» Восстановление разделов и информации на HDD (часть 5)

TaxEskeldy
ОК, проверил атрибут DATA у одной из записей. О да, в этот раз я не жалел время... В общем, что оказалось... Сам по себе атрибут DATA идеален: один фрагмент, за размер раздела не вылазит, все значения ОК (сравнивал с живым на своем опытном винте). Т.к. причина проблемы непонятна, начинаю эксперименты по имплантации. Вначале я вставил Ваш файл (запись) в самое начало MFT, где есть зарезервированные пустые записи. Результат: Чекдиск в своем стиле сообщил, что ему не нравятся какие-то данные в этой записи, но не атрибут DATA. Одновременно с этим начал ругаться на DATA в какой-то лохматой записи, хотя там вся MFT на момент опыта была в порядке (винт выведен из эксплуатации по причине начальной забэдованности, но бэд=нестабильный один и не на MFT). Пустил на исправление - это чудо удалило FILE_NAME, а DATA не тронуло совершенно ! Тогда я подумал: ОК, пупсик , сейчас ты расскажешь мне все свои потаенные мечты , - и вставил в обычную юзерскую запись (не из начальной области MFT). Да, теперь он ругался уже на DATA, и я пустил исправление! Я грязно матернулся, когда оценил результат: DATA он не удалил, но зачистил напрочь (ну эта классика 80 00 00 00 18 00 00 00).
Вывод: врядли дело в самих записях (у меня размер раздела больше, чем у Вас, так что этот аспект исключен). Больше похоже на пересекающиеся файлы. Это объясняет почему вначале ругалось на запись с более старшим номером, а потом - на Вашу запись, когда она уже была не в начале MFT. Также это объясняет отсутствие "исправления" DATA, когда запись расположена в начале MFT, и успешное восстановление файлов рекаверилкой.
Если идея верна, можно попробовать другой фрагмент: запишите MFT-2M.img точно также, как делали раньше, и покажите лог Чекдиска. Я исправил смещение и размер второго фрагмента, теперь задействован меньший фрагмент... Смещение проверено, патч проверен.

9285

Цитата:

что то программное, позволяющее делать сравнительный анализ кучи файлов

К сожалению, не могу ничего предложить...

Добрый вечер всем. Поведую свою проблему.
Со слов приятеля, дело было так:
Внезапно система стала тормозить, вылезло окошко о "повреждении системного диска" и невозможность записи на него. Потом она совсем перестала загружаться. Переустаовка не помогла - синий экран смерти.
Появилось предположение о битых секторах.
Спустя некоторое время стали спасать информацию. И тут возникли проблемы. Не получается слить все данные. Процесс зависает на середине, лампочка доступа к диску перестает гореть. Помогает перезагрузка, и то не всегда, через раз. Что интересно и странно - загружаюсь под Free-DOS, копирую инфу на съемный винт - все данные получаются битыми и в созданные папки не заходит - "Ошибка доступа".

Victoria показывает BAD SMART на Reallocated Sector Count = 1 , тест поверхности - постоянный ERR на секторе, то ли не может прочитать, то ли еще что.
HDAT2 - начинает вроде искать и перезаписывать битые сектора, но в районе 44 гигабайта ошибка - Drive not ready. Как будто винчестер отключился.
Долго загружаются ive-usb сборки - горит лампочка доступа, видимо определяется винчестер. Тоже через раз.
Акронису все нравится.

Железо - винт от ноутбука Seagate Momentus 5400.6 на 250гб, 3 раздела, все NTFS. MBR перезаписывал.

Ichigo2
Самостоятельно вряд ли справитесь, скорее добьете...

Ichigo2
В таких случаях максимум, что мы можем сделать - отрегулировать Error Recovery Control и посекторно копировать в R-Studio 5 (read attempts = 1, без сжатия) или WinHex (Clone Disk). Если не получится, увы. И еще, винт может сдохнуть в процессе, вроде бучные Сигейты любят запиливаться. Так что "if you get something to lose", лучше сразу обратиться в грамотную DR-фирму.

Здравствуите,при попытке просмотреть содержимое жесткого диска программой R-Studio - выдает следующее сообщение(просит проверки),скрин : http://s017.radikal.ru/i439/1111/32/c0910393166f.jpg

хард 640гег.,и данная его проверка заимет где-то 15-20 дней(я уже начинал ее), - вот незнаю поможет или нет,или может есть более быстрые способы восстановить разделы,незнаете?

p.s.
на харде очень много БАД-блоков

zxzxzx22
в R-Studio время сканирования объема 640 гигов в случае полностью исправного накопителя и относительно неплохого железа - часа 3-4.
Дайте смарт винта посмотреть, может многое прояснить.
Наличие большого количество бэдов? Может одна из голов "отваливаться" начинает?

SevereK20
SMART - это как понимаю в Виктории на вкладке SMART нажэать F9,я так сделал - у меня вот что(если я конечно правильно делал):

http://s39.radikal.ru/i085/1111/18/198ec68c099b.jpg
хотя в системе диск определяеться

zxzxzx22
для снятия SMART'a воспользуйся программой HDDScan, ссылки есть тут http://forum.ru-board.com/topic.cgi?forum=5&topic=27734#1
Viktoria нге показывает СМАРТ USB-подключений.

9285

Цитата:

Вдобавок - есть ещё второй фрагмент MFT. И у него две версии. Логически, актуален тот, что с бОльшим числом записей (и по нему сделал патч Antech). Но может ты запускал что то, что оптимизирует систему? А в таких "оптимизаторах" (и не только в них) бывает и "сжиматель" MFT. Так что и версия2 имеет право на жизнь, а возможно мено она и актуально. Но это надо смотреть обе копии и по файлам или датам делать выводы.
Вот такой расколбас имелся до записи патча. Поэтому, не сильно понимая что там за проблемы в отчёте чекдиска, не удивлён что проблемы есть.

Вы правы, незадолго до крушения системы я делал дефрагментацию диска...

TaxEskeldy
Каковы результаты второго патча, который с другим фрагментом? Та же фигня?

Antech

Цитата:

Если идея верна, можно попробовать другой фрагмент: запишите MFT-2M.img точно также, как делали раньше, и покажите лог Чекдиска. Я исправил смещение и размер второго фрагмента, теперь задействован меньший фрагмент...

Диск пропатчил, отчет CHKDSK здесь http://zalil.ru/32147493
Мне кажется первый вариант был более верным, т.к. после записи второго я не вижу некоторых данных, или например все данные из папки "Мои документы" переместились в папку с номером $F01737 (скрин здесь http://zalil.ru/32147531 ), а после записи первого патча все мои документы были на месте как и полагается...

Добавлено:
Мне кажется, что после второго варианта патча, CHKDSK выдал ОДИН в ОДИН такой же результат как и после первого варианта...

TaxEskeldy
Действительно результат фактически тот же. Можете вернуть первый патч и пускать chkdsk /f, но, естественно, все эти файлы из лога будут покоцаны...

Antech

Цитата:

Действительно результат фактически тот же. Можете вернуть первый патч и пускать chkdsk /f, но, естественно, все эти файлы из лога будут покоцаны...

9285

Цитата:

Что касается исправления ситуации, то логика чекдиска мне неведома, но думается что перед его запуском надо сделать зачистку всего (известного) нового мусора. Чтобы он не мешался при анализе структуры диска.

Каким образом можно сделать зачистку всего (известного) нового мусора если доступа к диску НЕТ ?

TaxEskeldy
Насчёт дефрагментации не всё так и однозначно.
Во первых - зависит от того чем дефрагментировалось.
Во вторых - дефрагментация не уменьшает размер MFT. Это делают "оптимизаторы".
Так что уточни насчёт того чем дефрагментировал - ситуацию не зменит, но для понятия сути лишним не будет.

Что касается зачистки, то речь идёт о возврате к чуть более раннему состоянию диска, когда он был доступен. Затем исключается возможность новых записей (например апдейтами винды или восстановлением системы). После чего делается удаление файлов с обнулением содержимого. Такое есть в альтернативном удалении FAR-a. Может и чем то другим, потому что FAR правда не всегда обнуляет. То ли есть ограничение на размер файла, и наверное когда удаляешь папками (поэтому лучше удалять пофайлово). После удаления всего возможного мусора (того что отмечал на скриншоте) удалить букву у диска. После чего зачистить записи этого мусора в MFT. ИМХО, лучше обнулить и $Log.
Если что то не понял - спрашивай. Но отвечу позже.

PS. Что касается отсутствия доступа. И в этом случае можно дисковым редактором, но только это не для новичков в этом деле.

Цитата:

Насчёт дефрагментации не всё так и однозначно.
Во первых - зависит от того чем дефрагментировалось.
Во вторых - дефрагментация не уменьшает размер MFT. Это делают "оптимизаторы".
Так что уточни насчёт того чем дефрагментировал - ситуацию не зменит, но для понятия сути лишним не будет.

Да-да, точно... после дефрагментации Piriform Defreggler я оптимизировал систему RegOrganizer`ом.


Цитата:

Что касается зачистки, то речь идёт о возврате к чуть более раннему состоянию диска, когда он был доступен. Затем исключается возможность новых записей (например апдейтами винды или восстановлением системы). После чего делается удаление файлов с обнулением содержимого. Такое есть в альтернативном удалении FAR-a. Может и чем то другим, потому что FAR правда не всегда обнуляет. То ли есть ограничение на размер файла, и наверное когда удаляешь папками (поэтому лучше удалять пофайлово). После удаления всего возможного мусора (того что отмечал на скриншоте) удалить букву у диска. После чего зачистить записи этого мусора в MFT. ИМХО, лучше обнулить и $Log.
Если что то не понял - спрашивай. Но отвечу позже.

Если Вас не затруднит объясните пожалуйста "на пальцах" как сделать следующее:
1) Возврат к чуть более раннему состоянию диска, когда он был доступен?
2) Как исключить возможность новых записей (например апдейтами винды или восстановлением системы)?
3) Как делается альтернативное удаление файлов с обнулением содержимого в FAR-е ? это когда файлы удаляются через Shift-Delete ?
4) как удалить букву у диска. После чего зачистить записи этого мусора в MFT ?
5) где найти $Log и как его обнулить ?

Segy4

Цитата:

zxzxzx22
для снятия SMART'a воспользуйся программой HDDScan, ссылки есть тут http://forum.ru-board.com/topic.cgi?forum=5&topic=27734#1
Viktoria нге показывает СМАРТ USB-подключений.

Я скачал и запустил эту программу ,далее выбрал в ней свой хард (подключенный по USB),затем в окне программы нажал "S.M.A.R.T." и у меня вылетает сообщение "Ошибка: Ненаиденна указанная процедура" (скрин):

http://s56.radikal.ru/i153/1111/76/cc4e6888199c.jpg

(может я опять что нетак сделал...)

TaxEskeldy
По сути максимум, что можно сделать за реальное время - убрать $LogFile. Для этого в любои редакторе перейдите в начало MFT, через несколько секторов увидите "$.L.o.g.F.i.l.e.". Заполните нулями два сектора, начиная с того, в котором нашли имя LogFile. Сохранитесь. После этого Чекдиск не будет учитывать, что $LogFlie может пересекаться с другими файлами, причем он это делает в пользу $Logfile. Однако у Вас слишком много ошибок, врядли это удаление существенно что-то улучшит...

Вообще, хотя это и против спортивного интереса, я обычно такие кейсы раньше не делал in-place. Слишком запутанно, результат может быть ненадежен... Теперь вот 9285 любит раскручивать такие, ну что же, в общем-то, это прогрессивно, но в данном случае даже не знаю, что еще может помочь...

Ну а что скажет по этому поводу 9285 ???

мдя...

TaxEskeldy
1) Записать в те сектора, куда писался патч предыдущее содержимое.
2) Это так сразу и не обьяснишь.
Отключить автоапдейт винды. Проверить чтобы на раздел не был включён в списке Восстановления системы. Если у свопа стоит автоматичекий размер, в тм числе и по нескольким разделам (или вообще задан на этот раздел - отключить (то есть задать на какой то один другой раздел).
Хотя записи могут делаться множеством других вещей.
3) Это когда файлы удаляются через Alt-Delete. В справке разве нет?
4) В диспетчере дисков. После этого и зачишать.
5) Ответ уже дал Antech. Не знаю, насколько я прав, но я бы зачистил его весь.

9285
Спасибо, вроде все более или менее до понятно разъяснил... вот только я когда записывал патч, не сохранял предыдущее содержимое секторов... Может быть у Antech есть ???
И еще раз переспрошу, после возврата диска к прежнему состоянию, его следует зачистить, проверить чекдиском, а затем заново проПАТЧить ??? я вас правильно понял ???

Цитата:

не сохранял предыдущее содержимое секторов...

А вот это зря. Нужно приучать себя к бэкапам.
Хинт. Сектора то есть в дампах, которые ты высылал ранее.

Порядок таков: возврат, зачистка, патчевание, проверка чекдиском.

9285

Цитата:

А вот это зря. Нужно приучать себя к бэкапам.
Хинт. Сектора то есть в дампах, которые ты высылал ранее.
Порядок таков: возврат, зачистка, патчевание, проверка чекдиском.

Antech

Цитата:

DMDE - Копировать секторы. Источник - файл MFT-M.img, приемник - физический диск. Первый сектор 16524861, число секторов 2.

Дабы ничего не напортачить, подскажите пожалуйста подобным образом какой из высланных раннее дампов прописать и в какие сектора ??? Раннее (до установки патча от Antech) я высылал:
1) дамп начального сектора винчестера (абсолютный сектор 0), т.е. MBR
2) дампы первого сектора поврежденного раздела, т.е. boot-сектора
3) дамп секторов 16524860+500
4) дамп секторов 16525360+200

я удалил случайно папку с программой и настройками на одном разделе диска, запустил программу R-studio 5.4, она нашла одну папку, которую я сегодня удалил, нужную не нашла.
Система windows 7, NTFS

Как по горячим следам восстановить ту папку?

Omsk

Цитата:

Как по горячим следам восстановить ту папку?

Попробуйте программу GetDataBack. Есть версия для NTFS и для FAT.

TaxEskeldy
Если я правильно понял, то Вам нужно занулить все, кроме $MFT и $Volume. Можете записать это вместо патча. Меняется только Число секторов, которое теперь равно 256. Дальше трогать нельзя: там начинаются старые записи. После этого пускайте Чекдиск и покажите результат...

Насчет варианта с удалением содержимого, предложенного 9285. Мне он кажется несколько экстремальным, хотя, если все пойдет по плану (ничто не захочет писать в раздел), то очевидных опасностей вроде нет. Но я не могу понять смысла этого действия. У нас в чем сейчас проблема? Куча ошибок на совершенно исправных нерезидентах. Т.е. дело не в мусоре на разделе, а во взаимосвязях между записями MFT. Я подозреваю пересечения этих нерезидентов, но не уверен. Зачистка начала MFT может помочь (был один похожий кейс с $Logfile - его нужно было удалить, чтобы не налезал на старые файлы). А зачистка файлов - ИМХО врядли...

Не берите во внимание доступен раздел или нет. Сейчас это не важно.

Omsk
Не пробовали Поиск NTFS в DMDE?

Antech
Не такой уж он и экстремальный. Исправлени чекдиском более экстремально.
Смысл?
Взял и симитировал ситуацию. В результате, вполне ожидаемо, пропала часть папок и файлов. Сделал исправления чекдиском. Что то восстановилось, в том числе и новый мусор.
После чего сделал тоже самое, но только перед исправлениями сделал зачистку. Восстановилось что то, плюс в найденных появился (как минимум) ещё один файл. Небольшой разбор полётов показал что и в первом случае этот файл восстановился, и даже имел родное имя - но он лежал в подпапках "новомусорной" папки.
Опять же, я не говорю что это супер помогает - скорей просто облегчает работу чекдиску (ведь его алгоритм как бы неизвестен до конца). И, в некоторой мере, этот вывод базируется на аналогии того, что бывает когда при поиске NTFS или разделов попадаются всевозможные реликты записей ФС.

PS. Кстати, задался целью вё таки найти прогу - оказалось что Adinf живой и существует. Конечно его использование для таких сравнений не сказать что очень удобно - но уж лучше так.

Antech

Цитата:

Вам нужно занулить все, кроме $MFT и $Volume. Можете записать это вместо патча. Меняется только Число секторов, которое теперь равно 256. Дальше трогать нельзя: там начинаются старые записи. После этого пускайте Чекдиск и покажите результат...

DMDE - Копировать секторы. Источник - файл MFT-MC.img, приемник - физический диск. Первый сектор 16524861, число секторов 256 - я правильно понял ?
Данный патч уже со всеми обнуленными данными кроме $MFT и $Volume или после патча надо вручную обнулять ?
Чекдиск с параметром /f запускать или без параметров?

З.Ы. решил перестраховаться и переспросить... на всякий случай...

wd30ezrx western digital 3tb перестал определяться сначала все работало потом бац и пишет отформатируте диск и все - как сделать так чтобы он снова определился - так как на нем уже есть 2tb информации - как можно восстановить нормальную работу диска?

Antech

Цитата:

Omsk
Не пробовали Поиск NTFS в DMDE?

DMDE Это что?

TaxEskeldy

Цитата:

Попробуйте программу GetDataBack. Есть версия для NTFS и для FAT.

Этой тоже не получилось, видны другие папки и файлы, которые я удалил специально, а следов той папки нет.
Что делать?