» Восстановление разделов и информации на HDD (часть 4)

>> Невозможно определить версию тома и его состояние.<<

>>Не может быть такого. Я записал Ваш дамп в начало тестового раздела, вот результат:
Тип файловой системы: NTFS.
Метка тома: Boy II.

ВНИМАНИЕ! Параметр F не указан.
CHKDSK выполняется в режиме только чтения.

Проверка файлов (этап 1 из 3)...
Проверка файлов завершена.
Удаление потерянного сегмента записи о файле 6.
Удаление потерянного сегмента записи о файле 8.
Удаление потерянного сегмента записи о файле 12.
Удаление потерянного сегмента записи о файле 14.

Обнаружены ошибки. Продолжение работы в режиме только чтения невозможно.
Кроме того, после первых четырех записей MFT в Вашем исходном дампе (100 секторов, начиная с 402299793) продолжаются другие записи, и после них - содержимое файла $UpCase. Сейчас (свежий дамп) после первых 4 записей MFT содержимое какого-то юзерского файла. Т.е. что-то не так у нас с номерами секторов. Итак: DMDE - физический диск - Сервис - Копировать секторы в файл. Первый сектор 402299730, Число секторов 200. Это AMBR + начало третьего раздела, проверим...<<

Пардон за молчание, вчера ииза ошибок на хардах, не мог зайти ни в одну винду и ЛАЙФ винды тоже тормозили. Еле справился, но пропала встроенная сетевая, коннекчусь щас через сотовой.
Вернёмся к нашим делам....

Харда с меткой: Boy II - у меня нет.
Есть тока с Boy и это тот самый, первый раздел, что мы уже починили, а теперь нам надо исправить раздел S, на нём метки нет.
Какой дамп мне надо сделать!?

alex5161

Цитата:

Сканирование с ре-мапом будет что-то писать

Да, разумеется. Будет писать только в нечитаемые секторы. Ну да, по-хорошему, нужна посектрка перед этим, не столько потому, что будет ремап, сколько потому, что бэдастый винт имеет повышенные шансы накрыться в самый неподходящий момент или наплодить еще бэдов. Я уже говорил об этом в предыдущем сообщении.


Цитата:

до Вики-скана-с-ремепом, или это не важно?

До скана.


Цитата:

как узнать номера бэд-секторов

Да, сегмент - не сектор. Чекдиск так называет файловые записи MFT (file record segment). Если MFT не фрагментирована, то номер начального сектора файловой записи = НачальныйКластерMFT*РазмерКластера+2*НомерЗаписи, в Вашем случае 271837832*1+2*НомерЗаписи. Например, запись 0 начинается в секторе 271837832, а запист 1 - в секторе 271837834 (размер записи - 2 сектора).
Но это так, лирическое отступление. Вам это не надо. Виктория сама найдет сбойные секторы и попробует несколько раз туда записать, чтобы винт пустил алгоритм ремапа и, возможно, заремапил.


Цитата:

увижу слова о Reallocation, и что делать?

Следите за Reallocated Sectors Count Raw. Запишите значения до и после ремапа. Если бэды софтовые, будет ноль до и после. Если бэды физические, после (удачного) ремапа Reallocated будет равно количеству заремапленных секторов. Далее, в процессе эксплуатации, следите за количеством ремапов. Если будут постоянно появляться новые - винт лучше выкинуть ИМХО. Но это на будущее. Подопытный винт можно выбросить прямо сейчас.


Цитата:

нет у меня возможности другого выбора

Когда запускаете DMDE, есть выбор, какой диск открыть: физический или логический. Вам надо физический. Т.е. надо было бы, если...


Цитата:

более 3 часов прошло - а еще нет 2%

Понятно. Больше можете ничего не делать. Посмотрите на количество и расположение бэдов. Похоже, у винта накрывается голова. И, кстати, ремап испортил то, что можно было восстановить в DR-фирме, сорри... В общем, винт труп, восстановление инфы в домашних условиях невозможно. В фирме - в зависимости от того, насколько долго работал ремап и была ли при этом запись на блины. Но, в любом случае, дорого.

Добавлено:
boy999

Цитата:

Какой дамп мне надо сделать?

DMDE - физический диск - Сервис - Копировать секторы в файл. Первый сектор 402299730, Число секторов 200.


Цитата:

Харда с меткой: Boy II - у меня нет.

Теперь есть (не харда, а раздела).
У Вас записи $Volume на обоих разделах сдохли, поэтому, как исходно назывались разделы, я не знаю. Я ведь скопировал исправные записи $MFTMirror, $Logfile, $Volume и немного подправил их, в т.ч. имена разделов в $Volume. Первый восстановленный называется "Boy", второй восстанавливаемый - "Boy II".

Цитата:

DMDE - физический диск - Сервис - Копировать секторы в файл. Первый сектор 402299730, Число секторов 200.


Цитата:Харда с меткой: Boy II - у меня нет.

Похоже, я тогда не с того харда делал дампы.

http://slil.ru/27912249

boy999

Цитата:

Похоже, я тогда не с того харда делал дампы

Да, наверное. Потому что сейчас патч на целевой винт не записан.
Надо записать патч MFT на тот винт, с которого Вы показали дамп, начиная с сектора 402299817.

Цитата:

Надо записать патч MFT на тот винт, с которого Вы показали дамп, начиная с сектора 402299817.

Не понял, это когда я показывал дамп!?
Про какой винт разговор?

Я ж на контре всё переставлял, и в ADDS они в другом порядке видны.

Добрый вечер, вчера утром пропали данные с жесткого диска
Автоматически сделал chkdsk из консоли восстановления, безрезультатно.
Создал с него посекторный образ Ghost.
R-Studio восстанавливает много файлов, но ничего нужного, видимо из-за фрагментации ((
тип разделов изменился на x0Dh (неизвестный)
может ли быть такой дикий вирус ?

Добавлено:
Диск - WD80 0JB-00JJ - 80 Gb IDE
3 раздела - 1 основной и 2 логических

boy999
Последний дамп Вы с какого винта снимали? Вот этот винт и надо патчить.
Еще один способ: посмотрите в Управлении Дисками, какой по счету проблемный винт (нумерация с нуля). Вот под таким номером девайс надо в DMDE открывать и патчить.
Сорри, я не знаю, как у Вас подключены винты, где в компе "контра" и причем здесь ADDS...

картинка из DMDE


Добавлено:



Добавлено:
Такое ощущение что разделы были удалены и потом заново созданы

Ожил раздел S! (прыжки до потолка).

Респект Antech!



Скандиск:
Microsoft Windows XP [Версия 5.1.2600]
(С) Корпорация Майкрософт, 1985-2001.

F:\Documents and Settings\Администратор>chkdsk.exe S:
Тип файловой системы: NTFS.
Метка тома: Boy II.

ВНИМАНИЕ! Параметр F не указан.
CHKDSK выполняется в режиме только чтения.

Проверка файлов (этап 1 из 3)...
Проверка файлов завершена.
Проверка индексов (этап 2 из 3)...
Удаление элемента индекса $O файла 25.
Утерян элемент индекса кода объекта или обнаружен повторяющийся код объекта
для сегмента 3 записи файла.
Проверка индексов завершена.

Обнаружены ошибки. Продолжение работы в режиме только чтения невозможно.

F:\Documents and Settings\Администратор>

Теперь чего осталось сделать!?

boy999
Аллилуя .

Пустите Чекдиск на исправление chkdsk.exe S: /f - ошибка мелкая, так что опасности исправление не представляет.

Harvester1980
Да, у Вас в таблице все NTFS (07) разделы стали типа 0D. Пройдитесь по таблицам и измените 0D обратно на 07. Вначале в нулевом секторе (MBR), потом в секторах 51584715 (AMBR-0) и 103169430 (AMBR-1). Можете использовать для этого DMDE, только не забывайте Ctrl+E, чтобы он редактировал. И перезагрузиться потом надо, чтобы Винда всосала новые таблицы.
Но если там поработал Чекдиск, то разделы-то Вы восстановите, а что будет с файлами на них - это вопрос.

Microsoft Windows XP [Версия 5.1.2600]
(С) Корпорация Майкрософт, 1985-2001.

F:\Documents and Settings\Администратор>chkdsk.exe S: /f -
Недопустимый параметр: -

F:\Documents and Settings\Администратор>chkdsk.exe S: /f-
Недопустимый параметр: /f-

F:\Documents and Settings\Администратор>

Цитата:

Но если там поработал Чекдиск, то разделы-то Вы восстановите, а что будет с файлами на них - это вопрос.

тип разделов изменил на 07, разделы появились.

но данных нет совсем .. дата создания раздела очень не нравится мне.


boy999
Добавлено:

Цитата:

F:\Documents and Settings\Администратор>chkdsk.exe S: /f -
Недопустимый параметр: -

F:\Documents and Settings\Администратор>chkdsk.exe S: /f-
Недопустимый параметр: /f-

дефис писать не нужно chkdsk S: /f

boy999
Тире лишнее. Это знак препинания, а не часть команды.

Harvester1980
Так на всех разделах? Проверяйте корни:
1. Запись №5 в MFT (имя "."). Это файловая запись корня.
2. Атрибут INDEX_ALLOCATION в записи №5: куда он указывает, есть ли там, куда он указывает, INDX и т.д.
Локализовать проблему поможет Чекдиск без /f.

случайно форматнула разделы: swap, ReiserFS из под Винды,
как теперь вернуть обратно, подскажите, плиз, кто-нить?

demo06:
swap возвращать особого смысла нет (проще заново создать), а рейзер должен стандартными средствами восстановиться (fsck, rebuild чего-то там по необходимости, смотрите соответствующий man). Только я бы на всякий случай сделал предварительно посекторную копию - если получится плохо, то можно будет хоть данные рекаверилками вытащить.

Подскажите пожалуйста, а то несколько дней бьюсь и толком ничего не выходит.

Случайно удалил весь логический диск через Тотал Командер, включая корзину!!
В этом и проблема.

Она не удалялась до конца, но многое потерлось. В результате штатно с помошью самой ОС восстановил 60 из 130 Гб, а остальное не выходит - пропало!
Система Виста СП х64.
Диск вроде "не трогал" и потом восстановил его в образ через R-Studio (и, на всякий случай, через Recov4all - результаты разные, но много похожего) на внешний диск.
Потом попытался перенести с внешнего диска "восстановленую" корзину на сам изначальный диск. После перезагрузки появились многие файлы и папки в корзине, восстановил и их. Но, очень большой раздел "удаленых" файлов в подпапке
(d:\$RECYCLE.BIN\S-1-5-21-2757022325-197109505-632060415-1000\) - 10 Гб
не виден в Виндос, но просматриваем в Тотале.

Можно его "оживить" для Винды ?? (Очень много файлов, и потому их просматривать и переименовывать просто невозможно).

LeoT:

Цитата:

рекаверилками вытащить

вот я и хочу "рекаверилками" подскажите прогу, плиз, т.к. из под винды хочу, а потом уже Убунту восстановить, тока как пока не знаю.. MBR щас в буте

Всем привет! Не подскажите, что делать в таком случаи:
Система зависла, перезагрузил кнопкой, ХР захотела сделать проверку диска Е: - отменил. Система загрузилась через 10 минут. Система стоит на другом физическом диске. В списке моего компьютера видит как Логический диск без полного объема и без свободного места, а в управлении компьютера видит как Логический диск с полным объемом и полностью свободным… При попытке зайти на диск пишет - заголовке окна – Расположение недоступно, в окне – Нет доступа к Е:\. Файл или папка повреждены. Чтение невозможно. ОК.
Винт 1 Терабайт без дополнительных логических дисков, системы нет, только видео, аудио и графические файлы. Диск был забит под завязку, было свободно чуть больше 4-х гигов, диску чуть больше года…
Система XP home SP3 лицензия
Есть возможность использовать Vista SP2 и Windows7 Максимальная. Все системы стоят на отдельном физическом диске на своих логических дисках со своими дисками подкачки.
Всем спасибо за ранние!
Вставил бы картинки для лучшего понимания ситуации, но не знаю как тут сделать, не вижу этой опции, или подскажите как закинуть.

DAGN

Цитата:

Вставил бы картинки для лучшего понимания ситуации, но не знаю как тут сделать, не вижу этой опции, или подскажите как закинуть.

Ссылка

Добавлено:
Antech

Цитата:

Так на всех разделах? Проверяйте корни:
1. Запись №5 в MFT (имя "."). Это файловая запись корня.
2. Атрибут INDEX_ALLOCATION в записи №5: куда он указывает, есть ли там, куда он указывает, INDX и т.д.
Локализовать проблему поможет Чекдиск без /f.

не вижу в INDEX_ALLOCATION INDX.


Добавлено:
Чекдиск без /f сообщает что ошибок не обнаружено и диски пустые

demo06
UFS Explorer, R-Studio.

DAGN
MFT накрылась немного. Или много.
Пожалуйста, сделайте дампа по 200 секторов, начиная с секторов 0 и 6291519 и залейте на zalil.ru. Используйте DMDE: Физический диск - Сервис - Копировать секторы в файл.

Harvester1980
Не так смотрите. Нажмите F2 (Hex view), а лучше ИМХО используйте WinHex - он таки удобнее, чем DMDE. Проверять надо вручную, а DMDE может показывать реконструкцию без использования INDX'ов, это одному автору известно... И хотелось бы видеть, что конкретно пишет Чекдиск.
Вы можете также дать дамп начала MFT (к примеру, 10 записей == 20 секторов).

Antech

Цитата:

И хотелось бы видеть, что конкретно пишет Чекдиск

C:\Documents and Settings\00>chkdsk h:
Тип файловой системы: NTFS.
Метка тома: BASE.

ВНИМАНИЕ! Параметр F не указан.
CHKDSK выполняется в режиме только чтения.

Проверка файлов (этап 1 из 3)...
Проверка файлов завершена.
Проверка индексов (этап 2 из 3)...
Проверка индексов завершена.
Проверка дескрипторов безопасности (этап 3 из 3)...
Проверка дескрипторов безопасности завершена.
Windows проверила файловую систему. Ошибок не обнаружено.

25792324 КБ всего на диске.
20 КБ в 2 файлах.
4 КБ в 9 индексах.
0 КБ в поврежденных секторах.
66764 КБ используется системой.
65536 КБ занято под файл журнала.
25725536 КБ свободно на диске.

Размер кластера: 4096 байт.
Всего кластеров на диске: 6448081.
6431384 кластеров на диске.


Цитата:

а лучше ИМХО используйте WinHex - он таки удобнее, чем DMDE

Цитата:

Вы можете также дать дамп начала MFT (к примеру, 10 записей == 20 секторов).

MFT второго диска..
Ссылка

Вчера удалил файл в корзину. Потом ее очистил. А сегодня понял, что зря )
Думал вспомню точно откуда файл (он 1 из множества похожих), но просканив Гетдатабэк диск изначального расположения его там не увидел вообще. А может я путаю папку, откуда он был стерт.
Просканил диск с: , посмотрел RECYCLER -там тоже нет ничего похожего на нужное. Да и файлы там почему-то без изначальных имен, определить нужное невозможно.
Как файл достать?

З.Ы. Почему-то Гетдатабэк 3.69 отказывается копировать файлы. Хм, странно, я же регистрировал его. Как так?

Aleks267

Цитата:

файлы там почему-то без изначальных имен, определить нужное невозможно

Оригинального имени больше нет. Новая файловая запись при перемещении в корзину не создается. Используется существующая, в ней меняется имя и parent... Так что либо искать в этих "DC...", либо забить. Это если NTFS. Если FAT - сразу забить , потому что при удалении файла занулилась его цепочка кластеров и где искать фрагменты неизвестно (разве что если файл нефрагментированный).
Но, т.к. корзина на системном разделе и файл был удален из корзины, скорее всего перетерто уже все.

Harvester1980
Понятно. Значит, формально все нормально, но корень пустой. Сделайте Open Drive Files в R-Studio (достаточно Demo) - список файлов в корне показывает?
В дампе MFT в записи корня (№5, сектор 10 от начала дампа) ничего особенного, один кластер №30h (48 dec) аллоцирован для рута. Может, покажете дамп на 10 секторов, начиная с сектора НачалоРаздела+384?

Щас опять возился полдня с ЛайфСиди.

Изза ошибок на хардах, виндовсы не хотят запускаться. Лайфсиди тоже некоторые, по часу надо ждать пока загрузятся.
Самый хороший ИфкеЗУб я в нём запускаю ADDS и проверяю системные разделы. После этого виндовсы грузятся таки.

Вопрос: А можно через Консоль восстановления(Recovery консоль) в меню загрузки виндовсов, исправить ошибки на дисках!?

КАКИЕ команды запускать!?

FAT у меня только 1, и то держу для истории и еще зачем-то)) NTFS всегда в плане восстановления проще, т.е. FAT вообще надо убирать всем?
Мда, я как-то не ожидал. Думал, уж если что сотру из корзины -смогу восстановить "легко." А вот Shift+8 гораздо сложнее. Тогда что же получается Shift+8 проще?
В "DC..." его нет=( Я по-размеру вижу. Я когда-то видел, что у людей восстанавливать из корзины получалось... Не помню название, найду -напишу.
Да, не думал, что из удаленной корзины так трудно достать. А пока, каков мой алгоритм действия на сутки примерно? Я удалил из е: , соответственно могу ли я теперь трогать е: и с: ? Т.е. стирать, переименовывать.. -постоянно этими 2 дисками пользуюсь.

boy999

Цитата:

можно через Консоль восстановления(Recovery консоль) в меню загрузки виндовсов, исправить ошибки на дисках!?

Можно исправить. Но можно и убить. Команды FIXMBR, FIXBOOT, CHKDSK (в зависимости от того, что исправляем). Дискового редактора и R-Studio в этой консоли не предусмотрено .

Aleks267

Цитата:

NTFS всегда в плане восстановления проще?

Грубо говоря, да. Нюансы:
1. FAT проще вернуть in-place, т.к. сама ФС намного проще NTFS, а также драйвер FAT в Винде просто вездеходный по сравнению с капризным драйвером NTFS.
2. Если затерто начало FAT раздела не дальше второй таблицы (десятки МБ), то копируем вторую таблицу в первую и реконструируем бутсектор - in-place восстановление готово. На NTFS, отформатированном разными там ADDS, PartMagic и т.д. MFT прямо в начале раздела (кластеры 1...4 и далее), поэтому при случайном затирании начала раздела (десятки МБ) имеем труп практически без возможности восстановления фрагментированных файлов и имен файлов (любым способом), либо улет большого количества файлов (если хвост MFT остался живой). Для NTFS разделов, отформатированных Виндой, это не актуально (вплоть до затирания начальных 3.2 ГБ раздела возможно in-place восстановление, конечно за исключением файлов, содержимое которых было в затертой области).


Цитата:

Shift+8 проще?

Не премещая в корзину? Ну да, по сравнению с перемещением в корзину и удалением из нее, конечно, это более простой случай. Но от затирания файловой записи и содержимого удаленного файла (активность Винды и резидентных прог) Вам не поможет никакое Shift+F8 .
Непонятно вообще, чество говоря, какая разница? Бэкап и еще раз бэкап, других способов пока что не придумано.


Цитата:

каков мой алгоритм действия на сутки примерно?

А, так у Вас файл удален не с того раздела, где каталог корзины? А на том разделе, где удален файл, каталога Recycled нет? Надо было сразу акцентировать на том, что удалено с другого раздела. Тогда на исходном разделе и файловая запись, и содержимое могут быть целы. Теоретически.


Цитата:

могу ли я теперь трогать е: и с: ?

Если на "C" в Recycled нужного файла не наблюдается, то на этот раздел нет ограничений (да и на системном все равно уже все перезатерлось давно, это очень быстро происходит).
На разделе "E" никакой активности на запись предпринимать не надо. В Управлении Дисками отберите букву у раздела "Е" (подействует только на ту Винду, в которой убрали букву), или в таблице разделов измените тип раздела на какой-нибудь 55, к примеру, и перезагрузитесь.

WD6400AAKS (640Gb) после покупки был офторматирован в NTFS и на нем был создан раздел на все свободное пространство (596.17Gb).

Возникла необходимость создать на WD второй логический диск. Но средствами винды этого сделать не удалось:

1) Управление компьютером - управлени дисками не дает такой возможности.
2) На конанду FDisk система отвечает что она не является внутренней или внешней
командой, исполняемой программой или пакетным файлом.
(Xp Pro sp2)

Кажеться остаеться только использовать Менеджер Жёстких Дисков ?

Dmitriy05
Вопиющий оффтоп!
Удалите существующий раздел и создайте два новых (в Управлении Дисками). Если нужно сохранить инфу, скопируйте куда-нибудь. Можно и без копирования, но это вредные советы. Хотя, если Вы хотите побыстрее завязать с оффтопом и перейти к обсуждению по теме... .

Antech
Объем файлов на нем уже не позволяют скопировать данные. Придеться делаить без копирования

Antech и другие специалисты!
А в моём случае никто помочь не может ??
Вроде похоже на Aleks267.