» Восстановление разделов и информации на HDD (часть 4)

Antech
http://clip2net.com/page/m8350/997753

Добавлено:
если не секрет, можете рассказать, чем смотрите и что именно смотрите?

Antech
Благодарю! Все заработало. Сначала я его хотел просто форматнуть И не мучаться.
Присоединяюсь к вопросу ra1n.

На всякий случай говорю - винт подключен на напрямую к материнской плате, а через pci sata контроллер.
Скорее всего это значения не имеет, но мало ли...

ra1n

Цитата:

чем смотрите

WinHex


Цитата:

что именно смотрите?

Таблицу разделов. У Вас там нули, это ерунда. В секторе 63 живой бутсектор NTFS, параметры стандартные, размер раздела 1465144001 сектор (750 ГБ).
Патч MBR здесь. Откройте в WinHex, Ctrl+A, Ctrl+C. Потом откройте физический диск, Ctrl+B, Ctrl+S. Перезагрузка, проверка.
Нужны подробности? Это очень простой кейс. Винт, как Вы говорите, 700 ГБ, раздел 750. Значит был только один раздел. Вводим его в таблицу. на всякий случай ставим флаг активности (80), начало раздела CHS=0/1/1 LBA=63, конец раздела CHS=1023/254/63 (cyl больше 1023 просто не лезет, поэтому ставят 1023), размер раздела 1465144001 сектор из бутсектора, тип 07 (NTFS, очевидно по бутсектору). Значения можно ввести непосредственно в hex или использовать шаблон MBR (Alt+F12). Вот так, дорогой Ватсон .

avihs

Цитата:

Присоединяюсь к вопросу ra1n

Подробности? Я уже говорил, что у Вас оказалось смещено 11 начальных записей MFT: $MFT, $MFTMirr, $Logfile, $Volume, $AttrDef, . (Root), $Bitmap, $Boot и т.д. (дальше не помню просто ). Смещение на один байт вниз. Соответственно, копируем нужные записи в отдельный файл (естественно, без смещения) - и патч готов. Также несложный кейс. Бывает гораздо сложнее, если смещение вверх и большое, с затиранием ранлиста MFT (возникает вопрос о возможной фрагментации MFT), или если глючно поднятые/опущенные биты при фрагментированной MFT (это вообще труба). Ну а Вам повезло. Кстати, никакая программа не смогла бы восстановить Ваш кейс in-place, потому что программа тупо смотрит в MFT Start Cluster либо ищет несмещенные записи MFT, и смещение для нее - как бы полностью накрытое начало MFT, а вручную - несколько пассов в редакторе - и раздел работает .

Цитата:

винт, как Вы говорите, 700 ГБ, раздел 750.

винт тоже 750, ошибся

ra1n

Цитата:

винт тоже 750, ошибся

Да я понял. Как там дела с патчем, опробовали?

Antech
да, патч помог, спасибо!
из объяснения почти ничего не понял, надо будет почитать на тему... а еще вопрос...
на 2х винчестерах была проблема - удалили раздел, а лечилось по разному...

Добавлено:
вопрос - почему причина одна, а решения разные -)

ra1n

Цитата:

причина одна, а решения разные

Причины разные. В прошлый раз у Вас был динамический раздел (42) и в таблице он был, только с типом 42 вместо 07. А сейчас у Вас был обычный (базовый) раздел. В случае динамического запись в MBR - просто затычка, а весь расколбас происходит в базе динамических (в конце диска), поэтому удаление раздела не затронуло MBR, но тип раздела надо было сменить естественно. А если раздел базовый, то при удалении его запись в MBR затирается, поэтому понадобилось немного больше телодвижений, но все равно это было элементарно.

Здравствуйте!
HELP!
Имелся на флешке зашифрованый файл truecrypt с расширением .avi и этот файл пропал, по 2 причинам или вирус был и его удалил, или при вынимании флешки не размонтировал зашифрованый диск. Вопрос как можно востановить этот файл. Р студио пробовал не видит он его, ЗАР тоже не видит. Флешка 1,88гБ, файл размером 150мБ. На диске если смотреть через свойства свободно 507мБ, занято 1,38гБ. Если выделить все папки и файлы на диске то их общий размер 1,12гБ, отсюда вывод что этот ави файл где то лежит на диске, но вопрос как его можно найти и восстановить?

SergeiS,
Цитата:

Р студио пробовал не видит он его, ЗАР тоже не видит.

- а другие файлы на "зашифрованном диске" эти программы видят? Или флеш уже расшифрована?

Цитата:

- а другие файлы на "зашифрованном диске" эти программы видят? Или флеш уже расшифрована?

Сама флешка не зашифрована на ней зашифрован только один файл размером примерно 150мБ с расширением .avi , все файлы видны кроме этого зашифрованого и найти его тоже нельзя, страно ещё заметил что некоторых файлов и каталогов стало по два, при том всё одинаково и имена и содержания и винда не ругается наэто.

SergeiS,
Цитата:

Сама флешка не зашифрована

- и как быть с этим:
Цитата:

не размонтировал зашифрованый диск.

- пишите точнее . Для начала, скопируйте всю информацию на другой носитель, а то использованием каких-нибудь диструктивных программ и эти данные потеряете. Файловая система на флеш?

P.S. И оставайтесь в этой теме, в другой теме это

Цитата:

- и как быть с этим:

Не знаю, что и сказать. Информацию уже скопировал, но мне кажется лучше создать образ флешки, только какой программой єто сделать? Файловая система FAT, R-Studio показывает FAT-16.

Цитата:

P.S. И оставайтесь в этой теме, в другой теме это

Ок просто такое случилось первый раз, и в какой теме спрашивать не знал.

Вылаживаю структуру папок на флешке

SergeiS,
Цитата:

но мне кажется лучше создать образ флешки, только какой программой єто сделать?

- да хоть той же R-Studio (правой копкой мышки на флеш -> Создать файл образа...) . Главное ничего не копировать на флеш, также ничего не удалять с флеши!!!

SergeiS:
И не запускать чекдиск и прочие лечилки, по крайней мере до тех пор, пока не будет сделан образ и не будет 101% уверенности, что образ сделан правильно. Потому что такая же ошибка, как в корневом каталоге, может быть и в FATах, а в этом случае лечилки уничтожат возможность правильной сборки FAT, и, следовательно, корректного восстановления файла.

Кто может подсказать по какой причине иногда пропадают файлы из корня дисков? Только что обнаружил что на диске E: в корне не осталось ни одного файла, как корова языком слизала. То же самое было где-то года два назад с диском D:. После этого все важные файлы стал хранить в папках, и вот теперь опять. Проверка DMDE показала, что файлы были удалены, но я то их не удалял. Что может быть? Если это вирус, то это какой-то очень странный вирус, почему он выбрал именно диск E: и никакие другие файлы не трогал. Ошибок на диске нет. Кстати R-Studio при открытии диска ругался на какие-то ошибки FAT и восстанавливал удаленные файлы испорченными, а DMDE их нормально восстановил. И еще у меня на материнке один чип греется, там вентилятор периодически останавливается, а я уже запарился его разбирать и последнее время вообще не проверяю, сейчас может опять остановился, может в нем все дело?

Добавлено:

Вот здесь похожая проблема у чувака. Говорят из-за блока питания может быть, но у меня вроде качественный FSP 350W, где-то года два назад купленный... Кхм, по-моему действительно что-то не то с ним, в Everest'е посмотрел - напряжение по -5V прыгает с -3.59 до - 4.77, а по -13V с -11.89 до -14.37, остальные: +12V (12.77-12.95) / +5V (4.92-4.95) / +3.3V (3.41V) / ЦП1.75V (1.81V). Или это нормально? Вентиляторы все крутятся (кроме того чипсетового о котором неизвестно), температура харда и материнки по 30C, процессора 57C. SMART тоже в норме, кроме Ultra ATA CRC Error Rate, который 5, а должен быть, как я понимаю 0 и Reallocated Sector Count / Reallocated Event Count, которые по 1-му...

Seymour
Не стоит доверять датчикам на матплате, посмотрите мультиметром.

Проверьте Directory Entries удаленных файлов на предмет первого байта E5 в имени. Если первый байт E5, а остальные ОК, значит дейстивтельно файлы были удалены, и проблема логическая (на вирусы стоит провериться более надежно: LiveCD + AVZ + Rootkit Revealer + CureIt, можно еще триал Касперского попробовать).

Подскажите, пожалуйста какая программа для посекторного копирования подойдет.
Seagate 500 gb 11 серия(bad сектора)?
Пробовал winhex, acronis, hdclone - не могут они скопировать, сначала ругается на какой-нибудь сектор, а потом перестает копировать.

DeniskinMEN,
Цитата:

- не могут они скопировать

- не они не могут скопировать, но HDD не даёт им скопировать и скорей всего не даст любой программе. Скопируйте максимальное количество данных с пропуском "нечитаемого", если таковое будет присутствовать. Посекторная копия с пропуском "нечитаемого" ничего не даст, можете потерять какие-нибудь данные.
HDD-Seagate: модель, прошивка? Просканируйте любой из программ:
MHDD;
Victoria for DOS;
результаты скана и SMART проблемного HDD-устройства выложите здесь.

Цитата:

HDD-Seagate: модель, прошивка?

ST3500320AS, SD1A


Цитата:

результаты SMART

ID Описание атрибута Порог Значение Наихудшее Данные Статус
01 Raw Read Error Rate 6 91 76 45988648 OK: Значение нормальное
03 Spinup Time 0 94 94 0 OK: Всегда пройдено
04 Start/Stop Count 20 100 100 323 OK: Значение нормальное
05 Reallocated Sector Count 36 4 4 1970 Предсказание сбоя: надвигается потеря данных
07 Seek Error Rate 30 67 60 5701128 OK: Значение нормальное
09 Power-On Time Count 0 99 99 1337 OK: Всегда пройдено
0A Spinup Retry Count 97 100 100 2 OK: Значение нормальное
0C Power Cycle Count 20 100 100 321 OK: Значение нормальное
B8 <зависит от поставщика> 99 100 100 0 OK: Значение нормальное
BB <зависит от поставщика> 0 1 1 8551 OK: Всегда пройдено
BC <зависит от поставщика> 0 100 1 8323717 OK: Всегда пройдено
BD <зависит от поставщика> 0 100 100 0 OK: Всегда пройдено
BE Airflow Temperature 45 67 46 555089953 OK: Значение нормальное
C2 Temperature 0 33 54 33 OK: Всегда пройдено
C3 Hardware ECC Recovered 0 46 30 45988648 OK: Всегда пройдено
C5 Current Pending Sector Count 0 100 100 77 OK: Всегда пройдено
C6 Offline Uncorrectable Sector Count 0 100 100 77 OK: Всегда пройдено
C7 Ultra ATA CRC Error Rate 0 200 200 0 OK: Всегда пройдено

Доброго времени суток. Случайно отформатировал внешний хард из NTFS в FAT (юзал mkfs, если принципиально). Больше ничего не делал. Вырубил почти сразу. Ёмкость 320Гб. Было занято ~80%. Большинство информации восстанавливается ценой рейтинга на торентах.
Вопрос 1: Какова вероятность успешного восстановления, примерное время на восстановление всего содержимого, и на ~1Гб наиболее ценной инфы? Диск подходящей ёмкости достать проблематично.
Вопрос 2: Насколько актуальна инфа по программам, из "Списка программ для восстановления информации" (в шапке)?
Вопрос 3: Если я ставлю VMWare (как советуют в шапке, сам никогда не пользовался), то что именно я смогу делать без опасений? (можно например воспользоваться какой-либо прогой для восстановления, записать восстановленные файлы куда-нибудь на другой диск, затем вырубить VMWare и диск при этом останется каким был )
Вроде пока всё. Спасибо за внимание

vladimirlenin

Цитата:

Диск подходящей ёмкости достать проблематично

Сделайте "Поиск NTFS" в DMDE и покажите результаты.
Кроме того, DMDE покажет при открытии физического табличку с разделами - скриншот в студию, please.
Наша цель - резервный бутсектор NTFS в последнем секторе раздела (if any) и координата начала MFT. Заморачиваться есть смысл, если MFT не слишком близко к началу раздела, но, я так думаю, Вы не знаете, где была MFT... Так что надо смотреть по результатам "поиска NTFS" в DMDE.
Если все пройдет гладко, то от Вас потребуется совсем немного для in-place восстановления.


Цитата:

записать восстановленные файлы куда-нибудь

Для этого можете применить GetDataBack for NTFS, она довольно мощная и безопасная (только читает с пострадавшего винта/раздела). Все подряд проги не пользуйте, есть деструктивные.

VMWare для восстановления Вам не нужна.

DeniskinMEN,
Цитата:

ST3500320AS, SD1A

- если на гарантии, то срочно сдавать. Если нет, то перепрошивать (хотя, вроде бы, новее и нет прошивки ).
Цитата:

результаты скана и SMART проблемного HDD-устройства выложите здесь

- и DOS-программами.

Цитата:

если на гарантии

Давно закончилась!

Цитата:

то перепрошивать

последняя прошивка!(оф.сайт)

Цитата:

результаты скана

Попробую снять.

сокращённая версия таблицы с разделами:

полная версия:

далее я выбрал предпоследний пункт (external- так мой диск назывался) и нажал "поиск ntfs". Область поиска оставил как стояла автоматом.
Сейчас картина выглядит так:

такими темпами ему ещё часов 10 сканить. Всё ли я правильно делаю? Может стоит указать секторы поближе к концу?

vladimirlenin

Цитата:

external - так мой диск назывался

Вот и славно, он сразу нашелся по резервному бутсектору + у нас есть бутсектор.
Пожалуйста, покажите дамп на 100 секторов, начиная с сектора 6291519 и дамп сектора 625137344 (копия бутсектора).


Цитата:

Может стоит указать секторы поближе к концу?

Да нет, не надо вообще искать, к счастью нашлось все в таблице с разделами. Теперь мне надо изучить дампы...

vladimirlenin

Цитата:

Вопрос 2: Насколько актуальна инфа по программам, из "Списка программ для восстановления информации" (в шапке)?

На 100%.

Цитата:

Все подряд проги не пользуйте, есть деструктивные.

Все подряд точно не надо, а вот насчет деструктивных, это какие например?

Цитата:

Проверьте Directory Entries удаленных файлов на предмет первого байта E5 в имени.

К сожалению (или к счастью) все удаленные файлы уже восстановил, поэтому проверять нечего.

Здравствуйте.
Есть 2.5" винт (подключен через usb), разбитый на 3 примари раздела, первый экспериментальный (fat16 на 2гб + ~75гб свободного пространства), второй пустой вокруг ББ (200мб), третий зашифрованный truecrypt (~70гб). после эксперимента с созданием загрузочного первого раздела он стал стал фат16 на весь диск. ZAR и другие находят два раздела на винте, первый фат16 и второй нтфс на 200мб (есть информация о его секторах). Как правильно исправить таблицу разделов, чтобы появился раздел, зашифрованный трукриптом, или как подсунуть трукрипту информацию об этом разделе (пароль помню, бэкап заголовка есть)?
PS: в начале второго и зашифрованного есть сектора с сигнатурами нтфс разделов (EB52 904E 5446 5320 ... 55АА)

Так.. На 99% скана он прекратил. Вот что получилось, если интересно.
http://img-fotki.yandex.ru/get/3507/ivladimirlenin.0/0_cfe7_29e805d5_orig
http://img-fotki.yandex.ru/get/3505/ivladimirlenin.0/0_cfe6_304a929d_orig
вот дампы (это нормально, что в дампе на 100 секторов все нули??)
Скачать файл sector625137344.img
Скачать файл sect100-6291519.img

Доброго дня.
На винте Seagate 320 Гб был произведено быстрое форматирование загрузочный диска С (20 Гб).
Подскажите можно-ли восстановить данные на этот-же диск, что для этого необходимо сделать. Кусок необходимых данных востанавливается на другой раздел программой Restore 2000 pro без вопросов, интересует именно полное восстановление работоспособносит раздела, без форматирования и переустановки системы. Каких-либо еще манипуляций с диском больше не производилось.