» Восстановление разделов и информации на HDD (часть 3)

Akam1
Сперва протестить чем-то типа MHDD или Victoria, потом, еслди всё боле-менее, пераззметить, и - вперёд.

Akam1
Если бэдов много, можно создать раздел только на исправном пространстве, либо, если они сосредоточены в конце, отрезать часть объема через HPA.
Убрать небольшое количество бэдов можно с посощью SCAN+REMAP ON в MHDD (или аналогичная фича в Victoria). (Это после ERASE.)

Если бы нужна была инфа с первого раздела, его надо было бы скопировать посекторно в файл. Простейшее копирование под Виндой выполнит WinHex (Clone Disk), R-Studio (Drive - Save Image) или GetSMART; под Линуксом - dd. Более продвинутые способы - платные копировщики для Win/DOS (HD Duplicator, кстати, имеет демо) либо dd_rescue в Линукс.

Было ошибочно удалено два фильма. Прогой Restorer2000 один был найден в возвращён на место. Другой - как в воду канул, нет его.
Вопрос: может ли быть так, что нечто, не найденное одной прожкой, будет найдено другой? То есть не стоит ли мне опробовать в поиске какую-нить другую программку?

Цитата:

Другой - как в воду канул, нет его.

А система его место уже скорее всего распределило другому (хоть временному) файлу.
Так, что мало вероятно, что его другая "прожка" найдет.

Eliza

Цитата:

То есть не стоит ли мне опробовать в поиске какую-нить другую программку

Конечно, стОит, причём лучше это делать с LiveCD.

tomset 17:54 10-10-2007
Цитата:

А система его место уже скорее всего распределило другому (хоть временному) файлу.

Эт-врядли... впрочем, я тут лох... Спохватилась я немедленно, надо добавить. То есть сперва удалила, а через секунду уже схватилась за голову. И тут же побежала на форум, и тут же слила прожку, и тут же запустила её на поиск. И она тут же находит один из фильмов (он, причём, лежал в своей отдельной папке с таким же названием, как и у фильма; а другой - просто лежал среди других файлов в общей директории). Т.е. по логике - где один, там же должен был найтись и другой... нычэго нэ кавырала, мамой клянусь! не перезагружалась, не удаляла больше ничего. С момента ликвидации фильмов до начала поиска прошло едва пять минут! Но одного - нету...

Eliza:
Прогу-то сливали и ставили на тот же диск?

LeoT 18:32 10-10-2007
Цитата:

Прогу-то сливали и ставили на тот же диск?

Не-а, на другой...

Eliza
не перезагружалась
Вот, и Винда продолжала активно пользовать диск на запись. Могла MFT Record Вашего фильма под другой файл использовать. Винда активно пишет, в т. ч. временные файлы (кстати, Temporary Internet Files - их очень много). Можно было бы искать по содержимому, но ради фильма... Тем более он, скорее всего, фрагментирован. Если хотите, можете пустить RawRecovery в EasyRecovery, например. Но она в таком режиме найдет кучу "файлов" без названий и структуры каталогов...

Надо было сразу выдернуть шнур питания системника из розетки, а потом тренироваться, загрузившись с другого винта или LiveCD. А на проблемный - ничего не записывать. И лучше было вообще сделать винту MBR-OFF в Vicrotia API (закладка Advanced) и перезагрузиться (с LiveCD, естественно). (Потом можно "включить обратно" кнопочкой MBR-ON).

У меня как-то был глюк на компе - пропал ненужный временный файл (Temp.mcd). Но я сразу запустил WinHex ради интереса и нашел 100% соответствующую запись (MFT Record) файла (это происходило на разделе NTFS 150 ГБ под XP Pro SP2). Я затратил всего несколько минут на поиски записи, и прямо на моих глазах она была затерта! Хотя никаких установок в это время не запускалось и по инету я не лазил. Просто работал в WinHex + кучка запущенных офисных прог в фоне (Маткад, Ворд и т. д.).

Antech 19:00 10-10-2007
Цитата:

Надо было сразу

(Безутешно рыдает)... Ну всё... значит, п...ц (пардон) полный... от же ж дурища!...

Eliza
Это всего лишь фильм. Скачайте его заново или купите DVD...
А если личная съемка, то надо было бэкап делать, а не ждать, когда крякнет.

Antech 19:52 10-10-2007
Цитата:

Это всего лишь фильм. Скачайте его заново или купите DVD...

Это редкий фильм... единственное место, где он лежит - торрентс.ру. Оттуда и лила. Рейтинг - мал, посему не могу залить его повторно! На DVD - не продаётся он у нас... непопулярный патамушта...
Эх... напиться, что ли...

Надо бы вам R-Studio попробовать. Может быть полегчает? Говорят, что иногда отыскивает даже то, чего на диске никогда не было

Ой, как интересно!.. Я нашла фильм... но так странно... подождите-ка, надо разобраться до конца...

удалил папку с тремя вордовскими файлами случайно, тут же попытался востановить программой EasyRecovery файлы нашлись, но при попытке открыть выскакивает табличка "преобразование файла" с выбором кодировки нажимаю ок открывается вот с такими буквами - юTхв0 X’СФЄT, можно что то сделать или уже все.

andreir
Скорее всего, ничего уже не получится: вордовские файлы - это метаданные, там достаточно потерять всего несколько байт, чтоб получить битый файл.

Еще раз здравствуйте, Antech.
Если Вы меня помните, я задавал вопрос в конце предыдущей части обсуждения (институт, работа - пришлось отложить восстановление).
Во-первых, некоторые итоги:
1. Около десяти гигабайт информации в начале раздела (на месте бывшего раздела FAT) читаются, т.е. новая MFT отображает их правильно. Значит, их нужно скопировать сейчас, запомнив в каких папках они лежали.
2. Очевидно, алгоритм программы был такой: стереть Boot record и MFT раздела FAT из MBR, на место раздела FAT залить файлы из старого раздела NTFS, зарезервировав место для новой MFT, делая записи о переносимых файлах в новой MFT, стереть из MBR запись о старом разделе NTFS и указать новый, приступить к переносу информации из старой в новую запись MFT (момент когда прервался процесс)... Чекдиск залил в новую MFT информацию из старой, но со смещением, судя по всему, он мог и стереть из MBR указание на старый раздел, посчитав новый правильным.
Я хотел задать Вам пару вопросов:
1. Как проверить целостность старой записи MFT?
2. Что лучше сделать: в MBR указать на старый Boot record или в новом Boot record указать на старую MFT? Думаю, лучше первый вариант
3. Как найти старый Boot record? Он должен идти перед старой MFT?
4. Как определить и записать его расположение в MBR?
Наверное, это более простой способ, но если старая MFT повреждена, то придется копировать со смещением, но часть фрагментов потеряется из-за смещения.
Заранее благодарю за ответы.

NOTOV
Рад снова видеть Вас, тем более с таким энтузиазмом.

По поводу алгоритма (п. 1). Про работу Part manager - вполне возможно. Про Чекдиск - нет. Он не знает о старой и новой MFT. Для него есть только одна MFT - та, на которую указывает MFT Start Cluster в BS раздела. А разделы он определяет по таблице разделов, существующей на данный момент. Так что, если прога действовала по Вашему алгоритму (с созданием новой MFT), то непонятно, почему испорчена (но не затерта) старая MFT.
Возможно, алгоритм был такой:
1. Исправить все записи в MFT второго раздела с учетом смещения вниз.
2. Сместить содержимое второго раздела вниз.
[3. Скопировать старую MFT на новое место, примерно в 3 ГБ от начала нового, объединенного раздела.]
И вот если на п. 2 ее выключили, то она исправила всю старую MFT и начала переносить содержимое файлов (простым смещением). Когда ее отключили, часть содержимого файлов уже была перенесена на новое место, а оставшаяся часть - осталась где была.

Насчет Ваших вопросов. Я не могу почти ни на что ответить. Я ведь не знаю, что сейчас в таблице разделов. Я не уверен в алгоритме программы, а значит нужно лазить по всему винту, проверяя гипотезы. Я не знаю, где и какие фрагменты MFT сейчас расположены. Я не имею доступа к винту...

Как проверить целостность старой записи MFT
Проверить MFT на поврежденном разделе - только своим софтом (у меня пока что нет такого, но если будет, он будет бесплатным и opensource, скорее всего).
Чтобы сработал ЧекДиск (без параметра /f, ессно), нужно сконструировать раздел в таблице разделов (PT). У него в начальном секторе (куда PT указывает) должен быть корректный бутсектор NTFS, а MFT Start Cluster должен указывать на проверяемую MFT. Чекдиск может отказаться от проверки, если найдет определенные ошибки в метафайлах.

Что лучше сделать
А вот делать надо после того, как Вы определите, что именно произошло. От этого зависят дальнейшие действия.

Как найти старый Boot record
По слову NTFS (подробнее - файл $Boot в спеках Linux NTFS). На NTFS разделах, форматированных Виндой, копия BS всегда есть в последнем секторе раздела. При форматировании другим софтом, типа Партишн Мэджика, может быть что угодно.

Как определить и записать его расположение в MBR
Ну как определить его расположение - это предыдущий вопрос. Но в контексте конструирования раздела вот что Важно. Про таблицу разделов можно пока что забыть (хотя мануальчик изучить придется). Вначале следует сконструировать раздел. Допустим, Вы знаете, что и куда смещалось, и готовы попытаться восстановить. Тогда делаете так. На новом винте создаете один раздел размером на весь винт (подробнее в мануале, на CHS координаты разделов забить или вписать единицы). Начало раздела - сектор 63 (так принято). Ставите байты 55 AA в конце MBR. Для приличия кладете стандартный Виндовый загрузчик в начало MBR (скопируете с любого живого MBR, Вы ведь Винду откуда-то будете грузить). Теперь идете в сектор 63 и кладете туда BS раздела (найденный и исправленный, либо самостоятельно сконструированный). После этого записываете MFT. Она может лежать где угодно, но стандарт - MFT Start Cluster == 786432 (не перепутайте с сектором, стандартный (при кластете 8 секторов) начальный сектор MFT == 600000 HEX, нумерация секторов в NTFS разделе - с нуля). Естественно, MFT Start Cluster в BS раздела должен указывать на то место, куда Вы положили MFT. Теперь Вам нужно записать кусок раздела, на котором были смещенные файлы, на новое место. Вот здесь уже Вы используете результаты анализа текущего состояния винта и скопируете с нужным смещением. Часть файлов (которая сейчас читается), конечно, будет неправильной. Но она Вам и не нужна, Вы их даже сейчас скопировать можете. Зато должна нормально читаться недоступная сейчас часть файлов.
Как проводить анализ MFT? Нужно найти имеющиеся фрагменты MFT, определить предполагаемое расположение старой MFT по файлу $MFT (самая первая запись в MFT, смотрите ее ранлист (список экстентов) в атрибуте $DATA). После этого выбрать "неоткрывающийся" файл известного формата (а лучше - содержимого, например MP3) и с помощью браузера WinHex на старом винте посомтреть его File Record (правая кнопка - GoTo File Record). Там полюбоваться на ранлист. После этого попытаться найти заголовок этого файла, приняв определенный сценарий работы Partition Manager'а и предположив примерное расположение файла, а более точный поиск провести по сигнатуре. Но лучше - текстовый файл известного содержимого или системный файл (также содержимое известно). Тут прямым поиском определите его начало. Если Вы на одном из файлов найдете смещение, проверьте это на других "нечитаемых". Попадаете при принятом смещении точно на файл? Значит победа, переносим содержимое файлов (WinHex -> Clone Disk) на новый винт и проверяем результат. Иначе где-то ошибка, надо разбираться и пробовать еще раз, например на другом файле.

andreir
Попробуй в фильтре окна открытия файла выбрать "Исправить поврежденный текст".
В первозданном виде файл врят ли получишь, но текст должен сохраниться.

Принесли HDD с жалобой на то, что пропал второй раздел диска. Диск 80 гиг разбит на 2 части - 20/60, файловая система NTFS. В программе WinHex рассмотрел подробно - действительно, похоже на то, что таблица разделов второй части диска приказала долго жить. Прочитал что можно отыскать копию таблицы и восстановить из неё, но вот отыскать не получается. В каком направлении двигаться дальше?

Помогите. Есть диск D. На нем одна партиция на 30 гигов под неиспользуемую Vista, вторая под 200 гигов, для фильмов. Решил увеличить размер диска под фильмы. С помощь PM8 удалил раздел с Vista, на свободном месте создал новую партицию, примаунтил ее как Х. Выбрал merge, указал чтобы все файлы со старой партиции были в папке ХХХ, оставил все обьединяться и пошел спать. Вернулся, процесс завершился удачно. Перегружаюсь, запускается drive mapper, ничего не находит, перезагружаюсь. Теперь есть новый диск Х, на нем папка ХХХ, доступа к папке нет, размер ее пишет нулевой, если смотрю системные свойства диска, там пишет что диск на 70% полон (примерно так и должно быть), но файлов нигде нет. Что делать?

AlexxSei
Найти копию таблицы разделов вряд ли возможно. Она разве что в файле подкачки может быть, но у нее ведь кроме 55AA нет сигнатур (правда, можно искать сьандартный код Виндового загрузчика или - в Вашем случае - "живой" кусок таблицы разделов, описывающий первый раздел).
Искать проще бутсектор раздела. У него строка "NTFS" в начале (подробнее - Linux NTFS, файл $Boot). А так как размеры разделов примерно известны, то найти начало раздела, скорее всего, будет не сложно. После этого нужно просто создать правильный второй раздел в таблице - и таблица разделов будет восстановлена.

Elmdor
Для начала проверьте, что у Вас есть права на этот каталог: свойста файла, Безопасность. Если этой вкладки нет, отключите в "Свойствах папки" пункт "Использовать простой общий доступ".
Если права есть, используйте R-Studio или аналог.

Antech
Большое спасибо, помогло. Действительно права стояли только на server, добавил себя и все появилось.

Antech
Спасибо, что отозвался.. честно признаюсь, что восстановление данных - область для меня новая.
С поиском бутсектора проблем не возникло:


А вот с этим :

Цитата:

После этого нужно просто создать правильный второй раздел в таблице - и таблица разделов будет восстановлена.

я не очень представляю что делать - чем и как создать правильный второй раздел? Есть программы WinHex и Acronis Disk Director - порылся в них,нужного не нашел

AlexxSei
С поиском бутсектора проблем не возникло
Я бы так не сказал . На картинке - не бутсектор. Это больше похоже на начало файла $Boot (этот файл занимает обычно два первых кластера NTFS раздела, и его первый сектор - это бутсектор раздела, остальное содержимое этих двух кластеров - код загрузчика, насколько я понял). А от настоящего бутсектора, похоже, на картинке только одна строка сверху с сигнатурой 55 AA (ей не только MBR и AMBR подписывается). Проверьте этот сектор (перед тем, что показан) в WinHex: Alt+F12, Boot Sector NTFS: посмотрите, правдоподобные там параметры или нет (подробнее - доки Linux NTFS).

чем и как создать правильный второй раздел?
WinHex, курсор в нулевой сектор (физического устройства), Alt+F12, Master Boot Record. Описание таблиц разделов можно найти в сети (здесь модератор как-то нестандартно относится к внешним линкам), например есть классическая статья Akina "Master Boot Record". Обратите внимание, второй раздел мог быть создан как расширенный (тип раздела 05). В таком случае... читайте мануалы - там все написано.

Таблица разделов может оказаться правильной, а проблема - в бутсекторе раздела или в системных метафайлах NTFS. Копия бутсектора вполне может оказаться в конце раздела, а копия первых четырех записей метафайлов - MFT Mirror - примерно в середине раздела (точнее указано в бутсекторе раздела). Если основные записи метафайлов глючные, то и копия может запросто оказаться испорченной. Я бы в таком случае авторекаверилку использовал.

Народ, помогите!!! Был 1 тб сата-диск во внешней коробочке, подключенный как динамический (один том, нтфс). в состоянии непонятного помрачения нажал "удалить том" и теперь он видится как неразмеченный. Я так понимаю вся инфа там осталась, как восстановить том?

Abras
Цитата:

...во внешней коробочке, подключенный как динамический

Я не совсем понял -- зачем надо было делать динамическим? Или, слово понравилось?
На ум приходит такой жульнический способ: взять такой же чистый диск, и обратно создать динамический так, как у тебя было. Затем выключиться, и подсунуть старый. Вдруг повезёт? Но -- гарантий нет. Посему добудь ещё один диск, сделай копию и экспериментируй с восстанавливающими программами.

TeXpert
Обычно простой "динамический" диск отличается от "базового" только типом раздела. Поэтому можно попробовать TestDisk, но т. к. он деструктивный, то никаких гарантий, что не сделает хуже.

Уважаемые мемберы и специ востановления инфы!!

У меня большая просьба не пинать и помочь (если это конечно возможно)!! По не знанию и ламерству наступил на описанные в шапке грабли блин под именем - Partition Magic!!
Моа мат.плата - ASUS P5B-VM SE, мой винт - Hitachi: HDT722520DLA380 (200 Гб, 7200 RPM, SATA-II)
Дело было так: решил сделать реинсталл - Windows XP SP2, через Hiren's в Partition Magic 8.05 сначала отформатировал загрузочный раздел - С и дай думаю размер подредактирую (естебственно без потери инфы!) и первым делом уменьшил размер загрузочного - С и соответсвенно затем увеличил следующего логического - D. Большая часть операции прошла нормально (да и я уже много раз так делал блин!!), но тут вышла подляна и Partition Magic завис на 80% последней операции!!!
Вообщем ждал я 4 часа и понял это - писец полный! Пришлось сделать перезагруз и в итоге у меня пропало почти 20 ГБ объема винта, то есть получилась такая куча ощибок. Подсказали исправить это дело через DFT (мол потом можно будет восстановить инфу). DFT показало кучу ошибок и 3 часа исправляла, но в итоге пришось разбивать заново диск и конечно размеры уже не те что были.
Инфа естебствено пропала, а она ох как важна и ох как тяжело добывалась блин в течении 3-х лет!. И какие я тока проги не пробовал: EasyRecovery Professional , Zero Assumption Recovery 8.0, GetDataBack, OO DiskRecovery, R-Studio (правда она почему-то зависала постоянно на 20% и до конца так и не прошла!.
Вообщем помогите пожалуйста, подскажите неродивому путь истинный!!

Antech
Так как диск назад просили срочно, а времени на раздумья не было - воспользовался изумительной утилитой DM Disk Editor and Data recovery 01.38 , автор - Дмитрий Сидоров.
Раздел я ей не восстановил, опыта не хватило, но зато абсолютно всю информацию удалось скопировать на другой носитель. После этого отформатировал раздел и вернул информацию на место...