» Восстановление разделов и информации на HDD (часть 4)

ICQman2GO
Вот и славно


Цитата:

Несколько дней не мог зайти на ru-board

Бывает такое, форум не всегда работает. Internal server error'ами кидается.

ra1n
Раздел (500 ГБ) не удален. Он динамический (42), но он не удален. Можете исправить на базовый. Откройте физический диск в WinHex, Alt+F12 - Master Boot Record - Apply. Параметр Partition Type Indicator измените с 42 на 07 (это NTFS). Enter, закройте окно, Ctrl+S. После перезагрузки Винда должна занюхать обычный базовый раздел.

Добрый день.

Я прочитал и пред. тему и осилил эту. Похожей проблемы не нашел или пропустил - 4 утра все-таки. Просьба не удалять сообщение, не банить, если я что-то нарушил. Уже рыдать хочется. Данные действительно оч. ценные и в них вложен собственный долгий труд.

Проблема:
Поставил прогу от humyo.com Там есть режим синхронизации локальной папки с удаленной на их сервере. Как я понял она создает локальную копию синхронизируемой папки, а потом уже заливает ее на сервер. Я по дурости снял галку keep files on this computer (или что-то типа этого) и прога потерла все файлы и в 1-й и 2-й папках, копии на сервер не сделала. На диске осталось только дерево папок, а файлы из нее исчезли. Причем остальные папки, которые не синхронизировались, остались целыми, и файлы в них тоже. С пом. различный программ удалось что-то восстановить, кроме одного очень важного файла. Его размер был ок. 80 мегов. Все проги показали этот файл. Но его размер был нулевым. Причем у меня было 22 резервные копии этого файла. Правда все на этом же лиске (просто промежуточные копии). Все по нулям. Я прекрасно вижу эти файлы в корзине, но размер 0 и восстанавливается 0. На этот диск ничего больше не писалось. Восстанавливал на др. физический. Очень прошу помочь.

upd: easyrecovery в raw режиме не находит то, что нужно. А то, что не нужно, не восстанавливает все равно.
r-studio находит эти файлы, но в нулевом размере. Остальные фалы можно восстановить как через нее, так и просто скопировав их из папки корзины в фаре. Правда, еще пропали большие файлы, но это не смертельная потеря, хотя и огорчает.

Сам диск рабочий. Он разбит на несколько логических и все отлично пашет. Диск сигейт сата на 320 гигов. Я здесь читал, что у него какие-то проблемы могут быть, но у меня таблица файлов не слетела, а просто потерлись файлы в конкретной папке из-за моей ошибки и глюка программы, видимо. Хотя разработчики написали, что даже при удалении файлов на компе, их резервная копия все равно будет храниться какое-то время. Но копия сделана не была, а почему-то затерся оригинал и восстанавливаются файлы только частично, потому что не все стали нулевыми Я бы подумал, что обнулились только оч. большие файлы, но мне удалось вытащить файл и в 90 гигов, и в 45, и далее по убывающей, и даже древнейшие джпеги, которые уже не нужны. А вот свежие файлы не получается (последняя дата сохранения файла 20 марта)

SmartyCZ, расширение файла?

Добавлено:
P.S.
Цитата:

Просьба не удалять сообщение, не банить, если я что-то нарушил.

- если бы все писали свои вопросы именно так... Т.ч. никто ничего удалять не будет, а уж тем более банить . Постараемся помочь, если это возможно.

Добавлено:
Директории временных файлов: самой программы, пользователя, системы проверяли? Также, обратитесь в поддержку данного сервиса, у них в кеше может что-то сохранилось.

SmartyCZ
Надо указывать файловую систему. Скорее всего, у Вас NTFS. Драйвер NTFS в Винде имеет особенность, связанную с сильно фрагментированными файлами, для которых используется более одной файловой записи (для списка фрагментов). При удалении такого файла список фрагментов затирается. Когда рекавери-прога клюет в этот список, она видит там нули и сообщает, что размер ноль (нет ни одного фрагмента). Если у Вас такой случай, то восстановить удаленные файлы невозможно. Остается только искать в темпах и т.д, как советует Ignat. С другой стороны, у Вас 22 копии файла и все по нулям. Это странно. Почему это они все вдруг так сильно фрагментированы?... В общем, если у Вас NTFS, желательно провести небольшое исследование. Откройте раздел (Logical media) в WinHex, там найдите вожделенный файл (любую копию). Надеюсь, файл найдется. Правая кнопка на нем - Position - FILE Record. Сделайте скриншот (размер картинки - до 80 КБ). Затем выделите мышой несколько секторов, начиная с того сектора, в котором находится курсор (сектора в WinHex разделены горизонтальными линиями), Shift+Ctrl+N - сохраните дамп в файл. Скриншот и дамп - на filekeeper.org, пожалуйста. Посмотрим, что там с этим файлом.


Цитата:

Я прекрасно вижу эти файлы в корзине, но размер 0 и восстанавливается 0

Зря Вы их восстанавливали через корзину! Она ведь пишет в файловую систему на том самом разделе, где файлы удалились.


Цитата:

22 резервные копии этого файла. Правда все на этом же лиске

Удивительно, как такой здаво рассуждающий человек хранит резервные копии (причем 22 шт) на том же физическом (и даже логическом) диске, что и оригинал.

спасибо за ответы

фс - ntfs
дефрагментировал буквально неделю назад

Просто не успел забэкапить все на удаленнный сервер. Делаю это регулярно, а тут еще были проблемы с интернетом и копии просто не делались.

Возможно я и зря восстанавливал их через корзину, но практически все файлы из данной папки восстановились, пусть и с перекореженными именами. По сути не удается восстановить только 3 файла. Восстановление всех копий не имеет большого значения. Если получится вытянуть хоть одну хотя бы в срединной стадии работы, то было бы идеально.

Да и кроме корзины, этих файлов нигде не было. Как я сказал остались пустый папки и все рикавери-программы показывают их пустыми и намека на то, что там были файлы никаких - ни перечеркнутых файлов, никак.

Уточнение: я восстанавливал файлы из корзины, но _не_ через эксплорер и менюшку восстановить файлы, т.к. их там не было видно обычным способом. Я просто скопировал их из папки recycle bin в фаре. Потом с пом. r-studio, getdataback и easyrecovery пробовал сделать то же самое, когда они их находили. Т.е. по идее ничего корзина не должна была писать поверх или в mft. Я могу путаться в терминах, так что не судите строго

Надеюсь все правильно сделал
http://filekeeper.org/download/shared/Untitled-1_1.gif
http://filekeeper.org/download/shared/noname

Расширение файла psb - формат больших файлов в фотошопе.
Я грешу на эту программку, но боюсь, что у них ничего на сервере нет. Она просто оне успела сделать копии. Размер папки был примерно гиг. Как я понял после того, ак я снял галку в меню, она просто отправила файлы в корзину в обход юзера, но почему-то только некоторые файлы обнулила. Я сразу занялся восстановлением. Ничего не диск не писал. Потом сделал образ диска, как здесь на форме советовали.

Я загрузил в r-studio образ диска. Она прекрасно видит эти файлы, они нулевые и перечеркнуты красным. Шансов нет?
Хотя доковский файл перечеркнутый красным восстанавливает. Правда и размер его пишет.

Да, и диск был практически пустой: 3 гига из 20 занято, 2 из которых pagefile.sys + 2 папки 170 и 30 мег соотв. Эти две папки остались нетронутыми. Я хотел сделать формат диска, но жду ваших советов. Может, сработает какой-то другой метод.

SmartyCZ, если Antech не сможет помочь, то для восстановления графических файлов, программы лучше чем DataRescue PhotoRescue Advanced я не знаю. Удачи,

Добавлено:

Цитата:

Я хотел сделать формат диска

- это всегда можно успеть

Цитата:

SmartyCZ, если Antech не сможет помочь, то для восстановления графических файлов программы лучше чем DataRescue PhotoRescue Advanced я не знаю. Удачи,

Спасибо, но psd/psb - очень капризный формат.

Про формат я написал потому, что года 4 назад у меня просто рухнул диск со всем, что было. Никакие программы не помогли. Посто того, как я сделал обычный формат, файлы показались и восстановились. Но я пока не хочу спешить. Если только это будет последняя надежда. Окончательно разочароваться я всегда успею

SmartyCZ,
Цитата:

но psd/psb - очень капризный формат

- разве есть что терять?

Цитата:

разве есть что терять?

как раз есть что терять пока эта прога сканирует диск. Не знаю, получится ли ей что-то восстановить.

SmartyCZ,
Цитата:

пока эта прога сканирует диск

- и что? Решение Вам принимать .
Ладно, ждём вестей от Antech.

Я имел в виду, что программа пока просто сканирует диск, никаких вестей от нее еще нет. Очень, конечно, хочется хотя бы 5-ю версию файла восстановить, не говоря уже о 10-й или 11-й (у меня обычно оригинал + копия на диске, поэтому 22 копии итого) Адоби до сих пор не может сделать нормальное автосохранение и бэкап рабочих файлов. Очень часто из-за глюков ОС или какого-то сбоя портятся заголовки файлов и надежды на восстановление нет.

А пока восстановился самый первый файл, но он практически бесполезный.

2 Antech:
при необходимости я могу сделать дамп и скрин всех этих файлов, если закачанный не подойдет. Не хочется верить, что из 22 все затерты. Какой-то, может, и восстановится.

Подскажите пожалуйста.Какой программой лучше всего восстанавливать разделы. у меня уже стоит easy recovery. может ей можно я покопался, что не нашел(может подскажете куда там нажимать?))). разделы слетели во время перестановки винды. было 2 раздела. теперь пишет что диск не размечен!

SmartyCZ, несмотря на маленький размер эта программа очень-очень!!!. Галочку эксперт ставили? С помощью этого режима можно "собрать" файл побайтно

Цитата:

несмотря на маленький размер эта программа очень-очень!!!. Галочку эксперт ставили? С помощью этого режима можно "собрать" файл побайтно

нашла программка древние джпеги. Даже не так много, как это делали другие программы, к сожалению. psd/psb, видимо, не ее профиль. Галку эксперт ставил, диск на котором были файлы выбирал из выпадающего списка. Вроде бы ничего сложного нет. Просто не работает в моем случае.

Очень жду результат анализа от Antech

UPD: нашел на диске и попытался восстановить давно удаленные видео файлы размером 90 и более 100 мегов. Успешно. Т.е. дефрагментация не такая сильная, если подобные фйлы восстанавливаются с учетом того, что на этот диск много раз уже писали после их удаления.

SmartyCZ

Цитата:

восстанавливал файлы из корзины, но _не_ через эксплорер и менюшку восстановить файлы, т.к. их там не было видно обычным способом. Я просто скопировал их из папки recycle bin в фаре

ОК, тогда правильно.


Цитата:

Надеюсь все правильно сделал

Нет.
Скриншот сделали неправильно. Это больше похоже на содержимое файла. Правая кнопка на файле в браузере - Position - FILE Record. Ну да ладно, скриншот - это на всякий случай, можете не делать его.
Дамп - уже ближе: это файловая запись. Но Вы выделили меньше одного сектора. Не стесняйтесь, выделяйте хотя бы 2 сектора (1024 байт).
Но ясно вот что. Как я и предполагал, в записи имеется атрибут 20. Это очень, очень гнилая вещь. Он появляется обычно (но не всегда) из-за большого атрибута 80 (DATA), который хранит инфу о расположении фрагментов файла. И тогда в атрибуте 20 (ATTRIBUTE_LIST) указываются дополнительные файловые записи, использованные под атрибут 80 (DATA). Ваш скромный дамп кончается точно на элементе атрибута DATA в атрибут-листе и я не вижу номер файловой записи для него. Я хотел бы увидеть дамп на 1024 байта или больше, но я уже догадываюсь, что там будет... Ладно, надо проверить, жду дамп.


Цитата:

она просто отправила файлы в корзину в обход юзера, но почему-то только некоторые файлы обнулила

Эта программа ничего не знает про файловую систему. Она не обнуляла. Она удалила. Но файлы были с расширенными записями 99.99% и я Вам уже писал, что их при удалении восстановить практически нереально. Это не обычный файл с одной записью. Вопрос в другом: удаление в корзину - это переименование и перемещение. Т.е. меняется Parent и имя файла (все это в атрибуте 30 FILE_NAME). Почему повредился ранлист - понятия не имею, дампы смотреть надо... И еще одна странность. Вы копировали файлы Far'ом? А как это согласуется с тем, что в Вашем дампе у файловой записи нет флага "Record in use"? Это значит, что файл удален. (Почувствуйте всю глубину этого, учитывая написанное выше про ATTRIBUTE_LIST...) Но как тогда Far добрался до файла? Не перепутали? Дамп именно от того файла, что Far'ом копировали?

P.S.
На будущее:
Внесли существенные изменения в файл? Сделали бэкап на другой физический носитель (не в интернет, а в Total Commander'е скопировать). Не через час, не когда-нибудь, а вот прямо сейчас взяли и сделали бэкап. Вечером после работы - еще на пару-тройку отдельных физических носителей, перед этим - проверка открываемости файла в Фотошопе! А то, что делаете снэпшоты - это замечательно.
Комп стоит без дела? Запустите дефрагментацию, Вам она будет полезна наверняка.

Ладно, утро вечера мудренее, я спать хочу... Успехов.

Спасибо за ответ!

вот новый дамп: http://filekeeper.org/download/shared/dump2
Не уверен, насколько он полный. Я готов все знаки символы скопировать, чтобы узнать, какие у файла шансы

Это дамп файла, который лежит непосредственно на поврежденном диске. Те, что я скопировал фаром, лежат на др. физ. диске. Нулевые я удалил, а те, что открывались, соотв-но, оставил.

Может стоит попробовать просмотреть дампы всех копий, если у вас будет время? Все-таки их достаточно, чтобы увеличть шансы. Хотя Вам виднее.

SmartyCZ
Можете сделать и все дампы, посмотреть-то их много времени не надо.

В общем, картина такая. Файл у Вас удален и в атрибуте ATTRIBUTE_LIST единственный атрибут в расширенной записи - это 80 (DATA), что естественно. ИМХО это писец. Давайте посмотрим на всякий случай запись этого атрибута. Номер записи удаленного файла 02A5h (677), номер записи всех атрибутов, кроме DATA - такой же. А вот номер записи с атрибутом DATA равен 02ACh (684) (это классика: расширенная запись близко к базовой, хотя это не имеет значения). Чтобы перейти к записи 684, можно просто пролистать немного вниз относительно записи 677. Но проще в меню Position - GoTo FILE Record - 684. Дамп делать Вы уже умеете.

Цитата:

Раздел (500 ГБ) не удален. Он динамический (42), но он не удален. Можете исправить на базовый. Откройте физический диск в WinHex, Alt+F12 - Master Boot Record - Apply. Параметр Partition Type Indicator измените с 42 на 07 (это NTFS). Enter, закройте окно, Ctrl+S. После перезагрузки Винда должна занюхать обычный базовый раздел.

Не дает изменять параметр. Как будто только для чтения...

ra1n
Подсказка в картинке. Ты не читаешь предупреждения программы? Обычно программа в режиме чтения

ra1n
У Вас какой-то приплюснутый WinHex, русский интерфейс suxx... Как уже сказали, read-only отключите по F6. И лучше пользовать нормальный крак (у меня версия 15). Кстати, "правильные" версии (в т.ч. демка официальная) по умолчанию Editable, поэтому я и не писал про F6.

TeXpert
вроде не было предупреждения....

Antech
winhex скачал по ссылке с форума)

Добавлено:
Все работает, спасибо друзья!

Проверку диска, дефрагментацию или еще какие нибудь процедуры провести?

2 Antech
Ну давайте еще раз попробуем, хотя уже можно предположить результат
http://filekeeper.org/download/shared/dump3

ra1n
Цитата:

вроде не было предупреждения....

Уже не помню -- но на определённом этапе программа предупреждает о своём режиме. Кстати, толку от русифицированной морды твоей программы -- ведь там всё равно все важные надписи на аглицком? Есть же версия 14.9 с нормальным кейгеном -- а кряков по возможности следует избегать

SmartyCZ
Этого и следовало ожидать. Дамп Вы сделали правильно. Номер базовой записи 02A5h, это запись файла De15.psb. В расширенной записи имеем один атрибут DATA и он пустой. В то же время, очевидно, что после этого атрибута расположен огромный хвост от бывшего атрибута DATA, который когда-то принадлежал этому PSB. Вот, посмотрите на расширенную файловую запись:

Код: Offset 0 1 2 3 4 5 6 7 8 9 A B C D E F

00000000 46 49 4C 45 30 00 03 00 3E 06 12 6F 03 00 00 00 FILE0...>..o....
00000010 86 00 00 00 38 00 00 00 90 00 00 00 00 04 00 00 †...8..........
00000020 A5 02 00 00 00 00 B0 00 01 00 00 00 AC 02 00 00 ¥.....°.....¬...
00000030 07 00 11 0C 00 00 00 00 80 00 00 00 50 00 00 00 ........€...P...
00000040 01 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 ................
00000050 FF FF FF FF FF FF FF FF 48 00 04 00 00 00 00 00 ÿÿÿÿÿÿÿÿH.......
00000060 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
00000070 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
00000080 00 95 CE D6 10 95 CE D6 FF FF FF FF 00 00 00 00 .•ÎÖ.•ÎÖÿÿÿÿ....
00000090 AE 73 01 09 31 08 6A 3C 07 01 08 11 08 08 01 08 ®s..1.j<........
000000A0 31 08 EE AB 10 01 08 11 07 08 01 09 31 07 FF 20 1.&#238;«........1.&#255;
000000B0 E8 01 09 21 07 E4 02 01 09 21 08 1C 54 01 08 00 &#232;..!.&#228;...!..T...
000000C0 FF FF FF FF 00 00 00 00 25 40 01 05 31 10 02 59 &#255;&#255;&#255;&#255;....%@..1..Y
000000D0 18 21 0F A8 95 01 01 31 0F 4E 3F EE 01 01 31 2F .!.&#168;•..1.N?&#238;..1/
000000E0 9D C0 00 01 01 11 1F 2F 01 01 11 0F 1F 01 01 11 &#157;&#192;...../........
000000F0 0F 0F 01 01 11 0F 32 01 01 31 1F DE 65 10 01 01 ......2..1.&#222;e...
00000100 11 2F 1F 01 01 11 0F 2F 01 01 11 10 0F 21 0F 46 ./...../.....!.F
00000110 0A 01 01 31 0F 5F F0 00 01 01 11 0F 0F 01 01 11 ...1._&#240;.........
00000120 2F 0F 01 01 11 1F 2F 01 01 31 10 2D B6 ED 31 1F /...../..1.-¶&#237;1.
00000130 63 34 11 01 01 11 0F 1F 01 01 11 40 0F 31 10 04 c4.........@.1..
00000140 08 F0 31 1F 34 37 10 01 01 11 1F 1F 01 01 11 3F .&#240;1.47.........?
00000150 1F 01 01 31 0F 46 25 FF 01 01 31 2F 1C E1 00 01 ...1.F%&#255;..1/.&#225;..
00000160 01 11 1F 2F 01 01 11 20 1F 21 10 C7 15 21 0F B5 .../... .!.&#199;.!.µ
00000170 C2 01 01 11 1F 0F 01 01 11 0F 1F 01 01 11 0F 0F &#194;...............
00000180 01 01 11 1F 0F 01 01 11 2F 1F 01 01 11 0F 2F 01 ......../...../.
00000190 01 11 0F 0F 01 01 11 0F 0F 01 01 11 0F 0F 01 01 ................
000001A0 11 0F 0F 01 01 11 1F 0F 01 01 11 0F 1F 01 01 11 ................
000001B0 0F 0F 01 01 11 2F 0F 01 01 21 0F CE 8F 01 01 21 ...../...!.&#206;&#143;..!
000001C0 0F BA 76 01 01 31 10 BB C8 00 31 0F 39 D5 FE 01 .&#186;v..1.»&#200;.1.9&#213;&#254;.
000001D0 01 11 2C 0F 01 04 11 09 2C 01 07 11 0C 09 01 04 ..,.....,.......
000001E0 11 0C 0C 01 04 11 0C 0C 01 04 11 0C 0C 01 04 11 ................
000001F0 0C 0C 01 04 11 0C 0C 01 04 11 0C 0C 01 04 07 00 ................

Спасибо огромное за помощь!

У меня вопрос касательно этого момента:

Цитата:

Итог. Ваш файл был вначале "удален в корзину" (переименован в De15.pdb и перемещен в каталог Recycler), а потом удален по-настоящему (вот тогда и накрылся ранлист).

Что могло привести к такому "двойному" удалению? Можно ли предположить, что это работа программки, которая вызвала этот глюк, или это могло произойти из-за какой-то ошибки этой проги, которая заставила эксполорер глюкануть именно таким образом? Понятно, что это будут предположения только.

Anytech, большое спасибо вам за помощь!

SmartyCZ
Помощи как бы и не было...
Что касается причин, то можно только сказать, что удаление было сделано через обычную функцию API (есть вроде DeleteFile). Что обратилось к функции, неизвестно, но очень похоже на глюк программы для копирования файлов в сеть, которой Вы пользовались.

Antech
ясно, спасибо
Я им написал. Посмотрим, что скажут.

А есть Faq? Или где могу почитать что такое смещение? на WinHex уже неделю как баран на ворота смотрю? От форума эже тошнит - но ничего понять не могу. (Исчез один логический из пяти). Спасибо.

Привет всем. Решил сдуру "склеить" два раздела прогой Paragon-PM, там вроде бы говорилось что без потери данных... но данные по закону подлости потерялись ...., но физически остались нетронутыми поэтому решил попробовать восстановить, пробовал кучу прог - мало результата. Но тут наткнулся на Testdisk и она нашла ВСЕ потерянные файлы!!! (просмотр по P).
Но одно плохо - русские названия не отображаются, и при копировании на другой хард так и остаются кракозябрами.
Как нибудь это можно исправить? И еще может ли Testdisk восстановить раздел целиком на месте его физического расположения?

RIG1919,
Цитата:

И еще может ли Testdisk восстановить раздел целиком на месте его физического расположения?

- почти всегда - да (если таблица разделов полностью не уничтожена ). Выбираете HDD, после анализа программа предложит/покажет найденные разделы. Если всё устраивает, то остается только сохранить и перезагрузиться.