» Восстановление разделов и информации на HDD (часть 4)

Antech

Скачал Bootit NG. Загрузился с флешки. Передвинул в MBR записи вида 0000... вниз к концу, их 2, одну сделал Hidden, 2-ую Extended. Винда стартанула. Кроме C виден раздел D, но не открывается.

Diskinternals NTFS Recovery увидела, просканировала и даже позволяет монтировать, благо фрагментации не было. Вроде всё цело.

WinHEX не запустился (в диспечере задач есть, но окошка нет) то ли из-за Вин7, то ли из-за бардака в MBR. Сделал в HEXEditor NEO первые 51200 байт физ. диска - http://slil.ru/27990445

Прошу помощи у Вас, так как данные-то все целые. Дело-то в паре циферок.

boy999
Спасибо

Цитата:

Victoria API, режим PIO. Кнопочка RHPA, затем HPA. Работает. Проверил, блин, теперь иду на перезагрузку, чтобы исходный размер вернуть

ВИКА - хорошо, а хард к маме подключать или на контроллере!?

Antech

Цитата:

теперь иду на перезагрузку

Возвращайтесь скорее Я боюсь, мой знакомый все остальное затрет)) Надо ли ему сделать какие-нибудь тесты -Викторией или MHDD ? Я ему пока сказал, чтобы не трогал комп вообще и новый хард искал для снятия инфы. А чем ему пытаться восстанавливать в таком случае? Я думаю начать с GetDataBack, потом R-stydio. И easyrecovery попробовать -там, вроде, опция была "восстановление после форматирования" -и неплохая, говорят, прога. Или есть лучший вариант в данном случае? Надо ли предоставить какие-то доп. сведения о проблеме?

boy999
Я поимел некоторый гемор с HPA . Тестовый винт Samsung SP2514N. Виктория установила HPA нормально (уменьшил объем в 10 раз), а вот вернуть исходный размер... Мало того, что RHPA возвращала 137 ГБ (хотя у меня нет проблемы LBA-48), так даже и эти 137 ГБ не возвращались (ошибка, try to repower как обычно). Естественно, делалось все после перезагрузки. Виктория 3.3 для DOS зависла при определении доп-контроллеров (у меня второй винт на JMicron). В результате я опоздал на электричку , но исходный объем был возвращен Hitachi Feature Tool (прога просто оказалась под рукой на Hiren's CD и успешно нашла винт на JMicron).


Цитата:

хард к маме подключать

Да, лучше к маме. Но, ввиду моего опыта, лучше Feature Tool опробуйте, хотя можно и Victoria вначале попытать.

Aleks267
Да там все запущено, я поэтому и не отвечал, т.к. стандартно в данном случае GetDataBack/R-Studio/RecoverMyFiles/EasyRecovery, а in-place не при делах. Проги эти недеструктивные и посоветованы уже 1001 раз, и какой смысл писать (N+1)-й?

a111rtur

Цитата:

Передвинул в MBR записи

Гениально. Зачем я Вам писал, что нужно делать? Чтобы потом Вы сделали неправильно? Ну ладно, решили поправить MBR, это понятно. Но перед этим надо читать www.akina.hop.ru/mbr.php3 и делать грамотно. Теперь вместо исходной MBR в секторе 1 имеем результат Вашего художества и отсутствие бэкапа MBR до Ваших изменений. Вы не ищете легких путей...
В общем, на данный момент в MBR вот что. Первый раздел NTFS (реальный, проверено по бутсектору) записан в PT Entry №2. Элементы 3 и 4 в таблице - это глюки. До Вашего исправления, вероятно, это были разделы с типами 05 и 0F (Extended), первый из них приводил к зацикливанию недостаточно умных ОС от Микрософт (за столько лет не смогли такую фигню исправить), потому что смещение у обоих разделов нулевое, что приводит алгоритм парсера обратно в MBR (стандартный партмагоидный глюк №1 с PT). Элемент №1 в таблице срдержит какой-то NTFS раздел, явно не второй: смещение у него 0C :: :: ::, а размер первого 03 :: :: ::. Так что давайте посмотрим дамп 100 секторов, начиная с 62187615. Где-то там должен начинаться второй раздел.

Господа, очень прошу помощи:
имеется самсунг 60 гигов, разбит на 2 части, 16Гбт и всё остальное, обе FAT32
После небольшой чистки харда комп у юзера не загрузился, с его слов после удаления каких то файлов из корня диска С. Я извлек хард, подцепил к своему компу, вижу все папки и файлы, но некоторые имена исковерканы или обрезаны, как будто из под доса смотрю. В некоторые папки не пускает, практически ни один файл не открывается, а если и открывается, то с белебердой. Нужно вытащить фотки, больше ничего не нужно. Пробовал GetDataBack, файлов нашел море, но 99% битые, хотя на диск сверху ничего не записывалось.
R-Studio дало тот же эффект, все файлы видит, видит их размер, дату создания, но фото не отображает.

Цитата:

и какой смысл писать (N+1)-й?

ну смысл простой -в подтверждении моего мнения. Я ж не профи все-таки, а вдруг чего запорю или выберу далеко не лучший вариант последовательности действий. Это во-первых. А во-вторых, возможно в этом случае есть какая-то прога, хорошо помогающая восстанавливать именно после переформатирования. А еще я просто помню, что вы спец по разделам (что к чему писали) -я и подумал, может что новое посоветуете
А так, понятно, что запись нового поверх старого сильно осложняет восстановление.


Цитата:

in-place не при делах

переводится как "уже сдвинули" (идиоты )?

Спасибо, будем пробовать вышеперечисл. проги, а потом отпишусь про результат. И спрошу про "деструктивные" проги, т.к. все равно уже чем там сканить. В ремонт он не понесет, но хотя бы личную инфу какую снимет, фотки хотя бы. Интересно было бы почитать про эти самые сильные проги -у меня мало представления о них.

Цитата:

Цитата: Передвинул в MBR записи

Гениально.

>>Victoria API, режим PIO. Кнопочка RHPA, затем HPA. Работает. Проверил, блин, теперь иду на перезагрузку, чтобы исходный размер вернуть...<<
Потом ещё нажал на "EXP passport", результат на скринах.


Не срослось!?

MHDD попробовать!?
Я сделал дискету.
Что с ней делать!? Грузиться!?

Aleks267

Цитата:

Интересно было бы почитать про эти самые сильные проги

Сильные это какие? Деструктивные? Так они не сильные или слабые, они записывающие (TestDisk, Acronis Recovery Expert и т.п.). Но это для простых случаев, у Вас другая задача: скопировать как можно больше из того, что не затерто.


Цитата:

думал, что так он определится

Вообще-то он должен определяться и открываться. Но это потом, вначале таблица...


Цитата:

От Д было отрезано ~35Gb

Oh my god. Вы бы сразу об этом сказали, это вообще пинцет. Хорошо еще, если отрезание прошло успешно.

Теперь о дампах и патчах... В секторе 62187615, как и следует ожидать, AMBR. Один раздел NTFS 73 ГБ (бутсектор на месте +63 сектора, хотя размер немного меньше табличного, но это не критично), другой раздел - в лепешку: смещение ноль и размер 7D82h сектора, что есть явный бред.

Итак, что известно сейчас:

Раздел 1:
Начальный сектор: 63
Конечный сектор: 62187614
Размер: 62187552

Раздел 2:
Начальный сектор: 62187615
Конечный сектор: 204780490 (по бутсектору)
Размер: 142592876 ( по бутсектору)

Раздел 3:
Неизвестно.

Теперь нам надо найти начало третьего раздела. У нас два кандидата: по таблице и по бутсектору. Пожалуйста, дампы по 100 секторов, начиная с секторов 204780491 (начало по бутсектору) и 204812685 (начало по таблице). Как делать дамп Вы знаете...

boy999
Воспользуйтесь Hitachi Feature Tool (FTool) с компакта Hiren's Boot CD. Это в меню HDD Utilities (во время загрузки). Прога простая, найдете там Set capacity... Можно и MHDD (Magic Boot Disk) попробовать, там команды RHPA и NHPA. Не забывайте, что задать размер можно только один раз за power session, т.е. для повторного задания размера надо перезагрузиться или переподключить питание винта.

Antech
Можешь как то прокомментировать мой пост в конце предыдущей страницы?
Заранее благодарен!

Цитата:

Цитата: От Д было отрезано ~35Gb

Oh my god. Вы бы сразу об этом сказали, это вообще пинцет. Хорошо еще, если отрезание прошло успешно.

Nikola2009
Не знаю, в чем проблема. Похоже, что-то очень плохое с FAT'ом произошло (если на одном уровне есть и нормальные каталоги, и с глючными именами).
SMART, результаты сканирования?
Скриншоты (из Total Commander) содержимого корневого каталога и одного из подкаталогов?

a111rtur
ОК, размер из таблицы хотя бы указывает на бутсектор, и начало раздела правдоподобно. Патч MBR здесь. DMDE - Физический диск - Сервис - Записать в секторы файл (патч). Первый сектор 0, Число секторов 1 (текущее состояние Вашей MBR у меня есть, так что смело пишите патч). Перезагрузитесь и проверьте. Не допускайте Чекдиск при перезагрузке!!! Для разделов, которые не откроются после перезагрузки, покажите:
1. Результат chkdsk.exe БукваРаздела:
2. Дамп 100 секторов, начиная с сектора 6291456 (разделы 2 и 3) либо сектора 32 (раздел 1) от начала раздела (начальные сектора разделов найдете в MBR).


Цитата:

E я хотел сделать Primary и FAT32 в Парагоне

Если восстановление MBR не поможет и GetDataBack/аналоги не помогут, то с именами файлов и фрагментированными файлами Вы можете попрощаться. Будет куча мусора типа файлов FILEXXX.JPG (многие из которых не открываются), предназначенная для ручного разгребания долгими осенними и зимними вечерами. Теперь Вы понимаете, почему Парагон Менеджер и Партмаг - лидеры среди программ для уничтожения инфы? Таблица разделов - это просто детский сад (ясельная группа) по сравнению с "отрезанием" и "приклеиванием".

Antech
Спасибо огромное, сейчас будем пробовать.


Цитата:

и GetDataBack/аналоги не помогут

Я же говорю, DiskInternals уже сейчас монтирует D в девственном виде. R-studio Emergency да, имена xxxx и folderxxx всякие выдаёт.


Цитата:

Таблица разделов - это просто детский сад (ясельная группа) по сравнению с "отрезанием" и "приклеиванием".

Я отрезал от свободного места на Д, так что отрезанным можно вообще пренебречь.

Еле нашел Ftool в Hiren's 9.8.
Куда там нажимать!?

На ДА!?

Antech
Появились D и E, но при попытке открытия:
"Прежде, чем использовать диск в дисководе D/E. Его нужно отформатировать.
Форматировать?"

chkdsk d:
Тип файловой системы: NTFS.
Не удается прочитать первый загрузочный сектор NTFS.
Попытка чтения второго загрузочного сектора NTFS.
Невозможно определить версию тома и его состояние. Работа CHKDSK прервана.

chkdsk e:
Тип файловой системы: RAW.
CHKDSK недопустим для дисков RAW.

В MBR (из DMDE):
Размер Начало дапм от начала раздела дамп сектора 6291456 от начала раздела
1. 29.65Gb 63
2. 68.01Gb 62187615 http://slil.ru/27993096 http://slil.ru/27993117
3. 1.27Tb 204812685 http://slil.ru/27993104 http://slil.ru/27993124

Antech

Цитата:

Не знаю, в чем проблема. Похоже, что-то очень плохое с FAT'ом произошло (если на одном уровне есть и нормальные каталоги, и с глючными именами).
SMART, результаты сканирования?
Скриншоты (из Total Commander) содержимого корневого каталога и одного из подкаталогов?

Спасибо. Сделаю в воскресение, раньше до компа не доберусь.
Я вот что подумал, ведь это произошло сразу на двух дисках, C и D, при чем тогда здесь файловая система? И ещё на компе была куча вирусов, могли они постараться? Возможно всё началось с того, что хозяин компа удалил из корня С один из файлов вируса.

вот три репорта:
http://nomera.ctocopok.ru/smart/1000.txt
http://nomera.ctocopok.ru/smart/120.txt
http://nomera.ctocopok.ru/smart/250.txt

У 120 и у 1000 параметр "199 UltraDMA CRC Error Count" помечен желтеньким и в RAW стоит значение, отличное от нуля.
У 1000 еще и "005 Reallocation Sector Count" в единичке.

О чем это мне говорит? Винты мрут, или это претензии к контроллеру HDD на материнке?
А также вопрос, винты умерли УЖЕ, или еще не поздно заменить новыми аналогами?

Мне на ДА, нажимать!?

А!?

Nikola2009

Цитата:

это произошло сразу на двух дисках, C и D, при чем тогда здесь файловая система?

Было и на трех разделах одновременно, и файловая система была очень даже причем (глюк был другой, но одновременно) - и, кстати, в том кейсе in-place не получилось. Это происходит элементарно: Винда сливает кэши ФС и, например, глюк шлейфа винта. В результате, если сливались кэши двух разделов, то и испортятся оба раздела.
Вирусы могут быть причиной, хотя и маловероятно (сейчас такие редко встречаются), но могут.

boy999
Будьте терпеливы, не все же целый день в инете торчат.
Введите Max LBA из окошка сверху (под цифрой 1000) и жмите ОК.

ToppeaDop

Цитата:

UltraDMA CRC Error Count

Шлейф, питание, разгон, ATA контроллер, сам винт.


Цитата:

Reallocation Sector Count

Сам винт, питание, вибрации, перегрев. Raw = 1 не критично, хотя и неприятно.

a111rtur
Блин, это я ошибся (забыл прибавить AMBR + 63 сектора). Вот исправленный патч.

Antech

Уф, нет слов, как я Вам благодарен!! Есть диск Д.

А ничего страшного вот в этом:
"chkdsk d:
Проверка файлов (этап 1 из 3)...
0% выполнено. (обработано файловых записей: 0 из 102320)
Запись атрибута (128, "") в сегменте записи файла 1
повреждена.
Обработано файловых записей: 102320.
Проверка файлов завершена.
Обработано больших файловых записей: 6.
Обнаружены ошибки. Продолжение работы в режиме только чтения невозможно."
Файл 1 это что?

ToppeaDop
У меня 31000340AS полежал пару месяцев без дела. Подключил, тоже "Reallocation Sector Count в единичке". Ну и 2 недели потом проработал. Reallocation Sector Count не увеличивалась. Так что так. Правда, когда совсем сыпался, успел всё важное оттуда забрать.

Antech
спасибо.

*возможно*, это был испуг, возможно, накопленные ошибки то ли памяти, то ли контроллеров на материнке... гонял-гонял тесты, в итоге обработал несколько разделов CHKDSK и полегчало. из важных данных ничего не пропало, и я тому рад.

настраиваю систему резервирования важнейших данных, и на том успокаиваюсь.

в резерве лежит 500-гиговы WD Green. может, на него перелезу.

Цитата:

Введите Max LBA из окошка сверху (под цифрой 1000) и жмите ОК.

Не разобрался я в вашей инструкции.
Может в MHDD попробовать?
Там на фотке2 тока ДА, нажать и всё!?




Добавлено:


Здесь тока ДА нажать!?

Antech

Цитата:

timsky
У MBR нет бэкапа/зеркала, а Partition Magic надо просто переместить в мусорное ведро - вот и вся любовь.
Если Вы сами правили таблицу, Вы ведь лучше всяких программ знаете, правильные у Вас размеры разделов или нет.

Ну лучше программ не знаю, но как устроен хард немного знаю. Разделы всегда бью определенным образом, не оставляю огрызков в конце и начале диска.
Так как все правки делал в Syamntec Partition Table Editor (PTEDIT32.EXE), то опишу, что было и что я сделал. Вот скрин текущего состояния:


Первый и второй разделы не трогал.

На третьем в графе Before было 83885760 - так и оставил.
В графе Sectors было 251672400, но нажав на кнопку Boot Record увидел, что Total NTFS Sectors равен 251658287 и по аналогии с первыми двумя разделами добавил один сектор и в графу Sectors на главном окне вбил это число: 251658288. Т.е. увеличил 3-й раздел на 14112 секторов. Причем сумма смещения и кол-ва секторов как раз соответствовала смещению следующего раздела: 335544048

На четвертом диске сделал то же самое, т.е. Before не трогал, а кол-во секторов увеличил на 12096 также, как и в предыдущем случае: было 641238192 - стало 641226096

С того момента ХР и Вин 7 без проблем видят все диски и скандиск ошибок не видит. Меня смущает то, что теперь Partition Table Doctor выдает вот такую ошибку для разделов 2 и 3:


и вот такие ошибки для разделов 3 и 4 соответственно:


Если ошибки не править, то прога запускается, но в упор не видит второй и четвертый разделы! Вот скрин:



То же самое было до моей ручной правки таблицы разделов.
Плюс если я пробую Rebuild Partition Table, то не может найти 4-й раздел опять же, как и до моих правок:




Партишн меджик ругается вот так:


И после того как я отказываюсь это поправить - вылетает с ошибкой, что не может определить букву диска.

Вот и терзают меня сомнения, что я не все пофиксил. Где-то что-то осталось... может подскажешь, что я не так делаю?
А еще некоторые утилиты говорят, что секторов на диске 976767120 (64601 цилиндр, 240 головок и 63 сектора на трек), а Виктория под винду говорит, что секторов 976771055 и Paragon Partition Manager тоже. Он выдает это:

Цитата:

Basic Hard Disk 0 (SAMSUNG HD501LJ)
Total size: 465.7 GB
500 106 780 160 Bytes
976 771 055 Sectors

Cylinders: 0xFC59(64601)
Heads: 0xF0(240)
Sectors per track: 0x3F(63)

Вот на всякий скриншоты бут рекордов всех 4-х разделов из PTEDIT32.EXE:
[more]


[/more]

Что за хрень.. неужели настолько корявый софт? Думаю, что я что-то недоковырял по незнанию...

Цитата:

Сделайте NHPA в MHDD (перед подачей команды переподключите винт).

А как понять: переподключите винт!?

boy999
Насколько я понимаю, передернуть питание...

Добавлено:
ищи HPA - там об этом неплохо расписано:
http://hdd-911.com/index.php?option=content&task=view&id=27&Itemid=27
http://hdd-911.com/index.php?option=content&task=view&id=31&Itemid=27

нажал на NHPA и мне такой вопрос выдвинули:



Я ничего не стал делать, тока резетнул.

А что надо было!?

a111rtur

Цитата:

Файл 1 это что?

Это $MFTMirr, а атрибут 128 - это 80h DATA (там указано расположение MFT Mirror). Конечно, испорченная запись $MFTMirr - ничего хорошего, но и ничего серьезного. Вы можете пустить chkdsk.exe /f. Если проблема только в $MFTMirr (99% что так), все пройдет успешно. Если не только, то могут быть неприятности. Поэтому, если Вы не уверены, лучше скопировать сейчас самое важное с раздела (если не открывается - R-Studio - Open drive files).

boy999
В Feature Tool в окне задания размера у Вас вверху, под цифрой 1000, написано количество секторов. Измените режим ввода (в том же окне change mode или типа того) и введите указанное число, затем ОК.
В MHDD надо было ввести Y.
Вы не пробовали хотя бы немного почитать про HPA?

timsky

Цитата:

лучше программ не знаю

Acronis. Но он все равно опасен при крамсании разделов, потому что сама физика (точнее, логика) проделываемых при этом операций опасна для инфы. А чтобы создать/удалить/отформатить раздел, достаточно Управления Дисками. Плюс, есди форматить левыми прогами (включая Акронис), с большой вероятностью получите MFT близко к началу раздела со всеми вытекающими.
Что касается разделов. Правило очень простое: размер раздела в таблице должен быть равен размеру в бутсекторе или больше него, но не меньше. Разумеется, начальный сектор раздела должен указывать на бутсектор. Если у Вас это выполняется, оставьте винт в покое.

Цитата:

размер раздела в таблице должен быть равен размеру в бутсекторе или больше него, но не меньше. Разумеется, начальный сектор раздела должен указывать на бутсектор.

Судя по всему Total NTFS Sectors и есть размер раздела. Спасибо

Antech

Цитата:

Это $MFTMirr, а атрибут 128 - это 80h DATA (там указано расположение MFT Mirror). Конечно, испорченная запись $MFTMirr - ничего хорошего, но и ничего серьезного. Вы можете пустить chkdsk.exe /f. Если проблема только в $MFTMirr (99% что так), все пройдет успешно. Если не только, то могут быть неприятности. Поэтому, если Вы не уверены, лучше скопировать сейчас самое важное с раздела (если не открывается - R-Studio - Open drive files).

Что-то боязно. Копировать всё это добро пока некуда (( В Vmware диск, видимо, перестраивается, если есть MFT хоть какая-нибудь на оном, т.к. там chkdsk со свистом проходит. Надо бы сначала проверить. Есть ли какая-нибудь тузла, чтобы посмотреть, какие ещё файлы, акромя $MFTMirr имеют invalid'ные адреса? И писать-то можно теперь на него, не усугубится?
Encase из Варезника мне штук 5 показала, но там мелочь всякая...

ПС. Ещё раз СПАСИБО, блин! ))