» Восстановление разделов и информации на HDD (часть 6)

Цитата:

я ведь имею право ещё 2 раздела сделать))

Так эти два раздела уже весь диск заняли, вроде (не видно правый край...). Нужно уменьшать или удалять один из них и на пустом месте создавать. Или я вопрос не понял

Antech

Цитата:

Как там поиск? Если хотите, можете показать скрин текущих результатов.

Скрин начального поиска он уже давал раньше, и в нём виден раздел начинающийся в 16128.
Но ... есть ещё один раздел (со значительно меньшим числом совпадений) начинающийся в 14336, и начальный 16 записей в 14352. А это очень похоже на акронисовское твАрение - передвижка начала раздела в случае когда это вовсе не нужно.
PS. Лучше пусть лог сбрасывает.

Dedfft
Лог поиска можно сохранить в любой момент. И это полезно не только с точки зрения отослать его нам, но и на случай если вдруг по каким то причинам поиск прекратиться. В этом случае можно подгрузить сохраненный лог и продолжить поиск.

daMIR
Я уже писал на хоботе, но повторюсь здесь.
При такой ситуации (наложение новых записей на старые), было бы неплохо обнулить все вновь созданные чтобы не мешали поиску данных, особено который делается по сигнатурам. И особено если для поиска по сигнатурам используется Photorec, у которой достаточно приличный по сигнатурам, тем более что он изначально затачивался для восстановление файлов с изображениями. Если пользоваться им, то у него нет возможности выбрать что восстанавливать после поиска - он попросту в процессе восстанавливает всё соотвествующее заданию в выбранную папку. Так вот и в обычном случае он бывает вытаскивает немерянное кол-во файлов (не обязательно нужных) даже при включённом фильтре по типу файла. А уж если есть ещё и новые данные имеются в "замесе" то тогда наступает амбец.

igor_me
Да тут всего 2 раздела.
т.е. один надо удалить , либо уменьшить.
А как создать именно логический раздел. у меня всегда создается основной)

9285
Да, действительно, я-то думал, что Dedfft там настройки хочет показать.
Насчет творения - это да, партмагоиды обожают двигать начало раздела при изменении типа, даже если можно обойтись без этого.

Dedfft
Наш кандидат - раздел "NTFS 9". Вероятно, многое восстановится. Но как правильно заметил 9285, Акронис уже успел устроить частичное смещение, так что какие-то файлы могут быть повреждены.

Покажите дамп сектора 3907024064 и лог результатов поиска (можно не полного), надо уже что-то делать в направлении восстановления раздела

Цитата:

Dedfft
Лог поиска можно сохранить в любой момент. И это полезно не только с точки зрения отослать его нам, но и на случай если вдруг по каким то причинам поиск прекратиться. В этом случае можно подгрузить сохраненный лог и продолжить поиск.

Спасибо,что сказали) Я не знал,и все шло к тому,что внезапно пропасть могло все). Сейчас 91%.
Вот лог. https://www.dropbox.com/s/alqt0vect3an7jg/ntfsscan.log
Вот скрин программы. http://s018.radikal.ru/i517/1212/10/11eb0b6131ff.png

UPDATE 18:10--- Сканирование завершилось. Вот полный лог диска https://www.dropbox.com/s/saadps43wnledoa/ntfsscan_FULL.log





Цитата:

Покажите дамп сектора 3907024064 и лог результатов поиска (можно не полного), надо уже что-то делать в направлении восстановления раздела

Вот https://www.dropbox.com/s/s6pbh2ow2zpbwv3/lba_3907024064_1_dump3907024064.bin


Цитата:

Вероятно, многое восстановится.

Поясните пожалуйста эту фразу.. Т.е мне сейчас уже 100% не стоит рассчитывать на рабочую винду с того диска?((

Dedfft

Цитата:

мне сейчас уже 100% не стоит рассчитывать на рабочую винду с того диска?

Далеко не уверен, что она заработает... Если бы Вы сразу отменили, или операция почти завершилась бы. А тут очевидно, что преобразование раздела было прервано уже после того, как партмагоид внес значительные изменения, многие файлы могут быть затерты, в общем, 100% врядли восстановится.

Посмотрел лог поиска. Огромное количество фрагментов MFT (почти 30 тысяч), найти в этой куче нужное затруднительно. В DMDE нет фильтра фрагментов по начальному сектору соответствующего раздела (у меня версия 2.4.0). Я долго смотрел список фрагментов, но не нашел начала MFT от раздела, начинающегося в 16128, ни по стандартной позиции (16128+6291456), ни в начале раздела (как указано в Вашем дампе бутсектора, кластер 3) ни в других местах, но тут трудно что-то утверждать, т.к. список фрагментов очень большой и просмотреть его полностью нереально, а в логе я не нашел явных начальных секторов разделов для фрагментов (наверное, DMDE рассчитывает их после открытия лога). Но есть фрагмент из записей 0...3 с началом в секторе 1953520096, для которого определилось начало раздела в 16128. Это похоже на MFT Mirror исходного раздела, и начальный сектор соответствует MFT Mirr Start Cluster в бутсекторе (размер кластера обычный, 8 секторов).

Пожалуйста, покажите дамп 10 секторов, начиная с 1953520096. Можно попробовать этот фрагмент записать в сектор 16152 (кластер 3), а копию бутсектора - в 16128. Если Чекдиск не будет выдавать слишком много ошибок, то есть шанс...

Патч MBR я на всякий случай изготовил, вот он: http://rghost.ru/42121643
В патче один раздел с началом в 16128, количество секторов - по копии бутсектора. Записывать пока что, наверное, не нужно. Посмотрим что там в MFT Mirror...

Цитата:

Пожалуйста, покажите дамп 10 секторов, начиная с 1953520096.

Вот https://www.dropbox.com/s/u2b5y3jkgncpghr/lba_1953520096_10.bin




Цитата:

Можно попробовать этот фрагмент записать в сектор 16152 (кластер 3), а копию бутсектора - в 16128. Если Чекдиск не будет выдавать слишком много ошибок, то есть шанс...

Мне это сейчас сделать?,если да,то скажите пожалуйста поподробнее,что мне нужно делать,чтобы я случайно не навредил.



Цитата:

Далеко не уверен, что она заработает... Если бы Вы сразу отменили, или операция почти завершилась бы. А тут очевидно, что преобразование раздела было прервано уже после того, как партмагоид внес значительные изменения, многие файлы могут быть затерты, в общем, 100% врядли восстановится.

партмагоид успел поенять флаг диска,а потом начал менять раздел с логического в основной.. но прогресс в течении часа или больше был 0%, и я счел что ничего не меняется и не изменится..

Dedfft
В общем, Винда не заработает 99%. Если я не ошибся с "идентификацией" исходного раздела, то MFT была из двух фрагментов: первый начинался в кластере 3 (сектор 16128+24) и включал 226420 записей, второй, с началом в секторе 224390872, включал 335756 записей. Второй фрагмент на месте (по результатам поиска). Первый фрагмент удален Акронисом: на место этого фрагмента записалась пересчитанная часть MFT, где координаты уже от нового начала раздела (сектор 14336), но преобразование раздела не было завершено, поэтому врядли этот кусок MFT что-то даст. По размеру он похож на первый фрагмент исходной MFT, т.е. достаточно большой.
Таким образом, как мне кажется, восстановление in-place нецелесообразно. Тем не менее, Вы можете попробовать "ради науки", если что, Вы ничего не теряете.
1. DMDE - Сервис - Копировать секторы. Источник - файл http://rghost.ru/42121643 , приемник - физический диск (не раздел, а физический). На приемнике начальный сектор 0 (число секторов = 1 определится само). Это изменит координаты раздела в таблице на исходные, которые были до Акрониса.
2. DMDE - Сервис - Копировать секторы. Источник - файл Ваша копия бутсектора, приемник - физический диск. На приемнике начальный сектор 16128. Это восстановит исходный бутсектор. Дамп 500 секторов, начиная с 16128, у нас есть, так что можем потом вернуть то, что сейчас в 16128 (там уже новая MFT, после Акрониса).
3. DMDE - Сервис - Копировать секторы. Источник - Ваша копия MFT, приемник - физический диск. На приемнике начальный сектор 16152 (число секторов должно быть 8, а не 10, но там по-любому исходной MFT уже нет, так что пишите весь дамп для удобства). Если нужно, дамп 500 начальных секторов раздела, который у нас есть, позволит сделать "undo".
4. Перезагрузитесь, не допускайте автоматический Чекдиск. В командной строке сделайте chkdsk.exe БукваРаздела: > C:\Report.txt (без /f) и покажите полученный файл (вместо C:\Report.txt можете задать любое полное имя файла для отчета).

Это in-place. Но понятно, что почти половина MFT улетела, поэтому было бы странно, если бы там многое восстановилось. Поэтому Вы можете также использовать лог поиска в DMDE. Загрузите его и войдите двойным нажатием в раздел с началом (Start) в 14336. Восстановите на пробу несколько файлов. Они открываются? Аналогично поступите с разделом, который начинается в 16128. Вы можете сделать это и без записи патчей, и после записи. Сообщите что у Вас получилось, открываюься ли файлы.

Кстати, если бы Вы пользовались не Акронисом, а Управлением Дисками в Винде для форматирования раздела, то исходная MFT начиналась бы в секторе 6291456 от начала раздела и, вполне возможно, не пострадала бы от действий Акрониса в данном случае. А Вы форматили или уже преобразовывали Акронисом, как результат - хотя MFT Mirror в середине раздела, первый фрагмент основной MFT - в начале, и он перезаписан. Так что советую только Управлением Дисками с разделами работать.

Dedfft

Цитата:

прогресс в течении часа или больше был 0%, и я счел что ничего не меняется и не изменится..

И ты его прервал? В таком случае ты сам виноват, хотя акронис всё равно виноват больше.
Смена типа раздела для нормальной программы - несколько милисекунд.
Но это не об Акронисе. В присланном дампе (по беглому взгляду) MFT Miror и согласно данным в нём MFT состояло из двух больших кусков, один из которых начинался в 3-ем кластере (что означает что диск создавался чем то невиндовым). Так вот этого фрагмента (содержащего 226 420 записей), судя по логу, нет. И скорей всего всё время что "работал" акронис, он размазывал этот кусок по всему диску. И я не удивлюсь если в новой MFT появится 20-й атрибут. Давай проверим эту и более раннюю версию. Сбрось дамп секторов 14336+50.
Второй кусок цел, но только много ли толку от 335 756 записей (кстати, такой фрагмент почему троится) без первых. Так что о восстановлени винды наверное лучше забыть. Впрочем, и в более благоприятных ситуациях о ПО рациональнее забыть - главное в таких ситуациях восстановление пользовательских данных.

Цитата:

Сбрось дамп секторов 14336+50.

https://www.dropbox.com/s/5p15yzo96pkhwom/lba_14336_50.bin


Цитата:

И ты его прервал? В таком случае ты сам виноват, хотя акронис всё равно виноват больше.

Я знаю кто виноват. Прервал,тк операция длилась больше 2 часов и с 0% не сдвинулась.


Цитата:

восстановление in-place

Сейчас попробую по инструкции выше..


Скажите пожалуйста,через что можно файлы с диска достать? Самый важдый это зашифрованный 10гигобайтовый файл в корне диска. И рабочий стол,по крайней мере то,что на нем лежало.



Цитата:

Загрузите его и войдите двойным нажатием в раздел с началом (Start) в 14336. Восстановите на пробу несколько файлов. Они открываются?

Без изменений описанных вами,файлы не открываются. Сейчас проделаю операции выше.

UPDATE: Проделал in-place,теперь в 14336 попробовал восстановить исполняемый файл,и он.... Восстановился и работает) Многие другие файлы не открываются.
Диск естественно по прежнему не открывает)





Цитата:

4. Перезагрузитесь, не допускайте автоматический Чекдиск. В командной строке сделайте chkdsk.exe БукваРаздела: > C:\Report.txt (без /f) и покажите полученный файл (вместо C:\Report.txt можете задать любое полное имя файла для отчета).

Видимо что то не так http://s002.radikal.ru/i199/1212/12/a7ba92a22d30.png
Чекинг еще в процессе.. Но командная страка молчит и я не знак как долго еще

Futurism


Цитата:

Да тут всего 2 раздела.
т.е. один надо удалить , либо уменьшить.
А как создать именно логический раздел. у меня всегда создается основной)

Логический раздел можно создать через Diskpart. Или если диск с разметкой MBR, то в Управлении дисками логический раздел создаётся "автоматом" если уже имеется три основных раздела. Возможный вариант через Управление дисками - сжать том j, на освободившемся месте создать небольшой раздел (допустим он будет иметь букву К). Получится три основных раздела. На оставшемся не распределённом месте создать ещё раздел, он будет создан как расширеный (логический). После этого удалить раздел К и расширить за счёт его раздел j. Получится два основных раздела I и J и новый логический раздел.

Dedfft

Цитата:

через что можно файлы с диска достать?

DMDE, загружаете лог поиска и заходите в раздел (окно найденных разделов). Собственно, Вы это и сделали.

Что можно сказать. Во-первых, in-place, ИМХО, смысла нет, потому что исходный раздел слишком сильно поврежден. Можно было бы сделать начало в 14336, но преобразование раздела было прервано, поэтому нет смысла его in-place делать. Да и там далеко не все файлы, по совпадениям - только 1/30 примерно от раздела с началом в 16128.
Во-вторых, если не in-place, значит DMDE. Но Free-версия - по одному файлу. Вы можете купить (раньше стоила 250 рублей на год) или найти на dmde.ru не самую новую версию, но полнофункциональную, она там где-то есть. Вначале восстановите по одному файлу самое нужное, причем, если не открывается из 14336, попробуйте то же найти и восстановить из 16128. После этого уже можно целыми каталогами восстанавливать, если нужно.

Что мог испортить дискчекинг,который успел прочекать 10 секунд и что то там порековерить?.
Перезагружал пк,он опять попросил чекинг и не реагируя на клавиатуру его запустил. Вообще Он только навредит?

Добавлено:
На какие то параметры стоит обращать внимание или каждый вариант по очереди пробовать?

12 гигабайтовый файл в корне диска пытаюсь спасти..

Такими темпами скоро "дочекаетесь" . Самое время доставать файлы, а поэкспериментировать уже после извлечения всей инфы...

14336 и 16128 попробовал восстановить важнейший файл,результат одинаковый,файл поврежден.
Чем зеленые файлы в дмде от белых отличаются?


Самое важное мне это вернуть этот файл(это криптоконтейнер). И он восстанавливается поврежденным. А вот половина фоток(50/50 восстанавливаются нормально..)

Dedfft
Зря Вы не отменили Чекдиск. В данном случае это врядли уже что-то изменило, но Чекдиск мог подпортить ФС (без лога трудно что-то конкретное сказать). Поэтому я и специально попросил не допускать Чекдиск. Если не реагирует на клаву, ресет можно нажимать. Хотя это и совершенно нежелательно, но спасает ФС от "исправлений".

Насчет "цветовой дифференциации файлов" не знаю.


Цитата:

14336 и 16128 попробовал восстановить важнейший файл,результат одинаковый,файл поврежден

Врядли его можно восстановить. Либо перезаписан поверх, либо координаты неправильные в обеих ФС. Не знаю чем тут можно помочь... Извиняюсь за "лишние телодвижения", шанс очень даже был, просто с этими партмагоидами всегда по-разному и не угадаешь...

Чекдиск я резетом и отменил,он немножко только проработал. Ну этот файл ладно, а остальные только методом тыка пробовать? Т.е никак не угадаешь какой будет работать а какой нет?


бОльшая часть файлов не восстанавливается,точнее практически все что нужно мертвое. Больше ничего нельзя сделать?

Dedfft

Цитата:

остальные только методом тыка пробовать?

Да.

Врядли что-то еще можно сделать по файловой системе. Можете попробовать по сигнатурам, например, просканировать в R-Studio с опцией Extra search for known file types (файловые системы в опциях скана можно выключить). Для фоток может быть полезен PhotoRec, и еще RecoverMyFiles, вроде, нормально по сигнатурам ищет. Но это куча файлов (включая мусор) по типам, без исходных имен и структуры каталогов.

Хорошо,в любом случае спасибо большое за помощь!
Буду теперь ближайшие дни смиряться с горем и выковыривать,что получится..
А что потом с хардом лучше сделать? Мне бы на него семерку поставить,но так,чтобы текущая семерка на втором харде не слетела,и обе были независимые,т.е один хард отрубил,а второй нормально работает с виндой. Тк один хард очень старый и его вообще убрать надо,но он пока нужен,тк файлы там будут.

Dedfft
Когда будете уверены, что закончили восстанавливать инфу, запустите HDDScan, выберите диск и пустите тест Surface - Write. Это удалит все содержимое винта (уберет все реликты, которые в данном случае очень затрудняли поиск фрагментов ФС). Потом отключите все винты (пиатние и шлейф), кроме очищенного, и загружайтесь с дистрибутивного компакта с Виндой (не пользуйте сборки, возьмите нормальную копию и сделайте "народную" активацию). Раздел для системы создайте во время установки (размер сами оцените), а потом в Управлении Дисками создайте второй раздел для инфы (параметры по умолчанию). И не забывайте вовремя делать бэкап.

Цитата:

Раздел для системы создайте во время установки (размер сами оцените), а потом в Управлении Дисками создайте второй раздел для инфы (параметры по умолчанию).

Извините,а зачем создавать раздел для системы и второй для инфы?
Я хотел из этого нерабочего жесткого сделать 1 раздел на 2 тф и им пользоваться полноценно. Или я неправильно понял?.
И форматировать надо лучше через hdd scan или диском от Windows нормально?

Dedfft
Фишка в том, что если нужно переставить ОС "с нуля", то Вы просто форматируете раздел при установке (это очень быстро), а не удаляете пофайлово ненужную ОС (это долго + фигня с правами на некоторые файлы). Ну и другие могут быть причины. Вот если бы Винду на этот винт не надо было ставить, то да, оптимально, как правило, один раздел.

Форматировать HDDScan не умеет. Вам он нужен для того, чтобы убрать мусор, оставшийся от партмагоидов и от накрытого раздела. Он просто запишет весь винт паттерном типа ### HDDSCAN ### <НомерСектора> ###. Создавайте и форматите раздел установщиком Винды...
Да, не делайте "полное" форматирование. Это долго, а смысла никакого. Если хотите проверить винт на дефекты, просканируйте (Read или Verify) в HDDScan, Victoria или MHDD (инфу это не затронет).

Цитата:

Фишка в том, что если нужно переставить ОС "с нуля",

Да это редко надо Главное - ДЕФРАГМЕНТАЦИЯ. Я всегда делаю, например, только "полную". На 2 Тб сколько ЧАСОВ она будет идти ? А так - только Винда + проги - ровно, чисто быстро

igor_me
Тоже хотел сказать про дефрагментацию, но посчитал, что это мало кому нужно "в обычной жизни". Я вот никогда не делал Но один из плюсов, да, более быстрая и при этом безопасная для инфы дефрагментация (были кейсы и после дефрагментации, не самые простые).

Dedfft
Что касается восстановления (важного файла). От какой программы контейнер?

Цитата:

Чем зеленые файлы в дмде от белых отличаются?

http://dmde.ru/manual/filepanel.html

Спасибо за дамп.
Посмотрев его, лишний раз убеждаешься в кривомысленье разработчиков Акрониса.
Hiden Sectors=0 - это нечто.
Больше всего добило несоотвествие данных в новом бутсекторе, MFT и т.п. Видно что оригинальный бутсектор взят за основу, но уже успели подредактировать число скрытых секторов, но при этом не изменив начало MFT. В MFT она состоит из двух прежних кусков, но на деле имеет всего 16 первых записей.
Я не программист, поэтому просто интересно узнать у тех кто в курсе. Неужели так сложно сделать все предварительные расчёты-пересчёты в памяти а потом сразу всё переписать? В таком случае риск есть лишь в тот момент (не очень длительный) когда происходит эта перезапись.

Ещё одна просьба, скажем так - для будущих жертв Акрониса. Какая версия использовалась? Точный номер с билдом.

Цитата:

что это мало кому нужно "в обычной жизни"

Так надо разъяснять народу, что это ускоряет работу и продлевает срок службы HDD, однако...

Добавлено:

Цитата:

Я вот никогда не делал

От вас не ожидал, чессс-слово.

(Я это всё про дефрагментацию системного раздела, разумеется. Вот разделы с данными в сотни гигабайт, их - да, можно и никогда не делать. Вернее изредка делать перемещением инфы "туда-обратно" )

Цитата:

Фишка в том, что если нужно переставить ОС "с нуля", то Вы просто форматируете раздел при установке (это очень быстро), а не удаляете пофайлово ненужную ОС (это долго + фигня с правами на некоторые файлы). Ну и другие могут быть причины. Вот если бы Винду на этот винт не надо было ставить, то да, оптимально, как правило, один раздел.

Поясните пожалуйста с "вот если бы",т.е вы мне не рекомендуете 1 раздел из этого харда делать?.

Сейчас я понял надо делать так..
1)Через HDDScan починить диск.
2) отключить второй хард
3)быстрый формат через виндо-инсталлер
4) Поставить винду нормальную неактивированную и мучиться с активацией(тк всегда ставил втроенные активаторы в сборках)
5) Дефрагментировать диск.


Цитата:

Ещё одна просьба, скажем так - для будущих жертв Акрониса. Какая версия использовалась? Точный номер с билдом.

Он запускался из под винды в репаке и надежно похоронен там же,но это наверняка ласт версия тк с торрента.


Цитата:

Что касается восстановления (важного файла). От какой программы контейнер?

Truecrypt шифрование AES. Не знаете,нет вариантов для его восстановления?

Dedfft
Еще одна из особенностей программы - отсутствие в заголовке созданного "диска" специфической сигнатуры, характерной для других подобных программ, что делает невозможным идентифицировать TrueCrypt-диск, т.к. ни одна из частей виртуального диска не отличается от случайных данных.
Если верить тому что пишут в интернетах, то вариантов нет. В смысле в сигнатурном поиске.
Но всё таки хотелось бы посмотреть ранлист этого файла.

Dedfft

Цитата:

3)быстрый формат через виндо-инсталлер

Если в этом пункте создавать два раздела - то всё верно...

Цитата:

Поставить винду нормальную неактивированную и мучиться с активацией

Как в том анекдоте: "Доктор - пациенту -Вас мучают эротические сны...Доктор, ну почему же "мучают"??? "
Это я к тому, что мучение всегда относительно. Вот у меня есть дистрибутив без всяких сторонних модификаций, а только с внедрённым активатором Отлично всегда работает, проблем не было (у кого-то копировал такой, в инете - не знаю, где взять...)


Цитата:

Ещё одна просьба,скажем так - для будущих жертв Акрониса

Я вот пользую загрузочный диск с версией 10 (билд посмотрю точнее, что-то типа 262). Так вот он всегда "срабатывает". Просто один пример: сегодня на диске 250 (изначально разбитым на два по 120) переставлял Винду. Первый раздел удалил, создал 50 Гб. Осталось пустое место. Загружаюсь с заветного диска, передвигаю раздел вплотную к первому и растягиваю на оставшееся пустое место. Кто с трёх раз угадает, сколько это заняло времени??? Пол минуты, не больше !!! (данных было порядка 110 ГБ). Понятно, что они не двигались, а лишь Заголовок раздела был изменён.
9285

Цитата:

Я не программист, поэтому просто интересно узнать у тех кто в курсе. Неужели так сложно сделать все предварительные расчёты-пересчёты в памяти

Это ещё ладно. Вот как можно умудриться программить так, что 10-я версия работает без глюков, а 11-12 (как-бы более новые, как-бы "исправленные" ) глючат у людей безбожно Вот это покруче "загадки Сфинкса" будет

У меня есть старый вариант этого же контейнера,он как то может помочь?
И мне вам что то загрузить?

Добавлено:

Цитата:

Если в этом пункте создавать два раздела - то всё верно...

Скажите,зачем делать 1 раздел под винду а другой под файлы?,это же ужас как неудобно.. За половиной софта не уследишь и будет на системном диске.. А он не резиновый.. Проще же иметь 1 раздел и пусть все куда хочет ставится..



Не знаете,может на форуме есть кто-то с лицензией акронис диск диретор?,если бы он написал в саппорт,то очень помог бы.



Цитата:

Просто скопируйте первый сектор $MFTMirr в первый сектор $MFT и громко скажите "ниндзя"! Поклонники Sector Inspector'а могут воспользоваться командным файлов следующего содержания.

Кстати это мне не поможет?