» Восстановление разделов и информации на HDD (часть 4)

9285
Виноват, исправился.
http://sderni.ru/26584
http://sderni.ru/26585

9285

Цитата:

Находясь в экранах, скриншоты которыx ты приводил, выбираешь нужный раздел - открывается загрузочный сектор раздела. Нажимаешь Enter и дальше увидишь что получится.

Я понял - я тупой.
Нажимаю Enter и вижу дерево папок, файлы и что делать дальше? Выбрать "востановить"?
Я уже голову сломал.

satisfactioner
Насколько можно судить по скринам, восстановить ничего не получится. Индексы уже перемещены и начало раздела показывается в том же секторе, где оно указано в таблице. Там есть бутсектор и, вероятно, R-Studio определила начало раздела именно в этом секторе, а результат R-Studio Вам известен. На всякий случай откройте в DMDE (в окне поиска или даже в окне разделов) тот раздел, который начинается в 81 915 498. Найдите какой-нибудь файл не слишком мелкий и попробуйте восстановить. Восстановленный файл также не открывается?

satisfactioner
Точнее, восстановить можно, но ситуация та же, что у AleXXXXXXander.

Создал клон винта в 1Tb (WinHex, кажись). Копирую на пустой винт в 1Tb (ntfs) - пишет, что не хватает места.
Размер образа: 931Gb (на диске: 1 000 202 241 024 байт).
Пробую сейчас с помощью TeraCopy насильно скопировать. Наверно, это нехорошо.Часа 3 надо. Результат неизвестен.

Вопросы.
___1. Какой программой можно(если можно вообще) и как отрезать кусочек образа (спереди али сзаду)? Спереди можно тоже - нам же таблица разделов уже не нужна - восстанавливаю файлы по заголовкам.
___2. Как развернуть образ на другой диск (WinHex, R-Studio, Victoria смогут?)
И получится развернуть?
И хватит ли места в связи с вышесказанным?
___3. Это будет аналогично функции поисков и восстановление файлов по заголовкам?
___4. С помощью каких программ вообще? (Лучче бесплатные). В шапке темы смотрел-поголовно практически работают с образами, только какими, не указано.
___5. А какое расширение этого образа (при посекторном, клонировании)? Есть iso, img и т.д. А этот?

IceFly
Посмотрите размер образа также в байтах, сразу понятно будет.
Если раздел на диске базовый, а не динамический, то 3-5(до 8) мегов с конца - не играют роли.

Делать образ, надо было например гхостом. Он и занимать будет меньше, и разворачиваться на любой хард с объёмом не меньше количества данных в образе.

Altus
Размер образа: 931Gb (_________1 000 202 241 024 байт)
Размер образа: 931Gb (на диске: 1 000 202 244 096 байт).

1. Получается, с посекторным копированием я захватил и служебную область.
Т.е. простое копирование на диск такого же объема не пройдет.
2. Или пройдет, но отрежет в конце немного?
3. И это, говорите,не важно. Информация будет считываться?
НО:
___2. Как развернуть образ на другой диск?

Надо сделать его базовым, а не динамическим? (т.е. создать "основной" раздел, а не дополнительный?)
Тогда места хватит?

aababa
Бывают случаи когда таблица разделов корректная а в структуре раздела есть ошибки (например отсутствует или повреждена MFT). В подобных случаях при открытии диска выдаётся сообщение об ошибке. То есть, открывая раздел мы как бы проверяем его на отсутствие некоторых ошибок. И раз у тебя он открывается без предупреждений то это уже неплохо.
Опять же, восстановив записи о разделе или разделах (используя второй патч) можно загрузиться с какого либо LiveCD и посмотреть в нём реальное состояние дел. Можно запустить проверку chdsk но без каких либо ключей. В случае использования второго патча можно уже попробовать и загрузиться. Я не нострадамус, но если проблема была лишь в слетевшей таблице разделов, то всё должно пройти нормально. Тем более что системный диск не первый.

Добавлено:
Antech
Если в таблице разделов и некоторых других мелочах я что то понимаю, то что касается MFT, индексов и прочего - 0,0001111. Это просто к тому, чтобы было понятно ху из ху.
Так вот, в случае satisfactioner-а я не знаю что там успело измениться. Вижу лишь то, что акронис изменил тип раздела - соответствено он в винде и определяется как неизвестный.
И хотя есть некоторые "несостыковки" по числу секторов, но я что то не заметил чтобы был создан дополнительный раздел (кстати для чего?).
Или изначально уменьшается "донор", причём сначала структурно (перемещение индексов?), и лишь потом на уровне записей в РТ?

Добавлено:
IceFly
что касается размеров, то здесь у каждого производителя свои мерки террабайтов и может случится так, что террабайт одного меньше чем у другого.
Чтобы понять причину - попредели сколько секторов доступно на винте, куда будет разворачиваться образ- в DMDE открой диск и посмотри номер стартового сектора "области" в конце диска, называемой остаток. Всё что до - и есть дступный обьём в секторах. Затем посмотри сколько секторов в образе (плавно переходим в начало №1) и сравни.

1. Всё зависит от того, какой используется образ.
Таблица разделов занимает часть одного сектора, а если говорить о предшествующей первому разделу зоне, то она составляет 63 сектора и они (ИМХО) некритичны.
Другое дело, если ты в образ внёс и surplace сектора. Их можно удалять безболезнено.

2. В зависимости от того какой образ - так и разворачиваем.
Образ чем создавался? Если WinHEX-ом то какой?

3. Не понял вопроса.

4. DMDE

5. Зависит от типа образа (чем создан).
Лично я работаю с обычными образами, создаными средствами DMDE

Добавлено:
Altus

Цитата:

то 3-5(до 8) мегов с конца - не играют роли.

С конца раздела, или речь идёт о surplace секторах, задействованых в случае динамики?


Цитата:

Делать образ, надо было например гхостом.

Лично я использую указанную программу для других целей, поэтому нет опыта по созданию образов. Но практически уверен, что необходимо сказать что при использовании оной необходимо в настройках правльно указать тип копирования. В случае, если будет производится не посекторная копия (а по умолчанию вроде бы как не посекторно) толк от использоваия такого образа в целях восстановления стремиться к нулю.

9285

Цитата:

Опять же, восстановив записи о разделе или разделах (используя второй патч) можно загрузиться с какого либо LiveCD и посмотреть в нём реальное состояние дел.

Загрузился с LiveCD - вижу первый раздел С:(SLAVE) - он Pramary Part, системный, в момент вылета был неактивный. Пробую использовать второй патч.

Цитата:

Тем более что системный диск не первый.

Не понял, что Вы имеете ввиду? У меня на первом диске 4 раздела, на первом и втором стоит Windows: 1.С:(SLAVE) - Pramary Part, системный, неактивный; 2.C:(MASTER) - Pramary Part, системный, активный; 3.D:(PROGRAMM) - дополнительный, логический; 4.H:(BACKUP) - дополнительный, логический.

IceFly

Цитата:

Надо сделать его базовым, а не динамическим? (т.е. создать "основной" раздел, а не дополнительный?)
Тогда места хватит?

стоп-стоп-стоп. я не говорю каким надо сделать, я говорю если он был не динамический.
если я правильно понимаю, это образ внешнего диска с того харда из коробки с ЮСБ, то он там вряд ли динамический. Посмотрите в образе чем заняты последние 3 килобайта, если они пустые - смело заливаете его на этот хард, если нет - сохраните их в файлик и на обменник - посмотрим что там.

9285

Цитата:

С конца раздела, или речь идёт о surplace секторах, задействованых в случае динамики?

с конца диска конечно.

Цитата:

В случае, если будет производится не посекторная копия (а по умолчанию вроде бы как не посекторно) толк от использоваия такого образа в целях восстановления стремиться к нулю.

да вы правы, забыл добавить, что надо в настройках указать не дефаут а имадж бут хотябы.

aababa

Цитата:

Не понял, что Вы имеете ввиду?

я имею в виду то, что в некоторых случаях бывает что в начало диска записывается какой то мусор. И, в подобных ситуациях, если даже восстановить таблицу разделов, состояние первого раздела плачевное и надеятся на загрузку винды (находящейся на этом разделе) не всегда стоит.
В случае же когда раздел с виндой второй, шанс того что в результате сброса мусора пострадает он минимальнейшие. Соответствено система может беспроблемно загрузится.
Так понятно?

9285
Понятно. У меня основной системный второй раздел (всегда им пользуюсь), а первый - как запасной. Так когда то научили.
P.S.
Перед использованием второго патча надо делать кории всех секторов или нет? А то это будет еще долго длиться.

Antech
Цитата:

Восстановленный файл также не открывается?

Не открывается...

LeoT
Цитата:

Точнее, восстановить можно, но ситуация та же, что у AleXXXXXXander.

Однако, в отличие от AleXXXXXXander, я не прочь заморочиться и углубиться в тему, хотя бы ради одной папки, GiB так на 20.
Программку я, конечно, вряд ли осилю, а вот вручную побродил бы, знать бы как...

satisfactioner
Проверяйте соответствие ссылок из MFT реальному началу файлов. Где-то есть смещение, вот его и надо найти и сместить обратно.

Altus

Цитата:

Делать образ, надо было например гхостом. Он и занимать будет меньше, и разворачиваться на любой хард с объёмом не меньше количества данных в образе.

Это не образ, а так, "для домохозяек". В data recovery такими "образами" не пользуются даже простые любители типа меня. Максимум, что можно себе позволить - это сжатый образ (типа dd+gzip), но как Вы с ним будете рекаверилками работать? Можно сделать сжатый посекторный в R-Studio, но такой образ только R-Studio и поймет, насколько я знаю. А несжатый большинство "нормальных" рекаверилок понимают.

IceFly

Цитата:

Какой программой можно(если можно вообще) и как отрезать кусочек образа

WinHex, выделить нужную часть образа (Alt+1, Alt+2) и записать в новый файл Shift+Ctrl+N.


Цитата:

Как развернуть образ на другой диск

WinHex - Clone Disk. Указываете неполный размер (количество секторов) или неполный размер + на столько же отступаете от начала источника (начальный сектор на источнике). Прога сделает как скажете.
Приемник выбирайте Physical drive, но не перепутайте (на нем все сотрется на размер образа).


Цитата:

Это будет аналогично функции поисков и восстановление файлов по заголовкам?

Что будет аналогично? Работа с посекторным образом эквивалентна работе с оригиналом (минус бэды, если они были на оригинале, но они все равно не читаются).


Цитата:

С помощью каких программ вообще?

RecoverMyFiles, PhotoRec (Free), R-Studio, GetDataBack.


Цитата:

А какое расширение этого образа

Любое, какое зададите, хоть вообще без расширения. Я предпочитаю *.img.

9285

Цитата:

в случае satisfactioner-а я не знаю что там успело измениться

Там плохое партмагоидное смещение. Насколько я помню, это прерванное изменение размера раздела в Акронисе (Акронис является партмагоидом). Часть раздела перемещена, оставшаяся часть осталась несмещенной.
Background насчет индексов. Индексы в NTFS - это списки (структуры, начинающиеся с magic number INDX). Они используются для разных целей, но их основное приминение - каталоги. Т.е. каталоги в NTFS - это списки из атрибутов 30 (FILE_NAME) файлов и подкаталогов (именно поэтому в атрибуте FILE_NAME хранится не только имя файла).
Что делает DMDE при поиске NTFS? Она находит фрагменты MFT и INDX'ы каталогов. Далее. В каталоге (INDX'е) каждый элемент (подкаталог или файл) имеет номер родтельской файловой записи в MFT. Естественно, для корректной ФС все эти номера внутри одного каталоги одинаковые. В то же время, в файловых записях не слишком мелких каталогов есть атрибут A0 (INDEX_ALLOCATION). Он описывает расположение каталога на девайсе. Номер начального кластера дается относительно начала раздела... Here is the point. Если у Вас есть начальная позиция некоего INDX'а и parent MFT record его элементов, то Вы смотрите в файловую запись с соответствующим номером и находите там атрибут A0, в нем - смещение в кластерах (умножаете на размер кластера), вычитаете из начального сектора INDX'а и вуаля - имеете начальный сектор раздела без таблицы и без бутсектора. Такой финт помогает определить настоящее начало раздела и в том случае, когда ФС указывает по каким-то причинам не туда, где на самом деле находятся файлы, а с некоторым смещением, что имеет место при партмагоидном.
Как это выглядит в кейсе satisfactioner. DMDE определяет начало раздела по описанному выше алгоритму, но оно и так оказывается в том месте, где бутсектор и куда указывает таблица. При этом файлы восстанавливаются неверно. Т.е. часть раздела, где находится содержимое нужных файлов, смещена, а вот INDX'ы остались как есть. Поэтому определить партмагоидное смещение по-простому не получилось. Leo, конечно, прав, и восстановить наверняка можно, но вот кто будет забесплатно этим гимором заниматься, да еще и дистанционно, я не знаю. Тут уже нужно в рамках работы это делать, т.к. по-быстрому не представляется возможным, а у меня на данный момент работа с DR не связана, я вообще-то энергетик.
Что касается PT, то на таком уровне она может вообще не рассматриваться как не имеющая значения... Ведь никто не будет делать такой кейс in-place, а начало раздела определяется совсем по-другому. Например, я в своем MediaWorkshop (он Free) просто указываю начальный сектор NTFS раздела, и он работает независимо от PT.


Цитата:

если говорить о предшествующей первому разделу зоне, то она составляет 63 сектора и они (ИМХО) некритичны

Они не нужны, но не всегда 63. Стандартные номера начальных секторов разделов:
WinXP и большинство старого PT-софта, первый Pri раздел: 63.
Первый Ext раздел (Ext область) без предшествующего Pri: 16065.
Первый Logical раздел (внутри Ext области) без Pri: 16128 (AMBR+63).
Win Vista/7, первый Pri раздел: 2048.


Цитата:

речь идёт о surplace секторах

Сорри что придираюсь, но surplus, а не surplace.


Цитата:

В случае, если будет производится не посекторная копия (а по умолчанию вроде бы как не посекторно) толк от использоваия такого образа в целях восстановления стремиться к нулю.

Вот именно. А если посекторная, то и Ghost не нужен - удобнее WinHex, да и образ уже есть.

satisfactioner

Цитата:

Не открывается...

Ну вот и все...


Цитата:

я не прочь заморочиться и углубиться в тему

Определение партмагоидного смещения doc.zip
Что касается программы, то можно использовать определенный финт ушами в MediaWorkshop (он бесплатно копирует все каталоги/файлы, а DMDE Free только по одному файлу). Но все равно нужно предварительно узнать величину смещения.

aababa
Перед патчеванием MBR можно вообще никаких копий не делать. Но лучше иметь дамп сектора 0, это всего 512 байт...

Altus
Как посмотреть (и сохранить)- в образе последние 3 килобайта?

9285
1. "в DMDE открой диск и посмотри номер стартового сектора "области" в конце диска, называемой остаток"
-искал такой пункт в меню, не нашел (
2. "surpluc сектора" - как посмотреть их наличие-отсутствие?
Их можно принудительно удалить из образа?
3. Образ создавался WinHEX-ом.

Диск-образ и диск новый - Samsung 1Tb, только разных серий.
Образ не помешается на новый диск.
Размер дисков у одного производителя один и тот же(возможно)).

Еще вопросы.

--Все программы именно клонирования (сектор-в-сектор) дисков -что, создают разные образы разных типов?
WinHex, DMDE, Clonezilla, Ghost, Victoria, MHDD, R-Studio? Вроде бы одно и то же должны.
--И они же легко и правильно работают с образами из всех этих программ?
Antech
-- (образы типа iso, img, dat.. - У вышеназванных образов нет расширения как такового-значит, можно обзывать, можно нет)

Помогите, пожалуйста.
У меня винт Seagate ST3250410AS 250Гб подключен через переходник Orient SATA->USB. Файловая система NTFS. До этого все стабильно работало, уже полгода. А сегодня во время работы сбойнуло питание, теперь при подключении к компьютеру, пишет "Устройство не отформатировано". Через R-Studio, WinHEX вижу все свои файлы и могу их сохранить. Я так понял там таблица разделов нарушилась. Можно ее восстановить?
Что посоветуете?
Вот некоторая информация из DMDE

WhiteNoise
Покажите дампы по 100 секторов, начиная с секторов 63 и 6291519 (DMDE - Копировать секторы).

Пожалуйста помогите!
проблема в следущем:
Есть жёсткий диск на котором 4 раздела, 2 -ntfs и 2- ext. Линуксовые разделы решил форматнуть в нтфс и соеденить, партишн мэджик почему то не смог, установил акронис, дал ему задачу слить два тома в один и форматнуть в нтфс, после чего выскочил синий экран к сожалению заскринить не успел, при перезагрузке диск жёсткий не индифицировался, поставил установочную винду и что я увидел - все разделы слились в 1 (файловая система неопознанная) на диске написано неразмеченная область MBR.
Подскажите что делать, там 170 гб. очень нужной информации((

subhumanz
acronis partition recovery Ссылка

opt_step всё прочёл, решения не нашёл(

Antech
Спасибо, что откликнулись. Вот дампы секторов.
http://sderni.ru/27001
http://sderni.ru/27002

WhiteNoise
Записи . (корень), $Bitmap и $Boot переписаны мусором. Также задело хвост $AttrDef. В принципе, можете пускать chkdsk /f, т.к. ничего серьезного не наблюдается. Но я никогда не даю гарантии 100% успеха с Чекдиском /f - если эта мизерная вероятность сработает и раздел будет испорчен, мне надо чем-то прикрыть свой зад .

subhumanz
Похоже, Вам тоже нужен "Пирамидон": DMDE, физичесский диск, окно "Разделы" - в студию, пожалуйста.

Antech
Ок, хорошо. Я понял вас. Насчет, возможности ошибки, согласен, мне своей головой тоже надо думать
А после, а если чекдиск сработает некорректно, инфу можно будет вытащить утилитами типа r-Studio?

WhiteNoise
Тогда уж лучше сначала R-Studio, а потом чекдиск. Если чекдиск что-то напортит, то и результат восстановления рекаверилками по файловой системе после этого будет ровно настолько же хуже, насколько он напортит.

Antech
За информацию спасибо, попробую осмыслить.


Цитата:

я в своем MediaWorkshop (он Free)

Может недоглядел, но где его найти чтобы посчупать? Нашёл одну тему на хоботе с анансом программы, но саму прогу - нет.


Цитата:

Они не нужны, но не всегда 63.

О 63-секторах речь шла применительно к конкретной ситуации.
А тот же Акронис может и 8-секторов сделать.


Цитата:

Сорри что придираюсь

Какие придирки? Нормальные (справедливые) исправления, которые должны быть на технических форумах.


Цитата:

Это не образ, а так, "для домохозяек".

Я бы сказал для тех кто привык пользоваться этой программой, и в случае неудачного лечения может развернуть этот образ (естествено если только сектор в сектор) на место.
А вот если захочется на другой носитель то тут у меня есть некоторые сомнения.
Дело в том что Ghost обладает небольшим интелекктуалом, и в некоторых ситуациях вносит кое какие изменения в структуры данных.



Добавлено:
IceFly

Цитата:

-искал такой пункт в меню, не нашел (

1. Это не пункт меню искать надо, а на экране Разделы
Выглядит так - http://sderni.ru/27088
3. WinHEX может сохранять два типа образа:
- резерв WinHEX (WHX). При выборе создания имиджа диска стоит по умолчанию
- простой образ RAW

С WinHEX пробовал работать, но что то не внушило, поэтому забросил. И не в курсе чем там глобально отличия, но они есть. Поэтому наверняка сложно сказать что и как делать если не знать тип образа.

2. Специально поменял ответы местами, чтобы было понятно, что не зная какой тип образа используется, сложно о чём то говорить.
Насчёт посмотреть (в смысле простого определения) их в простом образе не скажу. А вычислить можно. Но только это предположения, потому как данных мало.
Ты присылал два дампа. В одном FAT32, в другом NTFS но в обоих случаях размер раздела 1953520002 сектора. Если предположить что образ делался, начиная с 0-го сектора то получаем число секторов в образе равным 1953520002 + 63.
Если раздел был NTFS_овским и сделан по правилам, то где то в районе этого сектора будет копия 63-го сектора. Всё что дальше (исходя из версии что был один раздел) можно обрезать.

Antech скринов уже не предоставлю ибо винт находится в другом месте. Могу сказать следущее, каким то чудом наткнулся в нете на программу Active@ File Recovery, версию не помню. Подключил винт к другому компу и начал его сканировать, нашёл все разделы при чём файлы и папки с именами, датами и корневыми директориями, теперь ломаю голову как бы это всё не просто скопировать так как на компьютере к которому подключён винт всего 120 гб. а мне восстановить на надо 170 гб. возможно есть способ восстановить полностью раздел, программа на английском а я с техническим туговато, в любом случае в течении дня отпишусь что и как.

subhumanz
Картина происшедшего ужасающая, но только слишком маловато данных.
Как были расположены разделы?
Если судить по последствиям, то наверное ext-овские были по краям. Если же они были рядом, то вряд ли бы должно было случиться подобное. И, на будущее - а смысл соединять разделы (особено рядом лежащие) если всё равно изменяется ФС? Проще и безболезненее удалить разделы и на их месте создать новый.

9285
ну попробую на пальцах))...в начале стоял нтфс с виндой, далее разделы ext и в конце если можно так сказать диск с данными. А вот на счёт разделов я сам уже понял что натупил, наверное сначала надо было их форматнуть а потом уже соединять). В любом случае не могу понять алгоритм действия акрониса который не предупредил ни о чём, теперь 3-й дорогой обходить его буду. А винт кстати стал уже определятся как нтфс после chkdsk.

subhumanz

Цитата:

наверное сначала надо было их форматнуть а потом уже соединять)

Предыдущее сообщение видимо было плохо прочитано. Зачем такие извращения, а потом ещё и обвинения вполне нормальной программы если можно просто удалить оба раздела, в идеале зачистить свободное место, а затем создать новый. Причём это, кроме зачистки, можно сделать штатными средствами ОС.


Цитата:

А винт кстати стал уже определятся как нтфс после chkdsk.

От определения данные не обязательно самовосстановятся.
chkdsk рановато запущен. Если предположить что он весь винт определил одним разделом, то последствия его "лечения" могут быть ужасающими.