» Восстановление разделов и информации на HDD (часть 4)

Как-то я уже обращался сюда за помощью Прошу помощи спецов вновь.
Ситуация - жесткий диск разбит на два раздела - C и D. На первом система, на втором данные. Сегодня утром каким-то образом пропали все файлы на диске D, структура каталогов при этом сохранилась, система показывает что диск пустой, занято всего 500Мб. Т.е. все папки на месте, но файлов внутри них нет. При это система загружается нормально, на диске С на первый взгляд все на месте. Пока обнаружил только пустую папку от 1Ски, симптом такой же как и на диске D.
На компьютере установлен лиц. антивирус Касперского, базы свежие. Система Windows XP, правда, сборка какая-то левая, была установлена ранее.
В системных логах за 20мая нашел ошибки
[more]
Тип события:    Предупреждение
Источник события:    Ftdisk
Категория события:    Диск
Код события:    57
Дата:        20.05.2011
Время:        16:48:46
Пользователь:        Н/Д
Компьютер:    SERVER
Описание:
Системе не удалось очистить данные журнала транзакций. Возможны повреждения данных.
Данные:
0000: 00 00 00 00 01 00 be 00 ......¾.
0008: 02 00 00 00 39 00 04 80 ....9..€
0010: 00 00 00 00 0e 00 00 c0 .......À
0018: 00 00 00 00 00 00 00 00 ........
0020: 00 00 00 00 00 00 00 00 ........
[/more]

Через гугл нашел статью на TechNet? попробовал команду "chkdsk /R /X", это ничего не изменило.




прикладываю дампы:
http://rghost.ru/9739691 sec_0_100.ima
http://rghost.ru/9740771 sec_2048_100.ima
http://rghost.ru/9740841 sec_6291519_50.ima
http://rghost.ru/9740881 sec_625137344_1.ima

Сейчас через EasyRecovery восстанавливаю (ттт все вроде на месте) данные на новый жесткий диск. Возможно ли было восстановить весь раздел целиком, и в чем может быть причина такого глюка? Если причину не выяснить, то хотя бы возможные варианты - винт/система или софт?

daMIR
ИМХО - проблема не в винте.
Комп в сети? Если да, то обрати внимание на расшаренные ресурсы.
ЗЫ: Вирус может и самоудаляться, да и не все они известны антивирусам.

daMIR
загрузиться с liveCD и посмотреть винт и отписаться

mistx
Конечно, температура великовата, но врядли дело в этом. Возможно, какие-то проблемы с дровами или с ATA контроллером бука. Винт SATA, так что отломанный/вдавленный пин DMARQ тут точно не при делах.

daMIR
SMART чистый, действительно больше на вирус похоже, типа AntiDurov.
Еще вариант - были ошибки в MFT (например, память) и запускался Чекдиск на исправление, вот он и исправил (бывают иногда такие последствия - пустой раздел).

Antech
Раздел пустой, или как у daMIR-а - папки есть?

Да, дело было не в винте. Кто-то прошелся по расшаренным ресурсам Дело не в винте. Это не вирус, это кто-то из своих/бывших своих. Мне такое даже в голову не пришло сперва..((

Antech
Спасибо.
R.Saver ничего не нашел, но R-Studio восстановил большую часть.

Antech

Цитата:

Это несколько странно, но можете попробовать ремап в Виктории.

подцепил винт к другому компу, сделал скан в MHDD - все чисто.

В смарте Current Pending Errors count обнулились, однако значение Uncorrectable errors count равно 3. Это нормально? Не обращать на это внимание?

Antech

Цитата:

Конечно, температура великовата, но врядли дело в этом. Возможно, какие-то проблемы с дровами или с ATA контроллером бука. Винт SATA, так что отломанный/вдавленный пин DMARQ тут точно не при делах.

По поводу второго винта тоже подозреваю, что проблема в дровах, но я установил все дрова с сайта тошиба. Дров на чипсет там не нашел(chipset amd 760G,780G,780V,785G,790GX,AMD K10). В инете тоже искал.
Как заставить его работать в режиме DMA даже не знаю. На семерке все было хорошо.

Вот такая проблема, но сначала информация:
1.Диск Maxtor DiamondMax 21 250 Gb, SATA;
разделы – 1 Основной раздел (с установленной Windows 7 Максимальная) файловая система NTFS,
2 – расширенный раздел, в нем 2 логических раздела с файловой системой NTFS.
SMART:
skrin mhdd maxtor.JPG.html
2.БП:Aopen Z350-08F, 350 W
3.–не могу сделать, так как винт в данный момент установлен на рабочем компе.
4.Windows 7 Максимальная
5.Обстоятельства:
необходимо было увеличить размер 1 раздела (основного), на котором установлена система.
Установив DiskDirectorSuite10.0.2161 Rus, создал в расширенном разделе еще один логический раздел 4, скопировал на него данные с раздела 2.
Далее, удалив раздел 2, получил неразмеченную область. За счет части т этой области увеличил количество свободного места на разделе 1. Все прошло без проблем, система видела все разделы.
Далее, стал присоединять оставшуюся часть неразмеченной области к логическому разделу 3, операция прошла успешно (по мнению DiskDirector-а), однако же виндовс предложила отформатировать вновь полученный раздел. Доступ из-под Ubuntu также не возможен.
В каком направлении действовать?

free_welder

Цитата:

Установив DiskDirectorSuite10.0.2161 Rus

А он разве поддерживает работу с семёркой?

Действовать в направлении определения корректности записей в таблице и основных структур раздела.

PS. В данном вопросе всяческие уточнения лишними не бывают.
Насколько понял - происходило примерно так? Ссылка

Тому, кто поможет восстановить раздел - вышлю по вебмани денег минимум на 10 бутылок пива (речь идет о разумном пиве)

Господа, помогите и мне. Я уже сто раз успешно восстанавливал инфу, но тут что-то странное...

В общем, был диск С (30 гб) и диск Д (300 гб). Акронисом делал образ системы и, наверняка, восстановил образ не туда - вместо С запихнул на Д.
В итоге диск С стал больше 300 гб, а диск Д вообще пропал.

Кучу программ использовал - не находит утраченную партицию, хоть умри. Easy Recovery и еще пара прог находила файлы, но они были разбиты в папки по расширениям и везде названия файлов поменялось. Переслушивать тысячи МП3 и переименовывать их желания нет. Все проги найденные файлы помещают в RAW, но ни одна не выдала раздел целиком со всей структурой.

Файлы не удалял. На тот же винт я ничего не перезаписывал.
Если файлы с того раздела находятся - возможно и структуру еще можно найти...

Раньше какой-то прогой я находил раздел и тупо его восстанавливал на другой диск.

Посоветуйте программы и пути решения.

HeartOfSteal
С акронисом много не работал, да и давненько. Тем не менее не очень понятно из такого описания что и как происходило. Если только два раздела на винте, то вполне логично что образ одного раздела делается в файл, на другом разделе. А когда восстанавливается, то раскатать образ на раздел где лежит сам образ как бы не логично.
Разве не так?
Если же образ был в другом месте, и расскатывание было на диск D (опять же, это условности), то с чего бы диск С имено увеличился?
Да ио как то неуверено ты написал про то, куда расскаталось. Неужто нельзя проверить и убедится?
В общем то, может я и стал плохо понимать пишущих, но не понял что и куда делалось.
А без понимания сложо давать советы.
Но то, что находятся файлы не свидетельствует о целостности структуры диска, особено если запись была поверх той же MFT (а тут был подобный случай, к тому же отягощённый нестандартным расположением MFT). Потом, если будет желание, на тестововом винте попробуй удалить MFT (и копию) - файлы будт находится. Вопрос об их валидности - это уже другое.

9285
Спасибо за ответ. Попробую понятнее описать.

На винте 4 раздела было

30 гб
300 с чем-то гб
391
286

Я ручаться не могу, что это после раскатки образа, но подозреваю, что так. Удаление и форматирования не делал.

У меня тупила система и я решил образ диска С (он занимал 10-15гб) восстановить на С. Раньше такое делал много раз. Сам образ находился на разделе Е (391гб).

После перезагрузки показало, что объем С стал 390 вместо 30. Я сначала думал, это глюк, но потом заметил исчезновение диска D. Вот и все. На этот раздел 390 гб я ничего не записывал.

Купил новый винт чисто ради восстановления данных.

Расскажите, пожалуйста в двух словах про MFT и какие действия конкретно надо сделать? Где его найти?

Я готов на любые действия, только бы найти тот раздел)

9285
Да, поддерживает. Во всяком случае, при установке он "не ругался" и ничего подозрительного замеченно не было.
Действия происходили именно по такой схеме.

P.S. ну я в долгу тоже не останусь...

HeartOfSteal
C бут-диска ADDS 10.0.2169, к примеру (главное - не одиннадцатых версий), уменьши размер диска C: до размера заведомо меньше прежнего, чтобы он не залез на прежнее место диска D:, примени изменения. На освободившемся месте запусти Recovery Expert (контекстное меню - Дополнительно - Восстановление - Вручную), Быстрый способ поиска удалённых разделов. Примерно через час он покажет, нашлись ли какие-нибудь разделы. (Полный способ - будет длиться неделю, да и в данном случае абсоютно не нужен).
Восстановишь - бросай пить эту свою гадость.

free_welder

Цитата:

Да, поддерживает. Во всяком случае,

- Технический спирт вреден для здоровья. Вы разве не знали об этом?
- Я когда его пил, то не чувствовал что он вреден.
Если посмотреть темы про восстановление, то можно увидеть и как Partition Magic ставят на 7-ку и даже что то им делают (ломают).
Я же писал про официально задекларированную поддержку, которая (насколько знаю) появилась лишь в 11-ой версии. И это не отбрасывает в сторону глюки даже в версии, которая и поддерживает.
Но это отступлениею Давай для начала скриншот "Разделы" из DMDE и дамп 0-го сектора.

Добавлено:
HeartOfSteal

Цитата:

Купил новый винт чисто ради восстановления данных.

Для начала сделай на него посекторную копию проблемного винта. По крайней мере зону разделов, которые будут затрагиваться при возможных изменениях (если будет восстановление "на месте".
И всё таки, попытайся определиться со структурой диска до и после и сделать типа картинки, как я выкладывал чуть раньше для free_welder.
И может вспомнишь как расскатывал образ?. Что то я не верю в то, что диск вдруг сам по себе расширится. Образ может расскатать на раздел бОльшего размера, но чтобы ещё и расширился за счёт другого раздела.

HeartOfSteal

Цитата:

Расскажите, пожалуйста в двух словах про MFT и какие действия конкретно надо сделать?

MFT - это файл, но его отличие от других файлов - в том, что он и есть, по сути, файловая система. Он представляет собой последовательность записей (стандартно по 1024 байта), каждая из которых (или их группа) описывает какой-то файл или каталог (имя, где расположены фрагменты, какой каталог родительский и т.п.). Если у Вас есть MFT, то у Вас есть вся структура каталогов с именами и инфой о том какой файл где искать (правда, нужно знать где начинается раздел).
Обычно найти MFT не сложно, если требуется именно восстановление копированием: под это заточены все нормальные современные рекаверилки: R.Saver, R-Studio, GetDataBack, UFS Explorer и т.д. Когда Вы делаете сканирование в них, они ищут структуры, похожие на записи файловой системы (в случае NTFS - MFT) и по найденным записям воссоздают структуру каталогов, показывае ее в своем интерфейсе.
Но дело в том, что винт (и флешь и т.д.) ничего не знает о том, что на него записано. Он просто block device, состоящий из последовательности секторов 0...N-1 (для хоста). Т.е. нет никаких выделенных областей для таблицы разделов, структур ФС и т.п. на уровне девайса (фирмвари). Поэтому когда работает что-то типа ПартМэджика или Акрониса, оно может затереть все что угодно, т.к. доступ есть везде. Теперь представьте, что Вы раскатываете образ. MFT нового раздела (большого) уже в совсем другом месте, конечно, партмагоид знает о его размещении. Но старая MFT для него пустое место. Какой-то файл записался туда - вот и все, MFT затереть очень просто, ведь обычно ее размер - всего несколько сотен мегов, а файл спокойно может занимать несколько гигов. Конечно, я не говорю, что это 100% так, но Вы ведь ничего не нашли никакими программами. Вот если бы вся структура (каталоги, файлы с именами) нашлась, но восстанавливались кракозябры, тогда другое дело. А тут - просто не находится ФС и все. Какой вывод из этого следует и что можно еще посоветовать, если испробована куча прог?

HeartOfSteal
Поставил в виртуалке Acronis True Image (насколько понимаю, речь идёт о нём). Попробовал смоделировать ситуацию.
Да, можно раскатать образ на другой раздел, но размер его ограничен обьёмом существующего (и можно лишь уменьшить).
Могу сделать вывод что ДО расскатывания образа был удалён раздел и образ был расстянут на свободное место.
Но это не делается одним случайным нажатием, поэтому невольно вопрос о количестве употреблённого пива во время этих действий.

Вы будете смеяться, но сам я пиво ненавижу
Просто программисты его всегда пьют, потому я и написал.

Antech
Спасибо за ответ - мне так развернуто еще никто не отвечал)

9285
Я согласен, что раздел наверняка был удален перед этим, но это не мои руки сделали. Возможно, какая-то лажа с компом. Или может сбой при монтировании образа...

Господа, какая программа самая показательная? В какой проге провести сканирование ,чтоб скриншоты с нее были понятны специалистам? Спасибо.

HeartOfSteal

Цитата:

У меня тупила система и я решил образ диска С (он занимал 10-15гб) восстановить на С. Раньше такое делал много раз. Сам образ находился на разделе Е (391гб).

Цитата:

Купил новый винт чисто ради восстановления данных.

Когда работаете с Acronis и хардов несколько (даже CD/DVD вносит неразбериху) учитывайте,
--- буквы логических дисков причудливым образом изменяются и перепутываются --- после него уже и в Windows с буквами не так, как было ранее в Windows... Я менеджером дисков Windows (оснастка diskmgmt.msc) назад буквы возвращаю. Представьте, что значит переназначить 13 букв...

Тут скрупулёзно перепроверять надо соответствие --- буква <==> раздел. Может у Вас и ничего страшного….

HeartOfSteal

Цитата:

У меня тупила система и я решил

Цитата:

но это не мои руки сделали

Несоответствие не находишь? Если верно второе высказывание, то ситуация напоминает игру в испорченный телефон.

HeartOfSteal

Цитата:

какая программа самая показательная?

R-Saver, R-Studio, GetDataBack. Если они ничего не нашли (т.е. совсем), то 99.9% что искать там уже нечнго (структура ФС затерлась образом). Конечно, можно сделать контрольное проискивание в MediaWorkshop - он может искать и записи, не выровненные по границе сектора (насчет "стандартных" прог - не знаю). Но это уже припарки...

Antech
По поводу R-saver. На виртуалке сделал разворачивание образа первого раздела, на следующий (без расстяжек и прочего). То есть шансы сохранения остатков со старого раздела меньше, т.к. по любому идёт запись поверх.
На второй раздел перд этим забросил образ (кстати он начинался с 72-о кластера).
После запустил R-saver - файл то он нашёл (как и DMDE) но, вполне ожидаемо, он был битым. Саму же MFT вытянул новую. Глянул структуру - MFT где то в районе 243ххх кластера. До этого была в стандартном месте, что и подтвердилось.
Переписал адрес в бут-секторе. DMDE выташила MFT старого раздела, а R-saver - нового.
Так что, какая-никакая, но надежда есть. Тем более ещё неизвестно что там и как искалось.

Momentum238

Цитата:

reading failure at sector "какой-то там

Ну так и посмотри какой-то там сектор, читается он или нет реально, или речь идёт о несуществующем физически секторе, возникшем после таких жестоких перемещений. К чему было трогать диск D, если можно было откусить от С (ведь всё равно и он претерпел перемещение?

9285,
про спирт аналогия вполне доходчива и понятна

Вот скриншоты:
1. Разделы из DMDE
tablicha razdelov iz DMDE.JPG

2. Дамп нулевого сектора:
damp 0 sectora.JPG

free_welder
Дамп, это не скриншот, и как его делать в DMDE не раз встречается в теме.
И выкладывай на более простой ресурс типа sderni.ru, желательно в одном архиве - чтобы не открывать кучу окон и подтверждать всяческие коды.
Нужен дамп секторов 73400985 + 200 далее.

9285
Извините за ламерство, тема эта от меня далекая

Сделал дамп указанных секторов
http://sderni.ru/69907

free_welder
Давай ещё 132423882 + 100 (про архивирование не забудь) .

ЗЫ:
За вот такое:
MFT Start Cluster 7377854
MFT Copy Start Cluster 7377900
Разработчикам Акрониса надо бы руки повыдёргивать.

9285,
Сделал дамп указанных секторов:
http://sderni.ru/69920

P.S. - а в линуксовском gpartedete работа с разделами лучше?
Просто изначально он мне выполнить операции по изменению не давал, вот я и решил через винду действовать. Как оказалось, зря..

free_welder
Если почитаешь тему, то должен понять что лучше всего пользоваться штатными средствами.
Правда, в твоей ситуации (логические диски) это не так просто, но вполне осуществимо.
Что касается присланого дампа - ожидаемая MFT в нём не найдена. Потому то и RAW.
Надо поискать её на этом разделе.
ЗЫ: Поворчю ещё немного. Rar неплохой и довольно популярный архиватор, но не у всех может быть под рукой.
zip - классика архиваторов, и поддерживается практически любой современной ОС.