» Восстановление разделов и информации на HDD (часть 5)

9285

Цитата:

PS. Теперь я расскажу как было дело.

Верно, не патч, а предложение скопировать сектора из копии на том же винте - но я, собственно, нигде принципиально/умышленно не соврал.
дампы секторов тут
http://zalil.ru/32116148

Antech

Цитата:

Как успехи с патчеванием? Интересен результат.

Пропатчил диск, перегрузил комп, запустил chkdsk F:, на что он ответил что "Обнаружены ошибки. Продолжение работы в режиме только чтения невозможно". В системе диск видно, но доступа к нему нет (скрин здесь http://zalil.ru/32116689). Открыл диск в DMDE и вижу в исправленном MFT свои старые данные !!! но вместе с ними данные и новой MFT созданной крограммой-рековерялкой, которые мне НЕ нужны, на скрине помечены "птичками" (скрин здесь http://zalil.ru/32116780). Что дальше? как восстановить раздел чтобы он был виден в системе и чтобы с него можно было загрузиться??? и как сделать так чтобы были восстановлены только нужные мне данные???

Segy4
Кто сказал что ты соврал? Я просто уточнил как было. В деле восстановления мелочей не бывает.

TaxEskeldy

Цитата:

запустил chkdsk F:, на что он ответил что "Обнаружены ошибки.

Всё верно, поэтому тебя и просили выложить сообщение об ошибках.

9285
Спасибо за комменты по делу Сегича.

Segy4
9285
Смещения в началах FAT'ов (в одном секторе) и в руте. Наверное, надо исправить и посмотреть что получится? Если что, у нас есть дампы.

Segy4
Запишите Патч FAT в сектор 95 и в сектор 178902 (один и тот же патч, размер = 1 сектор). Запишите Патч корня начиная с сектора 357709 (размер = 3 сектора). Ну Вы знаете: DMDE, копировать секторы, источник - файл, приемник - физический диск, первый сектор и число секторов см. чуть выше. Что после этого говорит Чекдиск без /f?

В корне, вроде как, есть мусор. Я его оставил как есть, он будет показываться кракозябрами (потом можно убрать). Но там есть и кое-что нужное: Downloads и Music... Я оставил мусор, чтобы случайно что-то нужное не удалить...

Antech
9285
Помогите довести начатое дело до конца, подскажите плиз как восстановить раздел чтобы он был виден в системе и чтобы с него можно было загрузиться??? если можете то поподробней, а то боюсь опять напортачить...

TaxEskeldy
Так уже же написано всё. Покажи ошибки, о которых сообщает чекдиск при проверке.
Это нужно чтобы дать заключение о возможности применения исправлений.
Хотя, можешь и "без анализов и анестезии резать пациента".

9285

Цитата:

Покажи ошибки, о которых сообщает чекдиск при проверке.
Это нужно чтобы дать заключение о возможности применения исправлений.

По результатам работы CHKDSK выдает следующее... Логи и скрин здесь http://zalil.ru/32119045
Надеюсь на положительное заключение о возможности применения исправлений...

Добрый день, возникла проблема с внешним диском WD 500 Гб, подключается через USB, при обращению к нему выходит сообщение "устройство не отформатировано" проверял на 2 компьютерах, результат одинаков. Внешне диск работает, т.е. видно что крутит, шумит на разных скоростях, на обоих компьютерах определяется как обычно. В чем может быть проблема? В самом HDD или что то другое? С чего начать проверку?

Antech
9285
записал патчи, переподключил винт, он определился с файлами (все или нет - не знаю), запустил чекдиск без F, результаты чекдиска
http://zalil.ru/32120650
объясните мне, пжалста, ну почему чекдиск исправляет что-то, хотя запущен без F ?!

Цитата:

Поэтому и предложено было глянуть SMART и результаты скана. Если при сканировании (verify, read) будет много медленных ("цветных") блоков и/или плохие звуки из винта, отмените скан и покажите скрин результатов "как есть".

а как достать этот SMART - неподскажет никто(это в Viktoria как -то) ?
я новичек совсекм в этом деле

zxzxzx22

Цитата:

а как достать этот SMART - неподскажет никто(это в Viktoria как -то) ?

Кнопка <F9> - выводит SMART винта на экран.
Можете скачать отсюда помощь по виктории:
http://forum.oszone.net/post-953419.html

TaxEskeldy
Шляпа полная. Не знаю в чем может быть причина. Куча "ошибок" в нерезидентных атрибутах, в т.ч. в первом фрагменте MFT, т.е. тут сложно шибиться в патче, чтобы был такой эффект.

Segy4
Попробуйте зайти в каталоги, на которые ругается Чедиск. Заходит, файлы/подкаталоги ОК?

Antech

Цитата:

Шляпа полная. Не знаю в чем может быть причина. Куча "ошибок" в нерезидентных атрибутах, в т.ч. в первом фрагменте MFT, т.е. тут сложно шибиться в патче, чтобы был такой эффект.

т.е. Вы хотите сказать что восстановить раздел в прежнем виде уже никак не получится ???

Antech
http://zalil.ru/32123171
скрины, инфа нечитаема в папках и вложенных папках

TaxEskeldy

Цитата:

восстановить раздел в прежнем виде уже никак не получится ?

Я не знаю как это сделать. Непонятно из-за чего лезут ошибки. Размеры раздела в таблице и бутсекторе точно совпадают (ну минус сектор на бэкап бута), размер около 80 ГБ. Жалобы идут и на первый экстент MFT, так что непонятно как тут может быть проблема с патчем. У Вас размер раздела не был случайно больше этих 80 гиг? А то, может третий на 80 гиг надо удалить и растянуть (вручную, конечно) второй до конца винта? Или размеры разделов сейчас верные?

Segy4
Наверное, там те же смещения. В WinHex откройте раздел и для каждого проблемного каталога сделайте так:
1. Найдите в браузере проги каталог.
2. По правой кнопке на нем Position - Directory Entry.
3. Выделите с помощью Alt+1 / Alt+G (from current position) или просто скроллом / Alt+2 по 3-5 секторов, начиная с того, в котором оказался курсор.
4. Сохраните в файл Ctrl+S. Обязательно включайте в имя файла номер начального сектора дампа. К тому номеру, что покажет WinHex внизу в строке состояния (слева) прибавляйте всегда 63 (начальный сектор раздела). Тогда, в случае успеха, будет проще правильно записать патч, чтобы не промахнуться. Неправильные номера секторов приведут к неправильной записи патча, могут повредиться другие каталоги. Будьте внимательны, plz.

Antech

Цитата:

У Вас размер раздела не был случайно больше этих 80 гиг? А то, может третий на 80 гиг надо удалить и растянуть (вручную, конечно) второй до конца винта? Или размеры разделов сейчас верные?

Вообще имеется 1 физический диск HDD Hitachi HDS721616PLA380 SATA 160 Gb, разбит на 2 раздела по 80 Gb, загрузочный диск С:\NTFS и D:\FAT32. Установленная ОС была Win XP SP3. Может я как-то не правильно пропатчил диск ? но вроде бы все делал как вы указали...

TaxEskeldy
Раздела три: есть еще 5.2+ ГБ в начале. Тип 12h, не знаю что это (предположительно что-то от Acer, может раздел восстановления). А остальные - да, по 80 гиг 2 штуки.

Цитата:

Может я как-то не правильно пропатчил диск ?

Тогда бы не было этой кучи ошибок. По дампу было всего-то 20h кластеров в MFT - это 128 записей. И посмотрите на номера записей в отчете Чекдиска.
Давайте посмотрим что скажет 9285, может у него есть идеи.

Antech
http://zalil.ru/32125072
Расскажите, пжалста, как выделить и скопировать нужное количество секторов!!! Мануала по винхексу не нашёл. Либо как в винхексе понять номер сектора, чтобы скопировать его в DMDE? Либо как это сделать в DMDE? Сейчас DMDE показывает эти папку пустыми

Segy4

Цитата:

как выделить и скопировать

Я не знаю как в DMDE перейти из браузера в начало каталога.
Как выделить/сохранить в WinHex я Вам говорил: Alt+1 = начало блока, Alt+2 = конец блока, Alt+G = перемещение (from current position, sectors), Shidt+Ctrl+N = сохранить в файл.

Сейчас читаю на фотке вместо "Я всех прошу поднять бокалы" - "Я всех прошу поднять бэкапы" Вот что значит в контексте .

Antech

Цитата:

Раздела три: есть еще 5.2+ ГБ в начале. Тип 12h, не знаю что это (предположительно что-то от Acer, может раздел восстановления). А остальные - да, по 80 гиг 2 штуки.

Вы правы, у меня на работе есть еще один такой комп ACER, на который я прицепил свой винт, и на нем тоже имеется служебный раздел PQSERVICE 4.88 Гб FAT32 (скрин здесь http://zalil.ru/32125687 ), т.е. это служебный раздел и удалять его не надо. Раздел F:\ который мы пропатчили имеет правильный размер, но доступа к нему нет (скрин здесь http://zalil.ru/32116689 ). Открыл диск в DMDE и вижу в пропатченом MFT свои старые данные !!! но вместе с ними, данные новой MFT записанные программой-рековерялкой, которые мне НЕ нужны, на скрине помечены "птичками" (скрин здесь http://zalil.ru/32116780 ). Что дальше? как восстановить раздел чтобы он был виден в системе и чтобы с него можно было загрузиться??? и как сделать так чтобы были восстановлены только нужные мне данные???

9285 - какой вердикт Вы можете вынести по данной ситуации ???

Antech
http://sderni.ru/95252
дампы, пример создания дампа нарисовал на картинке
в конце каждого имени файла приписал примерное имя папки, т.к. некоторые папки начинаются в одном секторе

Antech
http://zalil.ru/32129699
вот так папка показывается в DMDE (пример одной из теперь пустых папок)

TaxEskeldy
Вы говорите именно то, что следовало ожидать по плану. Все портит отчет Чекдиска с огромным количеством ошибок по нерезидентам, который я не могу объяснить в данном случае. Такое ощущение, что MFT была пересчитана, ведь исходный размер раздела сохранился. Но что могло пересчитать MFT?

Давайте посмотрим на записи, которые Чекдиск считает глючными. В WinHex откройте physical media и два раза нажмите на раздел в таблице. Вверху в меню выберите Position - FILE Record и введите номер 150. Выделите мышой 2 сектора (они разделены горизонтальными линиями), начиная с того, в котором оказался курсор, и нажмите Shift+Ctrl+N для сохранения файла. Файл назовите FileRecord-150.img. Повторите процедуру, например, для записей 411, 797, 26089. Файлы, как обычно, запакуйте в архив и выложите на rhgost.ru или sderni.ru...

Проведите также эксперименты по выборочному восстановлению в WinHex или DMDE. Когда Вы будете делать дампы, увидите в них имена файлов в unicode (например, Shit будет выглядеть как S.h.i.t.). Русские имена можете посмотреть, выбрав в меню Options - Character set - Unicode. Вот эти файлы попробуйте потом найти в браузере WinHex или DMDE и восстановить. Восстановленные файлы открываются нормально? Можете выполнить тесты с любыми файлами, номера которых указаны в отчете Чекдиска, но следите, чтобы ругань была на атрибут 128, а не 160 (160 - это A0 == INDEX ALLOCATION, т.е. это каталоги, а не файлы).

Segy4
К сожалению, врядли что-то можно сделать in-place. Каталоги либо действительно почти пустые, либо имеют много записей, но сплошные дефекты (мусор), где-то смещения... В общем, примерно у половины элементов есть правдоподобная дата, может быть у них и начальные кластеры указаны верно, но нет имен и даже не ясно файлы это были или каталоги (но судя по нулевым размерам все, что имеет правдоподобные даты, например в "Елена" - это подкаталоги). В общем, сделайте Поиск FAT в DMDE или откройте результаты, если уже искали. Зайдите в найденный раздел и посмотрите, не появились ли элементы в тех каталогах, что сейчас пустые. Восстанавливайте все, что нашла в них прога... Также можете попробовать GetDataBack for FAT, R.Saver. Хотя бы могут найтись подкаталоги. Что касается файлов, то в FAT, увы, они только в каталоге и прописаны, а у Вас там все покоцано напрочь. Как говорится, "Поднимем бэкапы", хотя в Вашем случае, похоже придется снять шляпы...

TaxEskeldy
Есть кое какие мысли, но нужно их сформировать в нужный вид. Отвечу позже.
PS. Подправь ссылки на скачки. Один раз можно открыть, потом исправить адрес, но несколько раз делать такое напрягает. И скриншоты удобней смотреть в картинках. К том же офисный продукт не всегда бывает под рукой (например в телефоне).

Antech

Цитата:

Давайте посмотрим на записи, которые Чекдиск считает глючными. В WinHex откройте physical media и два раза нажмите на раздел в таблице. Вверху в меню выберите Position - FILE Record и введите номер 150. Выделите мышой 2 сектора (они разделены горизонтальными линиями), начиная с того, в котором оказался курсор, и нажмите Shift+Ctrl+N для сохранения файла. Файл назовите FileRecord-150.img. Повторите процедуру, например, для записей 411, 797, 26089. Файлы, как обычно, запакуйте в архив и выложите на rhgost.ru или sderni.ru...

Архив с файлами FileRecord здесь http://zalil.ru/32132476


Цитата:

Проведите также эксперименты по выборочному восстановлению в WinHex или DMDE. Когда Вы будете делать дампы, увидите в них имена файлов в unicode (например, Shit будет выглядеть как S.h.i.t.). Русские имена можете посмотреть, выбрав в меню Options - Character set - Unicode. Вот эти файлы попробуйте потом найти в браузере WinHex или DMDE и восстановить. Восстановленные файлы открываются нормально? Можете выполнить тесты с любыми файлами, номера которых указаны в отчете Чекдиска, но следите, чтобы ругань была на атрибут 128, а не 160 (160 - это A0 == INDEX ALLOCATION, т.е. это каталоги, а не файлы).

Честно говоря я не совсем понял о каких ДАМПах Вы говорили, объясните плиз как их сделать в DMDE или WinHex

Добавлено:
9285

Цитата:

PS. Подправь ссылки на скачки. Один раз можно открыть, потом исправить адрес, но несколько раз делать такое напрягает. И скриншоты удобней смотреть в картинках. К том же офисный продукт не всегда бывает под рукой (например в телефоне).

Сорри, ссылки я поправил, на счет скриншотов я тоже понял, впредь буду выкладывать в картинках

TaxEskeldy
Причем ссылки типа www.site.ru/12345 не надо делать вручную, они и сами образуются при вставке URL.
На картинки не забывайте давать прямые линки, а то через телефон всю эту муть загружать не хочется, сорри...


Цитата:

не совсем понял о каких ДАМПах Вы говорили

Я говорил не о дампах, а о файлах. Вы что-то путаете. Речь о простом восстановлении нескольких файлов, например в DMDE, и дальнейшей проверке путем открытия файлов. А в FILE Records Вы просто можете подсмотреть имена файлов, которые есть смысл проверить. Вы можете либо посмотреть в файлах FileRecords.img (см. ниже, их надо переделать), либо в WinHex, переходя к разным файловым записям (как когда FileRecord.img делаете). Причем это может и DMDE: открываете раздел, потом Редактор - Файл MFT, вводите номер записи - редактор перейдет в ее начало. Чтобы посмотреть запись "как есть", всегда нажимайте F2 в окне редактирования (хотя для просмотра названий файлов, конечно, удобнее дефолтный вид).

Теперь о FileRecord.img. Вот это именно дампы. К сожалению, Вы их сделали неправильно. Я же говорил, что секторы разделены в интерфейсе WinHex горизонтальными линиями. Вы видели какие-либо линии между двумя первыми строками в окне редактирования? Какой размер сектора выдает современный десктовный винт? Ну уж точно не 32 байта, тут-то можно было догадаться. Пожалуйста, сделайте правильные файлы (каждый по 2 сектора, т.е. по 1024 байт).

TaxEskeldy
Во первых, изначально я писал о том что сложно что то сказать не зная алгоритма работы программы.
Что было сделано за несколько секунд неизвестно точно. Кстати, немного ошибся - в новой MFT не 256, а 128 записей. Поэтому можно просто интуитивно предположить что она формировалась по мере создания структуры диска. То есть, записывается на раздел файл, делается запись и так по циклу. И если это так, то неудивительно что куда то в облас данных же записаны некоторые файлы (возможно и повредив часть данных). И не обязательно запись делается с самого начал - здесь в какой то теме я давал скриншоты одной системы после рековери. Фрагменты были по всему разделу, в том числе и в конце.
Добавь ко всему этому записи уже во вновь сформированный раздел - в том числе и многократные.
Вдобавок - есть ещё второй фрагмент MFT. И у него две версии. Логически, актуален тот, что с бОльшим числом записей (и по нему сделал патч Antech). Но может ты запускал что то, что оптимизирует систему? А в таких "оптимизаторах" (и не только в них) бывает и "сжиматель" MFT. Так что и версия2 имеет право на жизнь, а возможно мено она и актуально. Но это надо смотреть обе копии и по файлам или датам делать выводы.
Вот такой расколбас имелся до записи патча. Поэтому, не сильно понимая что там за проблемы в отчёте чекдиска, не удивлён что проблемы есть.

Что касается исправления ситуации, то логика чекдиска мне неведома, но думается что перед его запуском надо сделать зачистку всего (известного) нового мусора. Чтобы он не мешался при анализе структуры диска. Не так давно, был в чём то похожий случай - но там дело осложнялось смещением отформатированного раздела и потерей около 2000 записей MFT. Тем не менее, после зачистки мусора было более полноценное восстановление (что вполне обьяснимо). Хотя это ечь о данных - с системным разделом не всё так радужно.

Antech

Цитата:

Теперь о FileRecord.img. Вот это именно дампы. К сожалению, Вы их сделали неправильно. Я же говорил, что секторы разделены в интерфейсе WinHex горизонтальными линиями. Вы видели какие-либо линии между двумя первыми строками в окне редактирования? Какой размер сектора выдает современный десктовный винт? Ну уж точно не 32 байта, тут-то можно было догадаться. Пожалуйста, сделайте правильные файлы (каждый по 2 сектора, т.е. по 1024 байт).

Ой сорри, что-то я затупил... дампы я переделал и перезалил сюда http://zalil.ru/32136685

Попробовал восстановить файлы с пропатченого диска на которые ругается CHKDSK, там очень много временных файлов, ярлыков и прочего мусора, но вот нашел нормальные файлы с номерами 400200-400204, восстановил их, и они нормально открылись. Файлы и дампы здесь http://zalil.ru/32136720

9285

Цитата:

не сильно понимая что там за проблемы в отчёте чекдиска

Но ведь Вы знаете эту кухню лучше меня! Он жалуется на все нерезидентное. Врядли все эти записи так хитро повреждены именно в нерезидентах. Т.е. похоже на несоответствие размера раздела в бутсекторе (и таблице) с координатами в файловых записях. Обычное дело, но тут-то мы точно знаем, что размер в бутсекторе и таблице правильный (размеры разделов при катаклизме не изменились по словам клиента). И проблемные записи есть в обоих фрагментах, в разных записях, и далеко не только в начальных, которые включала новая MFT, т.е. врядли это результат рекавери-утилиты (она бы и ранлист в MFT уже поправить успела ИМХО). Вот я и не вижу возможной причины. Поэтому решил спросить выборочные дампы проблемных записей и результаты пофайлового восстановления. Очень интересно что мы там увидим, прямо детектив...

Добавлено:
TaxEskeldy
Сорри, сейчас уже мне надо своими делами заняться, может 9285 посмотрит дампы раньше меня. А я постараюсь вечером пораньше в инет вылезти...

Antech
Вы мне льстите.
С блюдами кухни чекдиска я знаком лишь поверхностно.

Насчёт остального - помните не так давно был случай, когда Вы сделали патч, а я реконструкцию $Volume. Реакция чекдиска была разной, и меньшей в моём варианте. Поэтому и пишу о причудливости чекдиска.

Кстати, провёл эксперимент, в чём то похожий на данный случай - после зачистки мусора чекдиск восстановил некоторые дополнительные файлы, которых не восстанавливал до очистки.
Есть что то программное, позволяющее делать сравнительный анализ кучи файлов в процессе таких зкспериментов. Что то типа базы контрольных сумм, по типу как был у ревизора Adinf.