» Восстановление разделов и информации на HDD (часть 5)

TaxEskeldy
Восстановление возможно, но в какой мере не могу даже предугадать.
И это без каких либо гарантий.
Вообще, в случае проблем чуть больше элементарной не вижу смысла в восстановлении системы (за исключением некоторых случаев). Под некоторыми случаями имеются в виду системы, в которых использовалось ифрование данных, или например польователь не помнит пароль от очень важного ящика (а он есть "в памяти" браузера). Вобщем то случаи, когда восстановление системы целесообразно. И даже в этом случае, после получения необходимых данных систему можно и переустановить.

В том то и дело что у меня на этом компе был зашифрованный диск...
пусть будет без гарантии, но хуже чем есть я надеюсь уже не будет ??? что нужно сделать для восстановления ? Можете дать пошаговую инструкцию ???

TaxEskeldy
Вам 9285 сделает патч MFT и раздел будет работать (потеряется часть файлов), вот только с зашифрованным диском не ясно. Он был в файле-контейнере или как отдельный раздел? Судя по Вашему лписанию было только 2 незашифрованных раздела.
Что касается потерянных файлов, то это будут те файлы, которые были записаны на раздел самыми первыми. Например, если там была Винда (установленная на пустой диск/раздел), то это будут файлы Винды.

TaxEskeldy
Зашифрованный диск может быть разным. И самой виндой и какой то другой программой (в этом случае может быть файл-контейнер). И без этих "мелочей" сложно о чём то говорить. Может и не надо винду восстанавливать, а достаточно выудить контейнер и подмонтировать его в новой системе.
Ну а что касается плана - сделать "протез MFT" и в таком виде подсунуть раздел на проверку чекдиску. Глядишь, поправит чего то и посчитает пригодным к службе. А может сделать и хуже чем было. Поэтому в таких случаях без посекторной копии рисковано что либо делать.

Добавлено:
Antech
Нет желания опередить меня?

9285

Цитата:

Нет желания опередить меня?

Есть, но не хочу Вас обидеть. Я знаю, что Вам может не понравиться, что я перехвачу кейс.
Кроме того, там ведь у нас 2 основных фрагмента MFT? И вот второй фрагмент, который начинается с записи 130480, есть в двух вариантах, для каждого из них начало раздела в одном и том же секторе определяется. Так что тут непонятка. Можно использовать первый вариант, т.к. там 400+ тысяч записей против 300 с лишним у второго, но кто знает...

Да и именно сейчас я все равно не смогу патч сделать, время заняться своей расчетной прогой: интерфейс там по объему... ну как вот этот список фрагментов MFT .

Цитата:

Вам 9285 сделает патч MFT и раздел будет работать (потеряется часть файлов), вот только с зашифрованным диском не ясно. Он был в файле-контейнере или как отдельный раздел? Судя по Вашему лписанию было только 2 незашифрованных раздела.

это был файл контейнер созданный программой Acer eDataSecurity Management


Цитата:

Что касается потерянных файлов, то это будут те файлы, которые были записаны на раздел самыми первыми. Например, если там была Винда (установленная на пустой диск/раздел), то это будут файлы Винды.

а есть такая возможность узнать какие именно файлы окажутся потерянными и в каком колличестве будет утеряна информация ??? и будет ли нормально грузиться восстановленая таким образом винда с диска с пофиксеным MFT ???

Цитата:

это был файл контейнер созданный программой Acer eDataSecurity Management

Про такую программу знаю, но как она работает - нет.

Возможности узнать нет. Тем более что MFT позволяет делать записи вместо удалённых.
И если вдруг была удалена какая то запись в начале, а после этого был создан тот самый контейнер, то его запись может быть потеряна. Шанс ничтожный, но не исключён.
Что касается загрузки, то тоже миллионы вариантов. Если отсутствует svchost.exe (или нечто подобное), то проблемы будут но решаемы, если пропадут обои или текст еулы то вообще не проблема, но вот если файлы реестра, то тут ещё с миллион вариантов.
Да даже если записи о всех важных файлах есть, но программа восстановления успела записать малость байтиков в файл-контейне, то что толку от запуска системы?
Имено поэтому и писал про нецелесообразность (в простых ситуацих) восстановления системы, и про отсутствие каких либо гарантий.

Antech
Могу заверить что не обижусь. Вообще непонятно, разве я дал повод думать что могу за такое обижаться?

Здравствуите,помогите новичку, - жесткий диск,вероятно одна из четырех головок повреждена ,так же на харде много БАД-блоков,и нарушены разделы(R-Studio показывает) - что лучше всего подоидет чтоб считать с него информацию (возможно30-40% инфы будет потеряно) ?

спсибо

Цитата:

Здравствуите,помогите новичку, - жесткий диск,вероятно одна из четырех головок повреждена ,так же на харде много БАД-блоков,и нарушены разделы(R-Studio показывает) - что лучше всего подоидет чтоб считать с него информацию (возможно30-40% инфы будет потеряно) ?

По своему горькому опыту могу предположить что лучшей программой для восстановления данных будет GetDataBack. Есть версия для NTFS и для FAT.

Добавлено:
Уважаемые гуру (Advanced Member), данные с раздела я закачал на внешний носитель, и теперь хочу с Вашей помощью попробовать восстановить MFT системного диска в познавательных целях ради получения бесценного опыта. Не откажите в помощи, объясните ПОШАГОВО, как можно восстановить систему в прежнем виде??? Возможно есть несколько вариантов восстановления, если можно, то расскажите про каждый...

zxzxzx22
Почему решил что проблема с головкой?

TaxEskeldy
Тебе нужно, всего лишь навсего, восстановить прежнюю первую запись MFT.
Ну а раз тебе нужен бесценный опыт, то штудируй эту и все предыдущие темы - в них обо всём этом написано много раз.
Потом натравить на это чекдиск и молиться за то, чтобы он не напортачил. После этого запустить ОСь и смотреть что будет происходить. Дальше вариантов огромное множество.
И ещё насчёт вариантов - есть и ещё один таковой, только в том плане что есть два фрагмента (об этом уже писал Antech) MFT c одинаковыми начальными записями. И какой из них актуальный нельзя сказать гарантировано.

Кстати, смущают некоторые записи в нынешней (?) MFT. Вроде она создана 18 ноября, а есть записи о контрольных точках и самом каталоге SVI датированные следующими днями. Тот же корневой каталог - 20 ноября. То ли уже пошла работа с этим разделом (возможно что после исправления чекдиском), то ли это старые записи. Сейчас как этот раздел видется в системе - RAW или в него можно зайти?

TaxEskeldy
DMDE - Копировать секторы. Источник - файл MFT-M.img, приемник - физический диск. Первый сектор 16524861, число секторов 2. Покажите что после этого скажет Чекдиск без /f. (Патч проверен. Это вариант со вторым фрагментом, включающим больше записей, т.е. который идет раньше в списке)
Не допускайте автозапуск Чекдиска на исправление при загрузке!!! Будьте внимательны!!! Сам патч не повредит, но Чекдиск /f может подгадить.

Цитата:

Тебе нужно, всего лишь навсего, восстановить прежнюю первую запись MFT.

Можете пошагово объяснить как и с помощью каких средств это сделать?


Цитата:

Ну а раз тебе нужен бесценный опыт, то штудируй эту и все предыдущие темы - в них обо всём этом написано много раз.

Многое уже прочитал, и многое еще предстоит прочитать, но времени в данный момент на это нет, нужно скорее восстановить комп, т.к. это рабочий компьютер, т.е. стоит у меня на работе. а установить и настроить заново все программы и потом подмонтировать восстановленные данные в них, так на это уйдет много времени, поэтому и прошу Вашей помощи восстановить систему в прежнем виде.


Цитата:

Кстати, смущают некоторые записи в нынешней (?) MFT. Вроде она создана 18 ноября, а есть записи о контрольных точках и самом каталоге SVI датированные следующими днями. Тот же корневой каталог - 20 ноября. То ли уже пошла работа с этим разделом (возможно что после исправления чекдиском), то ли это старые записи. Сейчас как этот раздел видется в системе - RAW или в него можно зайти?

Система слетела в пяницу 18.11.2011 примерно в 10-11 утра, а записи о контрольных точках были созданы скорее всего тогда когда я подключил этот винт на другой компьютер. Раздел в састеме просматривается нормально, скриншот здесь http://zalil.ru/32108901

Добавлено:

Цитата:

Не допускайте автозапуск Чекдиска на исправление при загрузке!!! Будьте внимательны!!! Сам патч не повредит, но Чекдиск /f может подгадить.

каким образом можно не допустить автозапуск Чекдиска на исправление при загрузке??? или он по умолчанию и не должен запускаться ???

TaxEskeldy - спасибо попробую,вот думаю имеет ли мне смысл грузиться специально с загрузочного CD(как написано вначале темы) или нет...,наверно нет так как дефекты технические(БАД-блоки) а не програмные

Цитата:

вот думаю имеет ли мне смысл грузиться специально с загрузочного CD(как написано вначале темы) или нет...,наверно нет так как дефекты технические(БАД-блоки) а не програмные

просто прицепи этот диск как "slave" к другому компу и прогони его через GetDataBack.

Цитата:

просто прицепи этот диск как "slave" к другому компу и прогони его через GetDataBack.

да я так и сделал- выбрал там свой жесткий диск и нажал кнопку "Далее", но программа говорит что какие-то ошибки,я нажимаю "Продолжить",затем еще и еще и потом выдает что нинайдено ниодной фаиловой системы и на этом все(хотя GetDataBack, уменя версия и для FAT + NTFS),-скрин:

http://s57.radikal.ru/i158/1111/7e/5a348b3097ef.jpg
может другая прога нужна..

TaxEskeldy

Цитата:

каким образом можно не допустить автозапуск Чекдиска на исправление при загрузке?

Когда появится сообщение Чекдиска на экране, нажать any key.


Цитата:

Раздел в састеме просматривается нормально

Вот этот "F" на скрине - это оно? Тогда плохо. Туда многое успело записться.

Antech

Цитата:

Вот этот "F" на скрине - это оно? Тогда плохо. Туда многое успело записться.

Да это оно и есть... тот самый раздел который слетел. Неужели все так плохо ??? мне стОит попробовать реанимировать систему так как Вы предложили ???

Цитата:

DMDE - Копировать секторы. Источник - файл MFT-M.img, приемник - физический диск. Первый сектор 16524861, число секторов 2. Покажите что после этого скажет Чекдиск без /f. (Патч проверен. Это вариант со вторым фрагментом, включающим больше записей, т.е. который идет раньше в списке)
Не допускайте автозапуск Чекдиска на исправление при загрузке!!! Будьте внимательны!!! Сам патч не повредит, но Чекдиск /f может подгадить.

Добавлено:
zxzxzx22
Можешь еще попробовать программу Partition.Find.and.Mount.Pro позволяет монтировать нечитабельные диски в систему и считывать с него данные...

zxzxzx22

Цитата:

вероятно одна из четырех головок повреждена

Тогда самостоятельно Вы ничего не сделаете. Как я понял, о DR-фирме речь не идет, так что выбросьте этот винт...

Вы диагноз откуда взяли? Можно характерный скрин из HDDScan/Victoria, подтверждающий голову?

Добавлено:
TaxEskeldy

Цитата:

Можешь еще попробовать программу Partition.Find.and.Mount

Если у него голова, то какой смысл? И в любом случае, если есть значительные повреждения поверхности или дохнущая голова (но еще читающая), и нужно восстанавливать большую часть инфы, надо вначале делать посекторную копию. Нельзя экспериментировать с рекаверилками.


Цитата:

тот самый раздел который слетел

Хреновато. Очевидно, что некоторое количество новых записей в MFT записалось (это кроме стандартных). На скрине не видно, но там ведь может быть еще много чего в каталогах...
Надо было сразу букву у раздела убрать в Управлении Дисками, а потом включили бы после записи патча (чтобы Чекдиску букву указать).


Цитата:

стОит попробовать реанимировать систему так как Вы предложили ?

Попробуйте, хуже не будет.

Antech


Цитата:

На скрине не видно, но там ведь может быть еще много чего в каталогах...

В каталогах есть подкаталоги, но общий размер всех каталогов 6 Мб... скрин здесь http://zalil.ru/32110816, непонятно только файл подкачки размером 2 Гб записался на место старого или в НОВУЮ область диска уничтожив при этом данные которые находились в этой области диска.

TaxEskeldy
Важен не размер содержимого, а количество файлов и каталогов...
Как успехи с патчеванием? Интересен результат.

Antech- это предположение пока только


Цитата:

Можешь еще попробовать программу Partition.Find.and.Mount.Pro позволяет монтировать нечитабельные диски в систему и считывать с него данные...

Поставил программу - нажал SCAN, - предлагают выбрать:

Intellectual Scan(recomended)
Normal Scan
Thorough Scan

неподскажете я англииского незнаю,что мне выбрать из 3-х чтоб восстановитьь разделы на жестком диске ?



Добавлено:

Цитата:

Thorough Scan

наверно это лучше(перевод: полное сканирование )

TaxEskeldy
А как же бесценный опыт?

По поводу использования диска Antech уже написал основное. Могу добавить лишь следующее.
1. На диск могут производится записи и без твоего ведома, причём множественные.
2. Не знаю, может это уже в образе "заложено", но некоторые записи MFT имеют немалый счётчик записей.
То есть это выглядит примерно так.
Записался файл в сектора aabbccjj (это заменяет конкретны номера, и в MFT в запись хх.
После этого файл удаляется, соответствено запись освобождается. Записывается другой файл, но он записывается в сектора bbeehhff. В результате имется как бы одна запись в MFT, а мусором забито больше секторов - aabbcceehhffjj. И таких перезаписей одной записи MFT может быть ну очень много.


zxzxzx22
Лучше прислушаться к совету Antech-а.

Цитата:

9285

а незнаете что неразличает разделов,ну вот при открытии (с помощью опред.софта)жесткого диска в Windows,меня просят восстановить разделы - а есть ли среда где этого непросят сделать ?

zxzxzx22
Не очень понятно о чём речь, но предположу что предлагается отформатировать разделы.
В таком случае удалить буквы у разделов, после чего работать с DMDE или WinHEX (для создания посекторной копии).

Цитата:

а незнаете что неразличает разделов,ну вот при открытии (с помощью опред.софта)жесткого диска в Windows,меня просят восстановить разделы - а есть ли среда где этого непросят сделать ?

На этом форуме у вас никто не будет просить восстановить разделы без Вашего желания, на 99% уверен в этом.
Скорее всего да, Вас просят отформатировать их.
В GetDataBack поставьте в настройках сканирования углубленное сканирование.

9285
http://zalil.ru/32115442
скрины 01 и 02 - это до чекдиска, остальные - после чекдиска
пробовал в DMDE открывать FAT1 и FAT2 - разницы не заметил
подскажи, пжалста, как сделать раздел видимым в системе?

Добавлено:
В Управлении дисками файловая система RAW.

zxzxzx22
Блин, Вам надо вначале состояние диска определить, а не пробовать разные рекаверилки в надежде на авось. Кейсы типа вашего случаются постоянно и правила поведения в таких случаях давно известны... Поэтому и предложено было глянуть SMART и результаты скана. Если при сканировании (verify, read) будет много медленных ("цветных") блоков и/или плохие звуки из винта, отмените скан и покажите скрин результатов "как есть".

Segy4
Можно дамп 10000 начальных секторов физического диска? (Или раздела, в данном случае не принципиально.)

Перед восстановлениемцудаленного установщиком Windows раздела рекомендуется сделать копию таблицы разделов?

В общем, уже нашел способ - сохранить MBR с помощью bootice (на форуме сказали, что сохраняется 12 байт - загрузчик (вроде главный загрузочный сектор) и таблица разделов), но любопытно, как еще можно сделать с помощью следующих утилит:

В MBRFIX.EXE сохранить таблицу разделов можно примерно так?:

Код: mbrfix.exe /drive 2 savembr d:\1.mbr

Antech
http://zalil.ru/32115811
Дамп начальных 10к секторов диска.
Предыстория такова (на всяк случай) - слетела MFT железки в коробке A-DATA SH93
была FAT32. Уважаемый 9285 дал патчик с предупреждением проверки без F, а я сплоховал:

Цитата:

Вобщем, допустил я ошибку (поправимую или нет, боюсь даже гадать), а именно:
сохранил секторы в файл, скопировал из файла в нужные сектора и непереподключив диск (что не самое страшное) запустил chkdsk без ключа. Он некоторое время шептался с диском, потом выдал наличие системы FAT32, выдал серийник тома, после чего сказал: "На диске найдены ошибки, которые не были исправлены, потому что прога была запущена без ключа /f. Вероятно диск не является операционной системой Windows XP. Продолжить? Да/Нет". И вот тут то я решил, что он предлагает продолжить проверку, ну я и нажал да. Побежали строки. А когда я вчитался, что за строки бегут (в конце строки стояла надпись "... исправлено", то понял, что неправильно нажал, но останавливать уже рука дрогнула. Вобщем, допроверил (а точнее, доисправлял он), но и теперь раздел в системе не видится

Segy4
Смещение в FAT1 по прежнему имеется.
Раз уж сбросил малую часть FAT1, то сбрось тогда уж кусочек и от FAT2 (начинается в секторе 178902)
+ корневой каталог (начинается в 357709 - достаточно 10-ка секторов).

PS. Теперь я расскажу как было дело.
В предыдущем сообщении Segy4 выложил дамп первых ста секторов, из которых было видно что есть смещение как в первой загрузочной записи, так и в FAT1.
Собствено был не патч, а предложение (для начала) записать копию загрузочной записи на место первой, после чего провести чекдиск (только чтение). Ну а дальше произошло то, что написал Segy4.