» Восстановление разделов и информации на HDD (часть 6)

9285
Отключил авто чекдиск через реестр,
сделал посекторную копию в DMDE,
далее поиск NTFS, лог по ссылке
http://rghost.ru/46893805
MBR off в DMDE

Вроде все верно)

emil9
на всякий случай решил перебдеть, спасибо за совет)

cergey4
В краткой инструкции забыл написать что после поиска можешь открыть найденный том, увидеть знакомые папки и имена файлов - повосстанавливать файлы и проверить их целостность.
emil9
Может и старый конь подпортил борозду, но скорей всего дело в чём то другом. И без знания что за ошибки были их причины негоже наговаривать.

9285
Файлы восстанавливать попробую завтра. А восстановить весь функционал разом возможно?

cergey4
Так для чего была вся эта возня? Конечно же - да.

9285
И каковы мои дальнейшие действия? Буду очень благодарен если разжуете неучу)))

cergey4
В ранее бывших случаях не прослеживается алгоритм? Вот сейчас, вместо того чтобы сделать тебе патч, надо описать что будет дальше?
Не критично, но всё таки хотелось бы увидеть что там с начальными 4-мя записями. Поэтому не лишним будет дамп секторов 6291519+10

Цитата:

Может и старый конь подпортил борозду, но скорей всего дело в чём то другом. И без знания что за ошибки были их причины негоже наговаривать.

ну может конечно в чем-то другом, но грузили с cd , операционка вряд ли виновата, остается несовместимость железа, что очень даже может быть учитывая что ghost был старый. вроде пытались разобраться что к чему но процентах на 70 гость зависал и все.

9285
Открыл диск в DMDE, файлы восстанавливаются, папки вроде все на месте, принт скрин по ссылке
http://rghost.ru/46909413

дамп секторов 6291519+10
http://rghost.ru/46909302

Добавлено:
попробовал восстанавливать фотки и doc файлы, все норм, открываются

cergey4
Ну вот всё было красиво - прямо классика жанра в стиле A-data, но дамп обломков начала MFT смешал карты. Вроде бы как и ранее сдвиг, но при этом как бы цел ранлист, при этом он не соотвествует логу Поиска NTFS. Интуиция подсказывает что поиск прав, но в этом деле нельзя пренебрегать малейшими сомнениями. Так что я попозже выложу список дампов секторов на которые хотелось бы взглянуть, но пока можешь повторить дамп 6291519 но +100 (обычно так запрашивается, но не думал что попадется такой уникум, и ограничился лишь критично важными секторами).

9285
Спасибо за участие, дамп скину завтра к ночи.

Дампы и этих секторов сбрось.
6300759+8, 132557551+8, 264843767+40

9285
Доброго времени суток, вот необходимые дампы
http://rghost.ru/46947159
http://rghost.ru/46947187
http://rghost.ru/46947197
http://rghost.ru/46947212
Надеюсь все не так критично как ты описываешь.

Доброго времени суток, по незнанию один умник форматную HP-ноутбук, а там были семейные фотографии за последние 5-6 лет.

Я прошелся по диску HITACHI HTS727550A9EJF2O программой R-STUDIO.

Ни на одном из зеленых Recognized дисков я не смог найти старые файлы, только на оранжевых Recognized есть мой старый рабочий стол и папка с фотографиями.

Я врубаю процесс восстановления но в ответ получаю только это:


Information System 23.06.2013 0:36:08 Enumeration of files for Recognized43 completed
Information System 23.06.2013 0:36:57 Recover files started
Error Recover 23.06.2013 0:36:57 Recovering file C:\Users\Timur\Documents\R-TT\R-Studio\Тимур\Все друзья\2012\IMG_1338.jpg failed. Data size is greater than 64 KB limit for R-Studio Demo.
Error Recover 23.06.2013 0:37:02 Recovering file C:\Users\Timur\Documents\R-TT\R-Studio\Тимур\Все друзья\2012\IMG_1324.jpg failed. Data size is greater than 64 KB limit for R-Studio Demo.
Information Recover 23.06.2013 0:37:12 Successfully restored: 0 files. Failed: 1 files.
Information System 23.06.2013 0:37:12 Recover files completed
Information System 23.06.2013 0:38:03 Recover files started
Warning Recover 23.06.2013 0:38:03 Start postion of file (246511325184) is outside filesystem size (235746631680) while recovering C:\Users\Timur\Documents\R-TT\R-Studio\Тимур\Все друзья\2012\IMG_1296.jpg. Try to recover this file using all recognized partitions.
Error Recover 23.06.2013 0:38:03 Recovering file C:\Users\Timur\Documents\R-TT\R-Studio\Тимур\Все друзья\2012\IMG_1296.jpg failed. Can't read file to be recovered completely (801).
Warning Recover 23.06.2013 0:38:11 Start postion of file (260951818240) is outside filesystem size (235746631680) while recovering C:\Users\Timur\Documents\R-TT\R-Studio\Тимур\Все друзья\Видео всех друзей\IMG_4325 (22).avi. Try to recover this file using all recognized partitions.
Error Recover 23.06.2013 0:38:11 Recovering file C:\Users\Timur\Documents\R-TT\R-Studio\Тимур\Все друзья\Видео всех друзей\IMG_4325 (22).avi failed. Can't read file to be recovered completely (801).
Warning Recover 23.06.2013 0:38:12 Start postion of file (248627290112) is outside filesystem size (235746631680) while recovering C:\Users\Timur\Documents\R-TT\R-Studio\Тимур\Все друзья\Видео всех друзей\IMG_4325 (21).avi. Try to recover this file using all recognized partitions.
Error Recover 23.06.2013 0:38:12 Recovering file C:\Users\Timur\Documents\R-TT\R-Studio\Тимур\Все друзья\Видео всех друзей\IMG_4325 (21).avi failed. Can't read file to be recovered completely (801).
Warning Recover 23.06.2013 0:38:12 Start postion of file (255712362496) is outside filesystem size (235746631680) while recovering C:\Users\Timur\Documents\R-TT\R-Studio\Тимур\Все друзья\Видео всех друзей\MVI_1200.avi. Try to recover this file using all recognized partitions.
Error Recover 23.06.2013 0:38:12 Recovering file C:\Users\Timur\Documents\R-TT\R-Studio\Тимур\Все друзья\Видео всех друзей\MVI_1200.avi failed. Can't read file to be recovered completely (801).


Буду вам очень и очень признателен если подскажите мне как восстановить утерянные фотографии.

cergey4
Не, не так и критично, но всё таки выяснилось кое что новенькое. Чтобы не повторять - можешь глянуть на другом форуме это и дальше.

inside22
Если только формат в пределах того же раздела, то зависит от того чем форматнули, были ли последующие записи на раздел и т.п. Главное сейчас - не работать с этим разделом из системы которая может на него писать

9285
Приветствую,
из обсуждения на IXBT, помимо всего прочего понял что у меня две записи MFT, чего быть не должно, и из каждой можно попробовать восстановить файлы, а потом сиди и сравнивай)
Вторая MFT могла появится после первоначального зверского отключения от ноутбука и последующего подключения к компу по USB, на компе win7 очень долго инициализировал диск, после чего показал, что якобы все в порядке, визуально все файлы и папки были на месте. Потом, как я уже описывал, подключал к тому же ноуту - диск уже не читался и т. д.

Вот дамп о котором упоминалось в обсуждении
http://rghost.ru/46975069

cergey4
На самом деле не две а два варианта 16-ти записей.
Есть вариант когда они идут в общем блоке - исходя из лога поиска, да и физически они есть.
И есть они же, но перемещённые в другое место; а место где они были раньше помечены ка сбойное. Хотя на самом деле это не так потому что ты без проблем их вычитал.
И тут основной вопрос когда возник второй вариант - ранее или уже во время проблемы. Как раз на днях один участник дал ссылку на парсер журнала ФС. Возможно по нему можно будет определить что и когда делалось. Но для этого нужен сам журнал. Можешь сдампить ещё следующие сектора 616431+8, 264843743+8, 6160463+41112, 264843727+4, 48871+24404. Только выкладывай не по частям а одним архивом. И попытайся описать когда и что происходило то, что написано в самом начале. Например "хх июня днём очищал корзину и т.д"
PS. Впрочем, можешь последовать совету Yatagan, отказавшись от in-place, и восстановить файлы средствами DMDE.

всем привет

По своей невнимательности убил жесткий диск при установке семерки. Произошло это так - я просто выбрал вместо бывшего системного диска другой хард, разбив его на два раздела. После установки винды, я заметил что натворил, решил переустановить. Поставил все как надо, хард, на котором была вся инфа переформатировал в один раздел. Собственно вопрос - каким софтом можно с того харда вытянуть инфу. Хард WD Green. Сейчас он стоит пустой, я его на всякий случай отключил.

Да, после установки винды я его просканил GetDataBack, но результата это не принесло. Она показала только то, что на нем была винда, которую я по ошибке поставил.

P.S. Отформатировано все было средствами семерочного установщика.

9285
на ноутбуке была восстановлена родная ОС, которая в отдельном партишине хранится.

А что делать с файлами? Они вроде восстановились, даже размер файлов отображается... но просмотреть ни одну фотографию не получается.

[more] 9285
Дампы в архиве
http://rghost.ru/46978917

А журнал как-нибудь слить можно?

Подруга говорила, что диск у нее не определялся на том-же ноуте, но достаточно давно, около года назад (винда предлагала его отформатировать), в следующий раз через несколько месяцев(декабрь 2012) при подключении диска винда его увидела, на диск залили фотки и убрали в ящик, возможно что-то удаляли с диска, не помню.
В январе 2013 заливали инфу на диск, после этого он вроде лежал без дела до 16.06.2013
16.06.2013 - вечером залил на диск несколько десятков гигов файлов с ноута
17.06.2013 - на том самом ноуте переустановил винду
18.06.2013 - в обед скопировал с диска несколько файлов на ноут
18.06.2013 - 17:00 при подключенном диске к ноуту запустил операцию очистки корзины, корзина долго чистилась, несмотря на то, что была практически пуста, светодиод на внешнем диске заморгал, диск зашуршал...
18.06.2013 - 17:05 - Ждать надоело, попытался извлечь диск средствами винды, подождал еще немного...
18.06.2013 - 17:10 нажал пуск -> завершить работу, прождал еще 5 минут....
18.06.2013 - 17:15 винда ни как не могла завершить работу, выдернул диск.
18.06.2013 - 17:16 подключил диск к компу
18.06.2013 - 17:25 винда инициализировала диск (процесс занял минут 10)
18.06.2013 - 17:26 отключил диск от компа
18.06.2013 - 21:00 подключил диск к ноуту - диск не определился
Время приблизительное, последовательность верная
[/more]

Добавлено:
9285
опять сообщение свернулось

Цитата:

А журнал как-нибудь слить можно?

В дампах как раз таки фрагменты журнала. Но, при расчёте номеров секторов начал фрагментов я чуть ошибся и поэтому два фрагмента не те. Сделай ещё 6160431+8 и 6242695+24404
Что бы текст сообщения не был свёрнут убери из текста коды в скобках (и сами скобки) more и /more
Для этого зайди в правку сообщения.

Добавлено:
inside22
Если ничего не изменяли в структуре разделов после покупке, то результат предсказуемый.
На фоне его быстрый формат был бы просто счастьем. Сейчас же поверх прежних данных записались файлы заводской системы. И их немало. Так что восстановление может быть лишь частичное как по файловой системе, так и по сигнатурам.
Другое дело если бы ранее всё было бы сделано по человечески - система на отдельном разделе, данные пользователя на отдельном. Да, это бы не спасло от варварского (наплевательского) подхода НР к пользователям - а именно уничтожение предыдущих разделений и восстановление всего одного раздела, но это бы уменьшило потери данных, а при хорошем стечении обстоятельств позволило бы восстановить полностью данные на отдельном разделе. Или было сделано по нормальному?

9285
новые дампы
http://rghost.ru/46991347

Начало..

Сделал требуемые сектора в DMDE + приложил скрин ошибки при открытии в DMDE, до этого забыл запихнуть в архив http://rghost.ru/46995874


Цитата:

PS. Если будешь ещё делать дампы с помощью DMDE - не меняй их имена. Они информативны, а если уж и хочется что то обьяснить то можно добавить в имя файла или в комментарии написать что и от чего.
Я то понял какой от чего, но не всегда так легко это бывает. Да и lba0_1 это не от физичекого диска а от логического первого.

Имена не мог не поменять, на каждый логический диск DMDE упрямо предлагала один и тот же вариант имени lba_0_1.bin Сделал ещё раз их WinHex на всякий случай

Dawnreader
MFT сильно фрагментирована, и тебе повезло что 0-вая запись хоть и смещена (как и 1,2,3) тем не менее её можно реконструировать или просто из неё извлечь ранлист. Но надо всё таки убедиться что нет каких то неувязок. Поэтому нужен лог поиска NTFS на проблемном разделе.
PS. Насчёт имён понял - это просто прямолинейное действие.
Хотя в DMDE можно делать по другому - открываешь физический диск. На экране Разделы выделяешь требуемый логический, после Esc или Закрыть и ты находишься в начальном секторе выбранного раздела но только теперь имя дампа будет соответствовать LBA физического диска.
PPS. Чтобы дать правильную ссылку на сообщение, надо нажать на Отправлено нужного сообщения, а затем скопировать в адресной строке адрес. В твоём случае это выглядит так.

9285,
к сожалению все сделано было не по уму... то есть все было ровно так, как на момент покупки ноута.

скажите пожалуйста, а то, что эти файлы-фотографии весят Н-ое количество мегабайт, это ничего не значит? Они совсем пустышки или просто повреждены?

Можно ли их как то восстановить?

cergey4
Ты заглядывай в ту тему - мы там с коллегой обсуждаем твой кейс.
В том числе я написал что в журнале системы тоже присуствуют сдвиги. Надеюсь что в самих данных таковых не будет.
Ну и в общем то, у меня есть три варианта патчей - я их выложу, а ты уж решай какой использовать.
Самое главное чтобы ты понимал что будешь делать.
inside22
О каких многомегабайтах идёт речь? О реальных размерах файлов или о размерах файлов после восстановления по сигнатурному поиску?
В первом случае ты получил те данные, которые расположены в кластерах где ранее была фотография. И тут главное какая часть её повреждена. Здесь не встречал, но на хоботе есть тема про восстановление битых jpg - вот тамвсё достаточно хорошо описано.
Во втором случае это последствие такого способа восстановления. Не так давно у меня был случай аналогичный твоему (ноут Compaq (это то же что и НР) и восстановление заводского образа.
Восстанавливал различными способами, в том числе решил проверить и с помощью R.saver.
Правда я делал кое какие очистительные работы, которые убирали мусор от заводской системы - но это не критично. Так вот в результате восстанавливались экселевские файлы, фотки и прочие данные невероятных размеров. Максимальный был более 4-х ГИГАбайт.

inside22
то, что эти файлы-фотографии весят Н-ое количество мегабайт, это ничего не значит?
Это значит, что найдены их записи в MFT. Но либо неправильно определено начало раздела, либо содержимое перезаписано при раскатке образа от ноута. Не пробовали в DMDE сделать Поиск NTFS и восстановить те же файлы? Бесплатная версия должна по одному файлу полноценно восстанавливать.

9285
Тему почитал, ситуация неоднозначна как я понял даже для таких гуру как ты и твой коллега.

Цитата:

Самое главное чтобы ты понимал что будешь делать.

С этим будет сложнее без дополнительных инструкций...

На всякий случай есть спасительный образ, из которого можно все файлы попытаться вытянуть поштучно.

9285

Лог поиска NTFS...

P.S. За науку спасибо.

cergey4
Архив с патчами. Там все три вараианта которые я описал в другой теме. По мне они все равноправны - так что выбирай какой хочешь.
1. Открываешь проблемный физический диск.
1. Записываешь содержимое патча через Сервис-Копирование секторов.
Источник - файл патча.
Место для записи - сектор, номер которого записан в имени файла.
2. После записи патча переоткроешь диск и можешь сразу заходить в том.
Если записал всё правильно то и без поиска откроется том.
3. Перезагружаешь систему и не допускаешь запуска чекдиска.
4. Запускаешь чекдиск в режиме только чтения и выкладываешь здесь результат.
По результату будем определять можно ли делать исправления чекдиском или надо ещё подрихтовать.
PS. Ты уже наверное понял что проблема в двух вещах - неправильное отключение (как пердпосылка), и собственно коробчонок от A-data. Соотвественно, от этого бокса надо избавляться.

Dawnreader
Первые четыре записи MFT сдвинуты на один сектор. Ситуация почти такая же как у cergey4, поэтому не буду повторяться - читай советы и как исправлять.

9285

Почитал, я так понял, что варианта два - вытащить файлы через что-нибудь типа R-Studio на другой хард, переформатировать и вылить данные обратно или соорудить патч и попробовать отремонтировать MFT ?