» Восстановление разделов и информации на HDD (часть 4)

Привет всем, люди знающие, есть проблема: есть бук Асус, который успешно был заражен файловым вирусом. Обратились ко мне, я и подумал чем лечить пару дней, и не обойтись потом без системных глюков, лучше сразу ставить новые форточки. Были 4 раздела C, D и еще 2 скрытые (один зашифрованный размером 40 Мб, и один ФАТ32, размером 5 гб около, с которого можно восстановить заводскую винду). Установка прошла нормально, после установки, ожидаемого диска D не видно... ДМДЕ показывает его но с ошибками (что-то вроде красных крестиков). В управление компьютером, бывший логический диск D, стал неизветного типа и еще без буквы, буква не добавляется. Подскажите юзеру, может стоит показать ему какая на нем ФС и все вернется назад? Или патчить надо с вашей помощью и ДМДЕ? Благодарен заранее за помощь.

sharky1984
Не надо ему ФС указывать, у него и так 07. И бут в порядке, и даже MFT, созданная партмагоидом, на вид ОК. Вы лучше скрин "Разделы" из DMDE покажите. И из Управления дисками. И Чекдиск без /f. И СМАРТ. А то ведь вирусы так очень редко делают, они все больше высокоуровневыми какашками балуются.

sharky1984
Не буду гарантировать, но тех ноутов Асус с которыми доводилось сталкиваться, обычно назначался скрытый тип раздела. То есть если до этого был 07, то ставится 17.
Хотя, для надёжности можешь глянуть на заголовок раздела и прочие атрибуты лишним не будет.

Добавлено:
Antech

Цитата:

и даже MFT, созданная партмагоидом, на вид ОК.

Чёт не понял, а где можно увидеть MFT и прочие данные?

Antech
откуда вы все это знаете?
ноут не под рукой, дал юзеру пользоваться, завтра смогу какие-то точные данные дать. Сам смарт я смотрел, там 1 параметр был желтый G-Sense Error Rate, только почему-то их там 2, 1 норм - 1 желтый. И еще как же чекдиск делать если буквы то и нет? И я не думаю что это от вирусов, ведь это тот случай когда вирус прописывает свой зловредный код в содержимое файла (PE-EXE), а не куда-то еще...

Прошу помощи знатоков.
HDD 1 Тб был разделен на 3 раздела, на всех NTFS.
В ходе неосторожных экспериментов с FreeNAS (freeBSD), установка на диск была проведена как на флэшку.
В результате: все разделы удалены установочной программой и создан один раздел в начале диска размером 24 мб.
Более никаких манипуляций с диском не проводилось.

Из софта пробовал R-studio. При сканировании области, соответствующей размеру раздела 400 Gb чистая ХР (только драйвера) ловит BSOD и перегружается.
Выделял область ~ 10% размера раздела - сканирование правильно определяет размер раздела и строит дерево папок. Но у все папок нулевой размер, у файлов размер отображается правильно но востанавливаются они с нулевым размером.

Есть ли шансы востановить данные, и как?

sharky1984

Цитата:

откуда вы все это знаете?

- Вы знаете, у сыщиков сзади на ушах есть такие чувствительные точки...
- Он видит Ваше отражение в кофейнике
(C) Шерлок Холмс.

Вы засветились в DR-теме на Хоботе под ником goblin13 с дампом начала Ext-области (которого Вы тут не дали). Вы уже забыли про это, а я Вам там ответил.


Цитата:

как же чекдиск делать если буквы то и нет?

Т.е. даже в Управлении Дисками без буквы? Тогда покажите скрин Управления дисками и дамп секторов 0...99 физического (раздела у меня есть).

99ando
Какая-то странная установка. Нулевой размер...
Посмотрите что покажет DMDE в окне "Разделы".

Antech

Цитата:

99ando
Какая-то странная установка. Нулевой размер...
Посмотрите что покажет DMDE в окне "Разделы".

Установка нормальная с LivCD, это я по невнимательности вместо флэшки указал на диск.

Что такое DMDE?

В управлении дисками - 1 раздел 24 мб исправен (активен) файловая система винде не известна (UFS), 931 Гб не распределен.

P.S. DMDE сейчас скачаю посмотрю.

Добавлено:
Antech

Цитата:

Посмотрите что покажет DMDE в окне "Разделы".

Раздел основной Неизв. 24 Mib
Найден том System NTFS 129.9 Gib .BC первый сектор 63 последний 272 494 527
Найдем том $Vol05 NTFS 403.2 Gib .xC первый сектор 1 107 922 728 последний 1 953 520 064

Найден 1 и 3 разделы, второго нет.

99ando
Не знаю как работает инсталятор FreeNAS, но если ему нужен лишь один раздел (те самые 24мб) а остальное создаётся впоследствии, то можно предположить что два старых раздела (кроме первого) должны были бы остаться целыми и найдены DMDE.
И почему нет второго - вопрос.

Помните хотя бы примерно какие разделы (размеры) были и какова их очередность? Если да, попробуйте устроить поиск разделов задав в условиях границы области поиска, соизмеримо этим данным.
Как вариант, выложите содержимое 100 секторов начиная с 272 494 527 и 1 107 922 727
И окно разделы по возможности скриншотом.

Добавлено:
Antech

Цитата:

Вы засветились в DR-теме на Хоботе под ником goblin13 с дампом начала Ext-области

Если речь о http://forum.ixbt.com/topic.cgi?id=11:40963:1194#1194 и далее, то судя по скриншоту из http://forum.ixbt.com/topic.cgi?id=11:40963:1197#1197 (дампы уже не доступны) - ситуация не похожа на ту, что у sharky1984.
Самобичевание
Недоглядел что есть ещё проблема в http://forum.ixbt.com/topic.cgi?id=11:40963:1456#1456

Посоветуйте! Ноутбук HP 4515s. Стояла Suse 11 и винда XP. Восстанавливая сегодня Suse снес все разделы(случайно). Установку прервал на начальном этапе. Установщик успел сделать диск 9 гиговый и создать каталоги. Остальная часть жесткого(290 гигов) неразмечена. На утерянном логическом с виндой лежали бесценные доки. Посоветуйте программу чтобы вернуть раздел или хотя бы эти доки. Спасибо!

99ando

Цитата:

Установка нормальная с LivCD

Просто странно: второй и третий разделы вообще не должны быть задеты, а первый - как повезет, но если он форматировался Win XP и старше, то все кроме первых примерно 24 МБ (МиБ?) должно быть целым, включая MFT. Т.е. вообще полный in-place кейс. А тут какой-то нулевой размер... Это стремная хрень вообще-то, этот нулевой размер...

Сделайте Поиск NTFS в DMDE и покажите скриншот (текстом там не выйдет). Можно лог, но лучше скрин (вечером на ёжике у меня нет DMDE).

plus88
Пирамидон: DMDE => Разделы.

Antech

Цитата:

Вы засветились в DR-теме на Хоботе под ником goblin13 с дампом начала Ext-области (которого Вы тут не дали). Вы уже забыли про это, а я Вам там ответил.

Я ничего не забыл, вы знаете, хобот вчера не работал по техническим причинам, именно этот раздел
сегодня вижу все норм, также вижу ваш ответ классно что вы меня и тут узнали, хотя ничего сложного, проблема идентичная
Прошу прощения, к ноуту пока не смог достучаться, клиенту сказал ни в какие менеджеры не суйтесь, и ничего не форматируйте. Мб завтра смогу вам показать дампы и скрины. Но про партмагоидам вот не понял... Вроде винда стояла до этого заводская, разве они тоже пользуются сторонними программами для разметки? Потому что я на этом компе такого не запустил...

99ando

Цитата:

Найдем том $Vol05 NTFS 403.2 Gib .xC первый сектор 1 107 922 728 последний 1 953 520 064

А вы попробуйте в DMDE его открыть. Всё на месте?
В принципе, можете попробовать открыть и первый.

Хотя, если хочется всё покорректне найти, то надо обнулить 0-вой сектор, оставив лишь байты 55 AA в конце сектора, и открыть диск заново.

Добавлено:
sharky1984
Почитав сообщения, о которых упомянул Antech и увидев что тип раздела нормальный (07), и он логический, могу предположить что тип изменён для самого расширеного раздела.
Так что сбросьте дамп 0-го сектора.

Antech
9285
Огромное спасибо за участие в моей проблеме, только от вас узнал о DMDE.
Редактирование диска для меня темный лес, и надеюсь, что до этого не дойдет.

Запустил в DMDE поиск NTFS, и он нашел мои разделы, корректно их открыл с правильной меткой и структурой папок.
Попробовал востанавливать - вытягивает успешно.

Сейчас отсканировал только 17% диска (Томов отыскал 130, фрагментов MFT: 7947).

Вопрос, нужно ли сканировать весь диск для успешного вытягивания всех данных (есть файлы до 45 Гб - оцифровка семейного видео ), или можно остановиться и приступить к востановлению?

99ando
Твоя ситуация очень благоприятная, и два раздела должны восстановиться на 100%.
К чему вытягивание данных, если всё восстановится лишь правкой таблицы разделов?
И для этого не надо редактировать диск, а просто скинуть те данные, которые тебя просили - содержимое указаных ранее секторов.
И это нужно для гарантированого результата, особено в отношении второго раздела, о размерах которого пока можно догадываться лишь по предположениям о типовой разбивке (три первичных раздела, следующих друг за другом), и предыдущим данным о начале и конце разделов 1 и 3.

99ando
Покажите скрин результатов поиска. Укажите там нужные разделы в верхней таблице (или сделайте на картинке нарезку с нужными разделами, если они не влезают).

9285

Цитата:

тип изменён для самого расширеного раздела

Странно, что при этом не назначается буква.

Цитата:

Странно, что при этом не назначается буква

Если неизвестен тип раздела - какой смысл назначать букву?
Кстати, смоделировал ситуацию - расширеный раздел в диспетчере дисков ХР выглядит как основной (что вполне обьяснимо).

Antech

Цитата:

Покажите скрин результатов поиска.

9285

Цитата:

Как вариант, выложите содержимое 100 секторов начиная с 272 494 527 и 1 107 922 727

ни скрины ни файлы ни разу не выкладывал, на какой ресурс это лучше сделать?
содержимое секторов скопировал в формат *.ima

Добавлено:
результат поиска томов
разделы



Добавлено:
результат поиска томов Ссылка
разделы Ссылка



Добавлено:
сектора Ссылка
Ссылка

Всем добрый день! Такая проблема возникла.

Винт Hitachi HDT725032VLA360. Стояла ХР sp2 если не ошибаюсь. Года 1.5 все работало стабильно, потом поймал вирус какой-то, который грузил проц на 99% с самой загрузки винды. Вылечить не удалось, решил переустановить. Скинул все нужные данные на другой винт, предварительно подцепив Hitachi к другому компьютеру. Винт был виден, все благополучно скопировалось. Потом стал переустанавливать винду. При покупке этого винта возникла проблема с установкойна него винды (винт был SATA, а мать старая и не поддерживала SATA, был приобретен контроллер) Описание проблемы и конфигурация компа описана в топике http://forum.oszone.net/thread-110852-2.html.

Сейчас проблема следущая. Сначала при установке винды после копирования файлов и перезагрузки вылазил синий экран с ошибкой «Stop 0x0000007B». Подцепил винт обратно к другому компьютеру, винт был виден, инфа тоже (винт был разбит на 2 раздела, форматировал только раздел с системой), НО в Partition Magic`e винт был показан одним разделом и как BAD. При попытке форматирования при перезагрузке компа вылазила ошибка что-то вроди BADMBR, и форматирования не происходило. Причем при установке системы когда спрашивается в какой раздел ставить я форматировал винт и потом он показывал что один раздел и файловая система NTFS. Потом после многих неудачных попыток поставить систему (система не ставилась ни на первом системнике ни на втором) запустил консоль восстановления и сделал fixmbr. Теперь синий экран после копирования файлов не вылазит, а просто происходит перезагрузка компьютера в этом месте. И теперь при подключении к рабочему системнику винт физически виден, смарт показывает что он в отличном состоянии, но зайти на него не получается. Partition Magic все также показывает один раздел BAD.


Что это можт быть и что с этим делать?

Заранее благодарен за советы!

99ando
Сорри, но iFolder - помойка. "Скачать файл" вообще не кликабельно, и вообще сакс. Сейчас наиболее удобно для дампов sderni.ru, rghost.ru.
По скринам. Не ахти. Разделы на месте, но у второго нет бутсектора, у третьего - возможно, тоже. Перезалейте дампы и покажите лог поиска. По скринам не видно начальных секторов MFT, а иначе не слепить бутсекторы.
И очень странно для установщика что-то делать с бутсекторами второго и третьего разделов, очень странно...
На всякий случай: патч MBR. DMDE - Копировать секторы. Источник - файл, Приемник - диск. Первый сектор 0, число секторов 1. После перезагрузки будут три раздела, но второй и третий без бутов открываться, естественно, не будут.

kmc400h
У Вас на другом винте инфа сохранилась, так что тут это оффтопик.
Magic Boot Disk - MHDD - CLRMBR. После этого устанавливайте Винду, и никаких сторонних прог для разделов не используйте.
SMART таки стоит показать.

Antech

скрин управление дисками


скрин разделов DMDE


дамп с 0 по 100 физического драйва

а также SMART

Antech

Цитата:

Перезалейте дампы и покажите лог поиска.

дампы и log (упакован 7z)
Ссылка
Ссылка
Ссылка

sharky1984
Ответил на Хоботе.

99ando
На винте отвратительный расколбас и разделы форматили партмагоидом, но вот бутсекторы вполне могут быть живыми. У второго раздела бут на месте, у третьего - не попал в дамп (дамп мы заказывали еще до поиска, и я забыл указать новый начальный сектор, поэтому настоящий бут третьего раздела не в дампе). Пишите мой патч из предыдущего сообщения и сомтрие что будет. Чекдиск на исправление не разрешайте.

sharky1984
Antech уже дал ответ на хоботе, и чтобы было понятнее дальнейшее я его продублирую здесь.


Цитата:

Да, действительно просто тип раздела в MBR нагнулся. DMDE - физический - Escape - Ctrl+E - смените тип второго раздела (если надо, то и четвертого тоже) на 0F, Ctrl+W, перезагрузка.

Я бы посоветовал пока не менять тип 4-го раздела. Судя по всему (а особено по присутствию аббревиатуры EFI), это какой то служебный раздел производителя и не знаю к каким последствиям может привести смена его типа.
Если же, наоборот, какой то функционал не действует, то тогда бло бы неплохо посмотреть у владельцев подобных ноутбуков структуру и тип разделов и сделать аналогично.

Добавлено:
Antech
По поводу ситуации 99ando, если интересно.
Смоделировал её. Инсталятор просто записывает данные в первые 50000 секторов, причём в PT данные о разделе находятся в четвёртой записи и смещение 0 секторов.
Всё остальное на месте.

9285
Thx.
Как оказалось, DMDE несколько промахнулась с быстрым поиском разделов. Похоже, бутсекторы на месте.

Antech

Цитата:

Как оказалось, DMDE несколько промахнулась с быстрым поиском разделов

Личная практика показывает что DMDE не очень хорошо работает с не 63-секторной разбивкой.

Antech

Цитата:

DMDE несколько промахнулась с быстрым поиском разделов. Похоже, бутсекторы на месте.

Раздел был найден не быстрым поиском, поэтому бутсекторы не проверялись.

9285
Что Вы называете 63-секторной разбивкой? Отсутствие выравнивания разделов по 63-секторным блокам? Подскажите, из личной практики, какие при этом встречаются зазоры между разделами?

Antech
Еще раз большое вам спасибо за внимание и потраченное на меня время.
После патча все 3 раздела на диске появились и доступны.

А установочный диск Win7 отремонтировал загрузку и все работает как и прежде, УРА!!!

Для создания разделов и форматирования я использую Acronis - из вашего поста я понял, что это не лучший вариант.
Подскажите чем наиболее правильно разбивать диск на разделы?

dmde

Цитата:

Раздел был найден не быстрым поиском, поэтому бутсекторы не проверялись

Не, речь именно о скрине быстрого поиска.

99ando

Цитата:

чем наиболее правильно разбивать диск на разделы?

По-моему, это уже знают все. Управление дисками.

Antech

Цитата:

Не, речь именно о скрине быстрого поиска

Если это то, что в оригинале называется окно "Разделы", то оно показывает не только результаты быстрого поиска. Если это что-то еще, то я, видимо, отстал от жизни...

dmde
А, я не знал о такой фиче...
Но вроде как это был скрин еще до запуска поиска? Сейчас посмотрел: был вначале текст, потом скрин. В тексте было вот что:

Цитата:

Найден том System NTFS 129.9 Gib .BC первый сектор 63 последний 272 494 527
Найдем том $Vol05 NTFS 403.2 Gib .xC первый сектор 1 107 922 728 последний 1 953 520 064

Т.е. второй раздел был найден, а вот третий - без бута. Нет, ну я не возмущаюсь, я понимаю что там несколько бутсекторов было и они сбили с толку прогу, все-таки у нее же нет мозга и она не анализирует как человек.