» Восстановление разделов и информации на HDD (часть 3)

Мне кто-нибудь может помочь или ситуация без вариантов? ОС Win XP SP2 VL, винт Samsung SV4002H, 250GB. В принципе, есть backup 10-дневной давности, но сделан он до перед обновлением SP1 до SP2. Но этот вариант для меня не интересен как технически, так и по причине возврата к SP1.

kservice
может напишешь что случилось?

feuerloescher
Уже писал:
Без создания точки восстановления ( по причине распи...ва!) обновил драйверы на материнку Acorp 6A815EP1. После перезапуска зависла на этапе входа в Win. Пару раз перезапустил, а после этого вошел в режиме запуска последней удачной конфигурации и с ужасом увидел, что пропал логический диск со 100ГБ информации, диск I:\ (FAT32). Диспетчер дисков показывает его как свободное пространство. Пока ничего не предпринимал из-за боязни добить вообще и до выхода из шокового состояния.

Дополнительно:
ОС WinXP SP2 VL Rus. Установлена обновлением WinXP SP1 OEM Rus 10 дней назад. Поскольку с SP2 были проблемы (флешка не была видна в проводнике и ей автоматически не присваивалась буква, а также компьютер выключался только нажатием PowerOff), то решил обновить BIOS. При подготовке попались пару новых драйверов для материнки Acorp 6A815EP1, которые вчера и обновил. Перед обновлением BIOS решил распечатать методику. Подключил USB принтер, система обнаружила новое устройство и запросила драйвер. Вставил диск с драйвером и во время установки драйвера система, как мне показалось, зависла (сейчас я думаю, что надо было подождать подольше). Убил из диспетчера процесс и перезапустил компьютер (Пуск). Во время перезагрузки система зависла (надпись Windows). Через Reset попробовал еще раз. После этого выбрал запуск последней удачной конфигурации. А после этого увидел, что нет логического диска. В Setup этот диск определялся в режиме Auto, т.е. LBA я нигде не включал.
Посмотрел с помощью Testdisk и MHDD, но ничего полезного для себя не увидел. Не хватает знаний. Testdisk определяет 2-й винт в 137ГБ. The harddisk size seems to be 137GB.... UpdateWin to support LBA48 (minimum: W2K SP4 or XP SP1). Но у меня ОС Win XP SP2. Как это понимать?
Для начала хотелось хотя бы определиться, в чем принципе проблема, в FAT32 или Windows?

kservice
Много букв, но полезной информации мало.
От перепрошивки биос и отката, обычно разделы не слетают.
А вот то, что откат произошел на SP1 вполне вероятно. В результате чего вырубилась поддержка LBA48.
Информация скорее всего цела, а вот таблица разделов не соответствует дествительности, так как переписана (из-за отсутсвия поддержки LBA48), раз Тестдиск ничего не находит.
Можно много советов надовать, но боюсь, что они только ухудшат ситуацию.
Похорошему нужно хорошо знать устройство файловых систем и в диковом редакторе искать, где косяки.
Потому у Вас два пути.
Долго и вдумчиво изучать усторойство файловой системы или обратиться к спецу: http://masters.hardw.net/

kservice
Вам вначале надо железо проверить. Особо не надеясь, я все-таки попрошу SMART и результаты сканирования винта из HDDScan. Дело в том, что если железки работают неправильно, то дальнейшие попытки восстановления могут сделать хуже.

Ну а само восстановление при отсутствии знаний лучше делать в R-Studio. Это варезный сайт и здесь можно сказать, что варезная версия R-Studio есть в варезнике . R-Studio проста в использовании: выберите проблемный винт (физический) в дереве, нажмите кнопочку Scan в тулбаре и сканируйте с параметрами по-умолчанию. Это хотя бы ничего не записывает на пострадавший винт...

FAT32 или Windows?
Ну т. к. знания отсутствуют даже для работы с MHDD, то советую загрузиться с Live CD (можно взять какой-ниюуть Win PE или Linux Live CD) и посмотреть, доступен ли раздел. ИМХО 99.99% это не проблема Винды.

Antech


Цитата:

Зачем Вам смещать данные? Поправьте в таблице разделов 64 на 63.

Дело в том что MBR записан именно в 64 сектор.


Цитата:

Кстати, откуда взялось "Start LBA"? Из таблицы разделов?

Посмотрел в программе Victoria v4.3 при сканировании диска.

Сделал дамп на 100 секторов, как Вы и просили, скинул Вам на мыло. Буду признателен за любую помощь!

Bychkoff
Дело в том что MBR записан именно в 64 сектор
Да ладно . Не может такого быть. Вы это значение откуда взяли? Из Victoria 4.3. А она именно из нулевого сектора MBR берет. Не путайте MBR и бутсектор (BS) раздела.

Если бутсектор раздела записан в сектор 64. Скопируйте его в сектор 63, предварительно сохранив сектор 63 в файл. Измените в MBR (сектор 0) в таблице разделов Sectors preceding partition для первого раздела на 63 (WinHex, физический диск, курсор в нулевой сектор, Alt+F12, Master Boot Record). Посмортите на результат.

Посмотрел Ваш дамп. Ну там интересная картина. В нулевом секторе - MBR, в 63 секторе - та же MBR, но без загрузчика, в 64 секторе - бутсектор NTFS. Похоже, что-то записало MBR в 63 сектор, скопировав при этом прежнее содержимое в 64 сектор. Короче, делайте как я написал чуть выше, если не получится, запустим шаловливые ручки в начало MFT .

Так-с, становится гораздо интереснее. Посмотрел ради интереса бутсектор - а там... Hiffen sectors, естественно, 63 (кто бы сомневался) - значит действительно перенесли бутсектор из 63 в 64. Но это ерунда. Главное - это MFT Start cluster == 4. Да-да, четыре. Размер кластера у Вас стандартный, 8 секторов. Умножает 4*8=32, что есть 20 hex. Идем в соответствующий сектор (он еще в перелах 100-секторного дампа) и видим... ничего не видим. Там нули вместо первой записи MFT. И в окрестности этого секторп тоже ничего интересного. С диском что-то сильно поработало на запись, и теперь, лично мне, совершенно не ясно: неправильный MFT Start Cluster или удалена основная MFT? Теперь уже по Вашему дампу я ориентироваться не могу. Бутсектор выглядит исправным. Начальный кластер MFT Mirror указан 524288. Значит начальный сектор 524288*8=4194304=400000h. Сделайте следующее. В WinHex поставьте курсор в сектор 63. Нажмите Alt+G, введите 400000, проверьте, что справа написано hexadec. (если нет - включите в настройках hexadecimal offsets), задайте "relative to... current position" и нажмите ОК. WinHex послушно перейдет в соответствующий сектор. Там должна начинаться копия первых четырех записей MFT. В первом секторе Вы должны видеть буквы $.M.F.T (примерно в середине сектора). По результатам будем думать дальше.

tomset
Я хочу уважать людей, к которым я обращаюсь за помощью, тем более, что количество сообщений автора вызывает доверие. Но...

Цитата:

Много букв, но полезной информации мало

Это точно, но не ко мне. Действительно, вода

Цитата:

От перепрошивки биос и отката, обычно разделы не слетают

Стараешься, пишешь, в надежде на помощь. Как вы читаете? Я написал, что готовился перепрошить BIOS, но не писал, что я его перепрошил! И не было никакого отката, наоборот, не хочу откат на SP1

Цитата:

то, что откат произошел на SP1 вполне вероятно

Как было SP2, так и осталось

Цитата:

В результате чего вырубилась поддержка LBA48

Как проверить?
В SP1 никаких проблем с этим винтом не было

Цитата:

Информация скорее всего цела, а вот таблица разделов не соответствует дествительности

Об этом и сам догадываюсь

Цитата:

раз Тестдиск ничего не находит

Как раз он то и находит, раз диск в 250 ГБ определяет как 137

Цитата:

Можно много советов надовать

Как раз об и о том и прошу 2-й день, только речь идет о грамотных и толковых советах, а я бы уже решал, какие из них использовать.

Цитата:

Похорошему нужно хорошо знать устройство файловых систем и в диковом редакторе искать, где косяки

Ценная мысль. Если бы я это знал, то я был в числе тех, кто отвечает, а не спрашивает.

Цитата:

Долго и вдумчиво изучать усторойство файловой системы

Особо ценный совет.
Есть пользователи компьютера, а есть спецы по компьютеру. Я только пользователь и не собираюсь становиться специалистом в полном смысле этого слова. Я специалист в другой сфере. Хотя всегда стремлюсь узнать что-то новое и полезное и компьютерной отрасли.

Цитата:

или обратиться к спецу: http://masters.hardw.net/

Ну что ж, еще пару таких советов и обращусь.

kservice

Цитата:

и не собираюсь становиться

Цитата:

еще пару таких советов и обращусь

Можно не ждать

kservice
Если переходишь на такой тон, то помощи вобще не получишь.
Тебе указывают направление поиска.
А решать проблему, ты должен сам.
Нехорошо заставлять других решать твои проблемы, работать на тебя на халяву.
Есть дела и поинтересней, чем помогать тебе восстанавливать, твои данные.
Не можешь разобраться сам, обращаешься к специалистам, за деньги они твою проблему возможно решат. (Бывают и безнадежные случаи).
Максимум, что ты можешь сделать в этой ситуации и при твоих знания. Запустить R-студио. И молиться, что авторековери программа сама разберется в оставшейся структуре на диске. И затем скопировать данные на другой диск.
В целом не интересно, читать, чего ты там делал. Интересно другое, что сейчас на диске - в МБР, в Boot секторе разделов. Этой информации нет и ты не знаешь где ее посмотреть. А вести тебя за ручку по пунктам, нет ни времени, ни желания.

Цитата:

Особо ценный совет.

Предлагаешь мне тут, полностью описание устройства файловой стистемы поместить.
Сылки на документацию по FS, чуть ли не на каждой странице в этой теме.
а в этой теме http://forum.ru-board.com/topic.cgi?forum=62&topic=0509#1 аж в шапке.


Цитата:

Есть пользователи компьютера, а есть спецы по компьютеру. Я только пользователь и не собираюсь становиться специалистом в полном смысле этого слова. Я специалист в другой сфере. Хотя всегда стремлюсь узнать что-то новое и полезное и компьютерной отрасли.

Не возможно. Тут либо спец, либо нет. Это приблизительно, как вдруг решить хирургом стать за пару недель. За 30 лет развития Персональных компьтеров, в них столько накрутили. Жизни не хватит, во все вникнуть
я 30 лет исключительно компьютерами занимаюсь и постоянно сталкиваюсь с такими случаями, что приходится неделями сидеть разбираться в проблеме. А ты хочешь, чтоб тебе тут в двух словах проблему решили.

Antech
Сделал всё как Вы сказали. Да, действительно, по смещению 400000h относительно 63 сектора, есть буквы $.M.F.T. примерно в середине сектора. На всякий случай скинул Вам на мыло дампик этого сектора.

Bychkoff
У тебя явно PM раздел создавал. это только у него дурная привычка, начинать MFT в четвертом кластере. Близко к началу диска. При любом сбое MFT и летит в первую очередь. Обычно начало MFT в 20000-70000 кластере, в зависимости от размера раздела.
Теперь по шаблону по копии записи MFT выясняешь какие кластеры MFT занимает. И смотришь что и сколько порушено, переписано. Первые четыре записи востаналиваешь из копии. И смотришь остальное. Если много записей о файлах порушено. То только по сигнатурам их восстанавливать, но фрагментированные файлы не восстановятся. Собирать фрагменты в ручную - несколько недель работы. Подобных автопрограм нет в природе. Есть смысл заморачиваться, только ради действительно ценных файлов.
По целым записям, файлы восстановятся R-студией без проблем. Ну разьве, что могут быть неизвестны их директории.

Antech
Спасибо, попробую
feuerloescher
Тебя я чем-то обидел? Если да, то извини, это не преднамеренно.

Цитата:

Можно не ждать

Этот форум мне понравился еще пару лет назад уровнем специалистов и атмосферой. Так что пока мне здесь нравится независимо от того, получу я помощь или нет
tomset
Поскольку ты занимаешься компьютерами 30 лет, значит мы одной возрастной категории. Вот и давай спокойно разберемся и заключим мир

Цитата:

Если переходишь на такой тон

Тон как тон, ты сам его задал

Цитата:

Много букв, но полезной информации мало

и т.д.

Цитата:

помощи вобще не получишь

Не пугай, к этому готов, не мальчик. Проблему решу так или иначе, только жалко убитое время. Проблема может такая больше никогда и не возникнет. Лет 20 назад пришлось восстанавливать винт и вручную восстанавливать FAT. Сейчас все сложнее, но если будет надо - придется разбираться.

Цитата:

Нехорошо заставлять других решать твои проблемы, работать на тебя на халяву

Ну, это вообще! Перегнул. Здесь что форум платный или ты кому-нибудь платил?
Мы здесь все друг другу нужны и силой никого сюда не загоняли. Одним нужна помощь, другим нужно удовольствие, от того что помог, кому-то слава, кому-то - количество сообщений, а форуму - наши походы сюда. Халявой я никогда не страдал. Кроме того - не заставляю, а прошу. Прошение- всегда унижение и этим унижением я плачу за свое незнание. Для меня деньгами платить легче.

Цитата:

нет ни времени, ни желания

Охотно верю. В этом вся причина. И на то твое право
В общем, ничья 2:2 и мир.

Подскажите пожалуйста, удалил случайно jbod который состоит из 2 (динамических естественно) дисков... по 500 гиг самсунги... как его можно восстановить?
p.s. когда находился в управлении компьютером - не на том диске нажал и выбрал удалить... эххх
Помогите плиз... вся надежда на Вас...

bik00
R-Студей собирать Volume Sеt и место куда копировать. На месте врядли какая программа сделает. Очень мало их для динамических дисков.

Цитата:

parovoZZ
Зачем флэшку на 40 ГБ? Купите внешний винт. К тому же бэкапиться-то куда-то нужно. Вероятность того, что TestDisk сделает что-то особо неприятное, довольно мала. Но я бы на Вашем месте скопировал через R-Studio или нечто подобное на внешний винт.

А как пользоваться этим testdisk? У меня он только анализирует. А как восстановить?

Antech
Информацию отправил на e-mail. Извините, что без разрешения. Буду благодарен, если выскажите свое мнение. По-моему, там все ясно.

Bychkoff
(Лучше выкладывать на zalil.ru или подобный сервис, чтобы было всем доступно.)

Спасибо. Посмотрел дамп сектора. Да, это MFT Mirror. На первый взгляд, запись в порядке. Самое интересное тут - ранлист MFT. Он гнездится в атрибуте 0x80 DATA, в данном случае по смещению 40h от начала атрибута (сам атрибут DATA начинается по смещению F8h от начала сектора). Вот этот ранлист: 13 D0 D6 00 04. MFT не была фрагментирована (следующий экстент начинается нулевым байтом - конец цепочки экстентов, посмотреть на это можно в дампе сектора). Из приведенного экстента очевидно, что его размер 00D6D0 кластеров (это и есть размер MFT, ~28 МБ), а смещение - 4 кластера от начала раздела, как и указано в бутсекторе раздела (здесь это не важно, но смещения следующих экстентов, если бы они были, давались бы уже не от начала раздела, а от предыдущего экстента).

Итак, что мы имеем? Бутсектор раздела у нас есть и он в порядке. Также есть MFT Mirror - четыре первые записи MFT, вроде бы они сохранились. Кроме того, авторекаверилки восстанавливают файлы, значит и основной кусок MFT остался цел. Чего нам не хватает? Нам не хватает начала MFT в 4 кластере. Так как мы точно знаем, что MFT должна начинаться в секторе 95, нужно просто скопировать 8 секторов, начиная с первого сектора MFT Mirror (дамп которого Вы мне замылили) в начало основной MFT, т. е. начиная с сектора 95 (5Fh) от начала диска (или сектор 20h от начала раздела). Если Вы перед этим уже скопировали 64 сектор в 63, то после копирования MFT Mirror можно перезагружаться и смотреть результат (если запустится Чекдиск, отмените его!). Лучше будет забэкапить 8 секторов от начала MFT перед копированием туда MFT Mirror.
Да, и не забудьте поправить таблицу разделов, если это еще не сделано. Первый раздел должен начинаться в секторе 63, иначе у Вас опять будет это смещение.

Остается нерешенный вопрос: а что в начале основной MFT? Сколько записей затерто? Чтобы ответить на него, надо просто поискать в дисковом редакторе строку MFT в кодировке Unicode (WinHex => Ctrl+F + Unicode) в начале диска (начать можно с нулевого сектора). Можно также искать строку FILE, но не в юникоде! Если не трудно, выложите дамп первых 1000 секторов винта.

Добавлено:
parovoZZ
Как пользоваться ТестДиском должно быть написано в его инструкци. Я им не пользуюсь, потому что меня интересует ручное восстановление. Кроме анализатора, в ТестДиске есть и "восстанавливалка", я тут где-то уже писал, что он может и чего не может исправить. Честно гворя, расписывать как пользоваться автопрограммами нет никакого желания. Я предпочитаю советы "как сделать это дисковым редактором".

kservice
Хорошо, что сделали тесты. Правда, я что-то не вкурю, как такое возможно. Лог HDDScan'а Вы привели не полный, но это ладно. На карте видно, что полно бэдов. И явно винт уже в них обращался, даже если СМАРТ снимался до сканирования. Однако, в САМРТе мы видим девственную чистоту. Это СМАРТ от другого винта? Так или иначе, количество бэдов колоссальное. Чтобы спасти то, что осталось, скопируйте винт посекторно на новый. Можно сделать в WinHex => Clone Disk. Потом эту копию просканируйте в R-Studio. Если повезет - что-нибудь восстановится.

За ручное восстановление FAT - респект.

Antech

Цитата:

kservice
Хорошо, что сделали тесты. Правда, я что-то не вкурю, как такое возможно. Лог HDDScan'а Вы привели не полный, но это ладно. На карте видно, что полно бэдов.

Ну вот, оказывается хард сыпится. А мы тут целую лекцию об обновлении биос выслушали.
kservice
С тестирования харда и надо было начинать. Мне даже и в голову такое не пришло, что человек бросится перепрошивать биос не проверив тестами аппаратуру.
Память и хард, как минимум. Это же святое правило.
Модель-то харда какая?
Есть модели имеющие характерные болячки.

Antech
С винтом все нормально. Не знаю, как получились такие результаты, но я и сам им не поверил и перепроверил данные с помощью MHDD. Битых секторов нет вообще. После этого запустил LiveCD и получил подтверждение того, что и предполагал: информация вся цела, а виновата была Win (только не пойму, каким образом). Переустановка это полностью подтвердила. Спасибо и за советы, и за respect.
tomset
Тебе все неймется? А же тебе предложил мир! Нельзя быть таким злым, люди уважать не будут. В другой ветке ты добрее и даже ответ мне дал нормальный, за что и спасибо. Третий раз повторяю: BIOS не обновлялся!

В общем, я свои проблемы решил: и флешка видна, и выключается, и все разделы видны. Теперь с хорошим настроением и Новый год встречать можно. И Вам всем желаю в Новом году жизни без проблем, с деньгами и с хорошим настроением.

Bychkoff
Ну что, есть прогресс?

Antech
Прошу прощения за длительное отсутствие, конец года, работа разрывает

Вот, пожалуйста, выложил дамп первых 1000 секторов http://slil.ru/25301154

Премного Вам благодарен за Вашу помощь!

Сейчас буду заниматься винтом.

Так, есть, всё поправил, что надо скопировал, перезагрузил машину, завелся ЧекДиск, я его отменил! Кстати, хотелось бы поинтересоваться, почему нежелательно проводить проверку диска? Вобщем, я и так уже рад =) Спасибо большое!

На диск зайти напрямую не могу, буду пробовать выковыривать файлы.

Попробовал выковырять, получилось! Всё отлично, без смещений! Теперь вот след. вопросик, а можно ли как-нить восстановить доступ к диску без использования сторонних продуктов?? Или же только забирать файлы на др. диск, затем format D: и обратно перезаливать инфу?

Bychkoff
ОК, спасибо за дамп и за выполненную работу по восстановлению. Перетертыми оказались бутсектор NTFS раздела и 63 сектора от начала MFT, т. е. 32 записи MFT. Естественно, корневой каталог и многое другое уже не вернуть. Корневой каталог - это пятая запись, а у нас в MFT Mirror есть только 4 первых записи. (Разве что искать на всем винте случайно сохранившихся фрагменты MFT...)
Как восстанавливать метафайлы MFT, если их нет в копии, я не знаю (прямо как ТестДиск ). Обычно этого никто не делает, метафайлы (почти) не нужны при съеме инфы. Можете попробовать так. Когда скопируете все нужные файлы на два разных физических носителя, напустите на проблемный раздел ChkDsk. Я не знаю, как он отреагирует на отсутствие корневого каталога, но если запись $MFT существует и более/менее живая, Чекдиск хотя бы запустится, что и показал Ваш опыт. Теперь пробовать Чекдиск можно, не опасаясь потерять данные, потогму что они уже скопированы. Если этот фокус с Чекдиском не прокатит, пересоздайте и переформатите раздел, а потом верните на него скопированные данные.

http://www.insidepro.com/kk/033/033r.shtml

Цитата:

Я не знаю, как он отреагирует на отсутствие корневого каталога

Соберет все в директорию "Неизвестный путь".
Но без резервной копии всего диска, чекдиск в целом опасно запускать. Да и как показывает практика, потом часто вылезают какие-нибудь косяки с FS. Поэтому надежней пройти весь процесс копирования и переформатирования.

tomset
Ну, значит так и сделаю Главное инфа цела и я её вытащил!

Antech
Спасибо ещё раз, Вы мне очень помогли!

Всех с наступающим Новым Годом!!!

Всем привет. Объявилась проблема. Форматнул диск быстрым форматированием запущенным бат файлом.
Вопрос - как можно без потерь восстановить информацию?
Пробовал R-Studio но при скане он выдает ошибку что то типа невозсожности сохранения диска.
Всего у меня два диска. По 250 гб каждый.
Подскажите, чем восспользоваться. Заранее спасибо

Local
Тебе не помешало бы опять же шапку внимательно прочитать. А потом, бегло посмотри топик, найдёшь рекомендации.

Local
Если у Вас было форматирование FAT->FAT, то вряд ли там есть что восстанавилвать. Только нефрагментированные по заголовкам, без названий и структуры каталогов.
Если форматировали NTFS->NTFS, то на этот случай есть статья Криса Касперски про восстановление NTFS после форматирования - предложена автоматическая и ручная методика.

Хотца такой совет дать по поводу Win2k/XP и FAT32
Если во время нажатия RESET активно использовался раздел с ФС FAT32, то лучше проверить его досовской версией NDD или скандиском от Win98/ME, потому что chkdsk может файлы, которые были открыты во время ресета, урезать до 0 б, а NDD со скандиском эту ошибку нормально имправят. Проверено много раз.

Radjah

Странный какой-то совет.
FAT32 под 2k/XP активно пользовать совершенно не к чему.
Так, время от времени, если надо данные со старой системы перенести.
И если на компе RESET больше чем один раз за полгода нажимается, то это уже плохой компьютер.