Может кто поделится образом
Зачем? Используйте WinHex (если под Виндой) или DMDE (есть версии для DOS и Винды). ВинХекс хорош, но он платный (лекарство есть в сети).

Будем исходить из того, что раздел изчез из таблицы разделов.
Теперь перед Вами проблема: как найти начало раздела? Даже в случае, если сам раздел не пострадал, все не так элементарно, т. к. раздел второй, и стандартным смещением 63 сектора Вы не обойдетесь (обычно первый раздел начинается в секторе 63 (LBA), это соответствует Cylinder 0, Head 1, Sector 1 в CHS).

Поэтому попробуйте следующее. В WinHex откройте проблемный диск как физический. Так как файловая система не указана, предположим, что у Вас NTFS. Нажмите Ctrl+F. Введите строку "NTFS" (без кавычек), отметьте "Match case". Затем отметьте "Cond offset mod", правее в первом эдитбоксе введите 512, а во втором - 3. Нажмите ОК. Теперь ВинХекс будет искать строку NTFS в третьем байте сектора (нумерация байтов в дампах обычно начинается с нуля). Таким образом попробуем найти загрузочный сектор NTFS, который располагается в самом первом секторе NTFS раздела. Поиск будет идти с начала диска, что довольно долго. Вы можете ускорить процесс, если немного воспользуетесь калькулятором. Первый раздел 10 Гб == 10*10^9 байт. В секторе 512 байт, поэтому поиск можно начать с сектора 9*10^9/512~17500000, что есть 10B0760h в hex. (Если Вам удобнее работать с десятичными смещениями, снимите опцию Hexadecimal Offsets в Винхексе (Options -> General)). Чтобы перейти в сектор 17500000, нажмите Ctrl+Home, затем Alt+G, введите номер сектора, "current position", OK. Слева внизу в строке состояния Вы увидите номер сектора. Теперь можете начинать поиск, начало второго раздела будет найдено гораздо быстрее (если оно будет найдено). Для поиска начала раздела NTFS можно также использовать следующие строки:
1. A disk read error occurred (offset 185h == 389 байт)
2. NTLDR is missing (offset 1A2h == 418 байт)
3. NTLDR is compressed (offset 1B5h == 437 байт)
4. Press Ctrl+Alt+Del to restart (offset 1CBh == 459 байт)
Offset'ы нужно вводить во втором эдитбоксе опции "Cond offset mod", причем всегда в десятичной форме (т. е., например, для поиска строки №1 надо ввести число 389).

Для начала сделайте это. Если Вам кажется слишком сложно, то либо к специалисту, либо эвристики R-Studio, GetDataBack, EasyRecovery, PC Inspector File Recovery, Recover My Files и т. д. на другой диск.

На всякий случай, классические статьи про восстановление:
NTFS: http://www.iatp.irklib.ru/sites/Karmadanov/Recovery/8_NTFS_Data.htm
FAT: http://www.iatp.irklib.ru/sites/Karmadanov/Recovery/7_FAT_Data.htm

Antech Проделал я эти действия. Внизу написано:
Sector 63 of 156299375 Offset: 7E03 =78 Block: 934F985-934F985 Size: 1
Что делать дальше?

Shlyapa
Sector 63 of 156299375
Причем тут сектор 63?

Какая файловая система была? Если NTFS, я написал, что делать. Пока что сделайте хотя бы это. Если FAT32, то в статье (см. ссылки выше) про FAT32 есть указания по поиску загрузочного сектора.
Фактически, независимо от файловой системы, все сводится к тому, чтобы найти загрузочный сектор второго раздела, т. к. в случае FAT и NTFS это есть самый первый сектор раздела. Далее Вам останется только дать ссылку на него в таблице разделов, и если сам раздел не пострадал, все залетает!

Если хотите, можете показать нулевой сектор. Там находится таблица разделов, статья про которую Вам почему-то показалась непонятной (на самом деле ничего сложного). Посмотрим, что там с разделами. Желательно выделить нулевой сектор (мышой) и нажать Shift+Ctrl+N, а затем выложить где-нибудь сохраненный файл (512 байт).

Antech
Файл здесь http://webfile.ru/1344634

Цитата:

Вам останется только дать ссылку на него в таблице разделов

А как это сделать?

Shlyapa
А как это сделать?
Прочитать статью про таблицу разделов, попытаться таки понять. Там нет ничего сложного. Потом взять ВинХекс, ткнуть курсор в нулевой сектор, нажать Alt+F12, выбрать Master boot record и отредактировать таблицу разделов. Для этого не надо быть гением.

Насчет MBR.
Первый раздел - NTFS, начинается в секторе 63, имеет размер 20322162 секторов, т. е. около 10 Гб. Здесь все нормально.
Второй раздел - расширенный раздел. Т. е. это не раздел, а то место, где располагаются другие разделы. Плохо. Лучше бы он был Primary. Эта область имеет смещение 147733740 секторов, т. е. около 75 Гб и имеет размер 8562645 секторов, т. е. около 4 Гб. Других разделов в MBR нет.
Похоже, что первый раздел - это Ваш исходный первый раздел.
Второй раздел напоминает "зону безопаскости" от Акрониса, т. к. он 4 Гб.
А вот Ваш исходный второй раздел - его нет.
Так что вывод: ищите загрузочный сектор второго раздела, как я сказал. Потом понадобится поправить Sectors preceding partition 2 и Lenght of partition 2 in sectors в шаблоне MBR ВинХекса (Alt+F12). Как искать, я написал. Вперед!

Какая файловая система была во втором разделе !?

Antech

Цитата:

Какая файловая система была во втором разделе !?

NTFS

Shlyapa
Значит ищите загрузочный сектор, как я советовал.
Тут, правда, возможны грабли. Копии этого сектора могут быть разбросаны по разделу, но они-то не являются началом раздела. Поэтому необходим контроль. Когда найдете определенный сектор, разделите его номер на 512 - это будет предполагаемое смещение начала раздела в байтах. Если будет сильно отличаться от 10 Гб - этот сектор в сад. Вторая проверка - конец предыдущего раздела. Если разделы были правильно отформатированы (т. е. Виндой), в конце раздела есть копия загрузочного сектора. Т. к. у Вас потерянный раздел начинается после первого, то их загрузочные сектора ИМХО должны идти друг за другом: копия BS первого раздела - а в следующем секторе - BS второго раздела. Класс, да? Ну и еще одна проверка - она, думаю, для Вас сложна слишком (раз уж разделы так трудно даются). Суть проверки - определить размер кластера и смещение первого кластера MFT и MFT Mirror (курсор в бутсектор раздела, Alt+F12, Boot Sector NTFS - там эти параметры указаны), а затем перейти в соответствующие сектора (размер_кластера*первый_кластер_MFT, курсор в загрузочный сектор раздела, Alt+G, вводим полученное число и ОК). Эту проверку можете не делать, если кажется трудным.

Будьте внимательны с шестнадцатиричными/десятичными значениями!
Если работаете в hex смещениях, имейте это в виду (переводить dec<=>hex поможет виндовый калькулятор, Вид - Инженерный).
Если хотите dec (обычные, десятичные) смещения - задайте это в настройках WinHex (Options -> General -> Hexadecimal Offsets выключить).

Antech

Цитата:

Второй раздел - расширенный раздел. Т. е. это не раздел, а то место, где располагаются другие разделы. Плохо. Лучше бы он был Primary.

Расширенный раздел по определению создаётся на первичном разделе. Или я вас неправильно понял?

TeXpert
Я имел в виду, что если бы эта запись в таблице разделов описывала Primary раздел, было бы все понятно. А так - она ссылается на расширенный, о котором в MBR ничего не указано (даже количество разделов в цепочке).
Но не важно: ясно, что в этом расширенном находится один единственный Акронисовый раздел, а он нам и не нужен.

TeXpert

Цитата:

Расширенный раздел по определению создаётся на первичном разделе. Или я вас неправильно понял?

Это конечно так, но Antech имел в виду, как мне кажется, что лучше бы было Primary + Primary + Primary, а не как сейчас Primary + [Extended[Secondary]+[Secondary]]; т.е. без использования Extended раздела.

Shlyapa
Было бы правильней продублировать сюда, что Вы восстановили Acronis Disk Director'ом (есть еще бесплатный Test Disk с аналогичной функцией). Разумеется, т. к. сам раздел не пострадал, прога восстановила легко и непринужденно. Вопрос закрыт. Но есть два момента:
1. Прога могла и подвафлить. Она ведь редактирует непосредственно на проблемном диске в полуавтоматическом режиме.
2. Так не интересно .

Дбрый день. Хочу попросить совета у мастеров. У меня есть (или был???) внешний HDD на 250Гб, который подключен к основному через USB. По неосторожности он у меня упал. Я попытался его подключить, но всё бесполезно. Во время подключения он начал издавать щелчки и определяется как внешнее устройство, а до падения я видел все его 8 дисков. Полдежат ли восстанолению такие HDD, и если нет, то как можно скачать информацию, сохранённую на нём? С уважением, vicgomelsky.
vicgomelsky@mail.ru

vicgomelsky
Модель то харда какая?
Сам хард врядли подлежит восстановлению.
А информацию - смотря какие последствия удара.
После падения, и головки могли оторваться, и задир, и смещение блинов. Дома врядли сделаешь. Нужно в серьезную рековери фирму обращаться.

Модель HDD - Western Digital (WD2500JB)

Товарищи, такая беда..
Слетела NTFS на scsi-харде (300Гб, Хитачи). От Win2k server отваливается, выдается сообщение о небезопасном извлечении устройства. Вытащил, подключил через адаптер WD-7296 к ПК. Система (WinXPSP2) харда не видит, всякие Акронисы и рекавери-проги определяют, как неотформатированую область. Проблема в том, что две попытки просканить винт (R-Studio и Restorer2000) закончились неудачно - Студия дошла до места (где-то 25%), где квадратик на экране статистики тупо мигал (проц, правда, нагружало) и ничего больше не происходило, а Ресторатор намертво подвесил машину на 85%. Там сначала поврежденная область, мучит ее долго, потом, вроде нормально. Может есть какие-нибудь советы под такую ситуацию? Скажем, проги, которые БЫСТРЫМ сканом скажут, мол, вот эти фалы живы, а эти нужно долго и нудно вытаскивать. Или еще что. Никогда не сталкивался с вопросом восстановления информации, а тут еще с обьемом повезло.. Выручайте

pasvel
Восстановлением инфы не занимаются на умирающем винте, можете потерять остатки. Вам понадобится второй винт, объемом не менее 300 Гб (PATA/SATA/SCSI не имеет значения). На него нужно сделать посекторный образ проблемного винта, например прогой WinHex (кнопочка Clone Disk в тулбаре). Как источник нужно выбирать физический диск (SCSI), как приемник - файл либо физический диск, но во втором случае на том винте, куда копируете, не должно быть ничего нужного.

На полученный образ напускаете R-Studio, теперь он просканирует без тормозов.

Вы можете уменшить время сканирования, если определите область, занятую MFT. Это потребует некоторых знаний, которые можно найти в инете (если хотите, расскажу подробнее). Вкратце, нужно найти начальный сектор файла $MFT или $MFTMirr, затем посмотреть его RunList и определить, какую область он занимает. И именно на эту область напускать R-Studio. Обычно MFT занимает десятки мегов, а не 300 Гб .

Antech
Был бы очень благодарен за пояснение. Или ссылку с детальными пояснениями. Р-Студия уже пол-дня мучает диск, а только 50%..

Выручайте, рубордовцы!

Случайно отформатил хард с 220 ГБ фильмов, музыки и другого. Точнее, 2-й раздел на этом харде. 1-й раздел - 12 ГБ, 2-й - 220 ГБ.
Easy Recovery (->Formated Recovery) после часового скана нашла файлы (вроде всё на месте). Только восстанавливать некуда. Можно как-нить вернуть эти данные без такого рода восстановления?

Хард - Hitachi HDT722525DLA380 - SATA2. 2 раздела. Оба в NTFS.
Сейчас на пострадавшем харде несколько файлов (маленьких):
boot.ini
Bootfont.bin
NTDETECT.COM
ntldr

Возможно вернуть старую структуру файлов (MBR?) без пофайлового восстановления инфы на другой хард?

SuperDee
AFAIK нет таких прог, чтобы структуру NTFS (и даже FAT) прямо на диске восстанавливали. Это очень опасно для данных, в любом нормальном эвристике есть предупреждение о том, что на пострадавший диск никакая запись не производится, пока инфа не будет восстановлена на другой физический носитель.

P. S. Вы перепутали MBR c файловой системой. MBR у Вас в порядке.

pasvel
Был бы очень благодарен за пояснение
Если бы Вы еще и последовали советам...

Предполагается, что посекторный образ уже сделан (WinHex -> Clone Disk). Иначе к дальнейшему приступать совершенно не рекомендуется! Кроме того, при отсутствии посекторного образа рекомендуется немедленно прервать сканирование в R-Studio и выключить винт!

I. Простой путь.
Запустите WinHex, откройте файл образа (File -> Open). В меню Specialist выберите Interpret Image File As Disk.

0. Определение дополнительных данных.
Справа вверху окна редактирования нажмите Access -> Partition -> Boot Sector. Внизу в строке состояния Вы увидите номер показанного сектора. Это номер первого сектора раздела (смещение начала раздела).
Нажмите Alt+F12 и выберите Boot Sector NTFS. Там есть Sectors Per Cluster - размер кластера (количество секторов на кластер).

1. Поиск файлов MFT, MFT Mirror.
Справа вверху окна редактирования нажмите Access -> Partition -> Open. Там же, отметьте чекбокс с иконкой каталога. Должен появиться список файлов, среди них - $MFT, $MFTMirr.

2. Определение области размещения MFT.
Нажмите два раза на файл $MFT. ВинХекс немного подумает и выведет список кластеров, принадлежащих MFT. Если Вы перейдете в конец списка, то увидите там "Fragments: ___". Это количество фрагментов. Если фрагмент один, значит его первый и последний кластер - это первый и последний кластер в списке. Если фрагментов более одного, значит нужно полистать список и найти первый и последний кластер каждого фрагмента.
Чтобы перейти от номера кластера к номеру сектора на NTFS разделе, нужно умножить номер кластера на размер кластера в секторах. Таким образом, Вы можете определить границы каждого фрагмента в секторах.
Если Вы открываете в R-Studio логический диск, то эти координаты и надо вводить, только после числа (номера сектора) через пробел sec - это укажет R-Studio, что границы заданы в секторах.
Например, Вы видите список кластеров с 786432 по 805791. При 8 секторах на кластер (подсмотрели в Boot Sector NTFS) имеем номера секторов с 6291456 sec по 6446328 sec. Это и будут координаты данного фрагмента, которые мы вводим в R-Studio.
Если Вы открываете в R-Studio физический диск, то к полученным номерам секторов нужно прибавить смещение начала раздела (номер первого сектора раздела).

II. Сложный путь (Путь Джедая).
Этот способ может потребоваться, если на диске есть существенные повреждения, и WinHex (или другой редактор) не позволяет комфортно "путешествовать" по нему. Предполагается, что WinHex Вы освоили, и для Вас не проблема открыть физический/логический диск, перейти в нужный сектор (Alt+G) и т. д.

0. Определение параметров разделов.
Почитайте популярную статью про MBR и таблицу разделов: www.akina.hop.ru/mbr.php3. Определите координаты раздела, инфу с которого надо восстановить.

1. Определение расположения начала файла $MFT.
Почитайте популярную статью про NTFS http://www.iatp.irklib.ru/sites/Karmadanov/Recovery/8_NTFS_Data.htm. Главное, что Вам там понадобится: формат загрузочного сектора, формат FILE Record, прослеживание списка атрибутов.
Теперь, когда Вы знаете, где начинается раздел, Вы можете открыть его загрузочный сектор в виде шаблона Alt+F12 и посмотреть все что нужно. В том числе, начальные кластеры файлов $MFT и $MFTMirr. Как пересчитать их в сектора, Вы знаете из описания "Простого пути".

2. Определение координат файла $MFT.
Начало этого файла у Вас уже есть. Но как определить координаты фрагментов? Эта информация хранится в атрибуте 80h (DATA) файловой записи $MFT (ее легко найти в начале MFT, самая первая запись). Проследите список атрибутов до атрибута 80. От начала атрибута через Alt+G сместитесь на 20h байтов. Теперь курсор указывает в двухбайтовое поле - смещение списка экстентов. Вернитесь в начало атрибута, сместитесь на указанное количество байт. Курсор указывает на первый байт списка экстентов. Этот список имеет следующий формат. Он состоит из элементов, каждый элемент указывает на соответствующий фрагмент файла (в данном случае MFT). Элемент списка экстентов состоит из трех полей: один "сервисный" байт, несколько байт размера экстента, несколько байт смещения экстента. Первая цифра (знак) сервисного байта - количество байт в поле смещения экстента, вторая цифра - количество байт в поле размера экстента. Рассмотрим пример: 32 A0 4B 00 00 0C. Здесь мы видим, что поле размера экстента занимает два байта, а поле смещения - три байта. Причем размер экстента - 4BA0h кластеров, а смещение экстента - 0C0000h кластеров (обратите внимание на формат чисел, старшие байты записаны справа, такой формат называется High Endian, например 11 22 33 в дампе следует понимать как 332211h). Смещение первого экстента задается относительно начала раздела, смещение последующих экстентов - относительно предыдущих фрагментов. Элементы списка экстентов следуют друг за другом, пока не закончатся нулевым сервисным байтом.
Если Вы расшифруете ранлист $MFT, Вы будете знать координаты его фрагментов, которые нужно задать в R-Studio. Не забывайте, что в списке экстентов координаты в кластерах, а в R-Studio надо вводить в секторах (как пересчитать - Вы знаете).

Antech

Цитата:

AFAIK нет таких прог, чтобы структуру NTFS (и даже FAT) прямо на диске восстанавливали

Ну почему же нет? Testdisk, я им не раз пользовался, естественно, он предупреждает.

TeXpert
Testdisk - восстанавливает информацию о разделах, но не сбой файловой системы. А это две большие разницы.