» Восстановление разделов и информации на HDD (часть 6)

Antech
Кажется запутался
можно сейчас любым восстановщиком восстановить данные второго харда?
и так же можно было восстановить первый хард?
с патчем получается для того чтобы не копировать с харда?

Antech

Цитата:

По результатам Чекдиска все нормально. Советую скопировать самое важное через рекаверилку типа DMDE, после чего chkdsk.exe Раздел: /f.

Все нормально открывается после chkdsk a на клон диске копирую данные

вот скрин окна с разделами

Добавлено:
я так понял что эта прога HDD capacity recovery и снимает етот HPA...

Jankas

Цитата:

с патчем получается для того чтобы не копировать с харда?

Да.
Бывает, что патч повышает эффективность рекаверилки. Но основное назначение патча - восстановление in-place (без копирования). Если Вас устраивает копирование на другой носитель, используйте авторекаверилки...

Bikchast
Вот и славно. Если что, разделом можно пользоваться без копирования. В данном случае копирование - средство защиты от возможных глюков Чекдиска. Если он сделал исправления нормально, что и копировать нет особого смысла (если он вообще есть в подобных кейсах).

3eJIeHbIu
Спасибо, сейчас посмотрим...
Похоже, что-то уменьшило размер раздела в таблице. Всего на два сектора, но, AFAIR, этого достаточно, чтобы Винда не монтировала. Пожалуйста, выложите дамп нулевого сектора физического диска (DMDE - Копировать секторы, с физического диска в файл).


Цитата:

эта прога HDD capacity recovery и снимает етот HPA

Да, и не только она одна. Прога называется "HDD Capacity Restore Tool", даже я помню .

Antech
Даже система грузится после ERD Commander a

Цитата:

Вы были правы частично. В принципе, можно было оставить 42, но я сделал на всякий случай 43.

Отнюдь. С 42 была бы ошибка MFT - так что куда пройти за причитающимся выигрышем?

Bikchast
Ясно, спасибо за пояснение - просто подобных глюков в ранлистах пока не встречал, поэтому подумалось что ты пытался сделать патч, что то не получилось и поэтому спосил здесь.

Antech
поможете с патчем для второго харда?

Jankas
У второго винта тоже интерфейсные ошибки + переназначенный сектор. Причина ошибок выяснена.
И для патча нужны дополнительные данные. Можно было бы дать номера секторов с учётом стандартный для микрософта смещений, но если они там не таковые то толку. Поэтому расчитай нужные сектора сам.
В экране Разделы выделяешь раздел начинающийся в секторе 2048 и закрываешь окно Разделы.
Если всё сделал правильно, то на экране будет 2048 сектор (посмотри значение LBA) и вид у него как загрузочный сектор NTFS.
На скриншоте отметил важные для тебя значения и что проверить http://rghost.ru/47242469.view
Затем делаешь два простых расчёта
Начальный сектор MFT= Смещение раздела (1) + размер кластера(2)*Смещение MFT(3)
Делаешь дамп этого и последующих 50 секторов.
Аналогично и для зеркала, только меняешь соответствующее значение смещения (4) - для этого дампа достаточно последующие 10 секторов.

9285

Цитата:

С 42 была бы ошибка MFT

Почему? Я бы сместил поле смещения экстента на один байт влево, поставив после него 00, и врядли там были бы какие-то проблемы. Другое дело, что можно оставить нулевой старший байт размера на всякий случай, хотя размеры беззнаковые и для них, вроде, можно поля целиком занимать.
Я сказал "частично", потому что, с одной стороны, можно было и 42 оставить (сместив поле смещения влево), но, с другой стороны, 43 намекало на то, что само по себе поле смещения нужно усекать слева, а не справа.

Jankas
Ждем дамп 10 начальных секторов MFT...

Antech
Я уже когда то задавал задачку по составлению ранлиста, в которой впоследствии было выяснено что при определённых условиях надо добавлять 00. А недавно был кейс, в котором я делал патч и вроде всё правильно делал а проверка чекдиском давало ошибку. А когда добавил 00 в одном из фрагментов, то сразу всё заработало. Я не в курсе какие точно, но есть опеделёные значения после которых нужно увеличивать число знаков.
PS. И косвенным доказательством является сгенерированные известной программой аттрибуты.
Это я уже проверил на всякий случай - те самые 43.

9285
Интересно... А Вы это обнаружили именно на полях размеров экстентов?

Если говорить о смещениях, где актуален знак, то можно точно сказать, что нулевой старший байт нужно добавлять для значений, больших 7F (7FFFh для двухбайтовых, 7FFFFFFFh для 4-байтовых полей и т.д.). Это связано с тем, что, грубо говоря, старший бит используется для знака, ну Вы, наверное, это и так знаете. (Если быть более точным, то при поднятом старшем бите нужно вычесть данное значение (с учетом старшего бита) из FF (FFFF, FFFFFFFF и т.д.) и прибавить единицу, после чего сменить знак. Сейчас проэкспериментировал с калькулятором )

Antech
Ваши представления об уровне моих познаний завышены.
И заметил я это пока лишь на значении размера фрагмента в кластерах.
Вот и в крайнем примере второй фрагмент имеет размер 44800 (не принимая во внимание специфику кейса). И в том же sencalc в хексах это значение равно AF00, но в ранлисте оно 00AF00
Собственно это я и имел в виду.

9285
Значит все-таки в размерах... Ясно, спасибо за инфо, будем добавлять нули и в размеры.
В калькуляторе (виндузовом) - да, AF00 воспринимается нормально, но в decimal это -20736. Возможно, драйвер и Чекдиск трактуют поле размера тоже как знаковое.

Antech
так я же выкладывал уже выше или он не пойдет? у меня просто сейчас нет под рукой диска етого

9285,Antech

Цитата:

Начальный сектор MFT= Смещение раздела (1) + размер кластера(2)*Смещение MFT(3)
Делаешь дамп этого и последующих 50 секторов.
Аналогично и для зеркала, только меняешь соответствующее значение смещения (4) - для этого дампа достаточно последующие 10 секторов.

правильно ли рассчитал?
скрин
дамп1
дамп2

3eJIeHbIu
Сорри, это я пропустил.
Попробуйте исправить таблицу разделов. DMDE - Копировать секторы. Источник - файл MBR-M.img, приемник (место для записи) - физический диск. На приемнике начальный сектор 0. После этого переподключите диск или перезагрузитесь. Винда монтирует раздел? Если нет, покажите, пожалуйста, что сейчас говорит chkdsk.exe БукваРаздела: без /f и дамп 10 секторов физического диска, начиная с сектора 6291519.

Jankas
Все правильно. Спасибо, по возможности посмотрим...
Также смещения в MFT, записи $MFT и $Logfile. Плюс записи $Volume нет. $MFTMirr, вроде, не затронута. (Блин, вначале неправильно написал, исправил.)
Попробуйте записать патч также, как делали для первого винта. Источник - файл MFT-M.img. На применике (место для записи) задайте начальный сектор 6293504. После этого проверьте что говорит Чекдиск без /f.

Antech
Тип файловой системы: NTFS.
Метка тома: Volume Label.

ВНИМАНИЕ! Параметр F не указан.
CHKDSK выполняется в режиме только чтения.

Проверка файлов (этап 1 из 3)...
Проверка файлов завершена.
Проверка индексов (этап 2 из 3)...
Удаление элемента индекса $O файла 25.
Утерян элемент индекса кода объекта или обнаружен повторяющийся код объекта
для сегмента 3 записи файла.
Проверка индексов завершена.

Обнаружены ошибки. Продолжение работы в режиме только чтения невозможно.

Jankas
Чекдиск ничего существенного не нашел. Все должно быть нормально.
Рекомендации аналогичны предыдущему винту: копирование самого важного (стандартным путем или через рекаверилку) и запуск Чекдиска на исправление (параметр /f).
Да, после Чекдиска Volume Label можете переименовать в свойствах раздела обычным путем.

Antech
Спасибо

Как определили ошибку?

9285

Применил патч, заходит в раздел без поиска, по прежнему ругаясь на объём диска.

Прогнал chkdsk в режиме чтения лог

Мне кажется, что некоторых каталогов я не досчитался.
Дальнейшие мои действия ? И вопрос можно ли устранить последствия первого чекдиска сдуру запущенного с /f на первый системный раздел, когда диск перестал определяться, осмотр выявил что он мне снёс папку пользователя щедрой россыпью запихав её в found в рандомном порядке, там на рабочем столе было пара небольших нужных папок. Или придётся вытаскивать через r-studio ?

Jankas

Цитата:

Как определили ошибку?

Смещение? Визуально... Несложно было догадаться, там очевидно... Если интересно, почитайте, например, Криса Касперски про внутренности NTFS (статья была на сайте insidepro) и сравните со своими дампами.

Antech
Спасибо почитаю.
Остался третий жесткий диск такой же как второй wd250gb sata , но только не определяется даже биосом. При включении компьютера он начинает стучать и потом выдает ошибку "master hard disk error".

Jankas

Цитата:

При включении компьютера он начинает стучать и потом выдает ошибку "master hard disk error"

Про этот, скорее всего, можно забыть. Наверняка головы/коммутатор, а это все (только DR-фирма, шанс сделать самостоятельно близок к нулю + нужен специально подобранный донор на головы). Можно открутить плату и почистить контакты разъема плата-гермоблок, если быть аккуратным, то это безвредно, но врядли поможет. На всякий случай можете почистить контакты и проверить как определяется в MHDD или Victoria for DOS.

Еще немного про смещение... Это довольно частый глюк, который бывает и из-за "UDMA CRC Errors", и из-за неправильной работы USB=SATA адаптеров. Это именно то, на что нужно надеяться, т.к. смещение обычно легко исправляется. Альтернатива в подобных кейсах - затертое или полностью испорченное начало MFT, когда сравнительно простыми исправлениями не отделаться, когда нужно собирать ранлист MFT с нуля вручную (я не пользуюсь для этого DMDE, хотя, похоже, фича такая там уже предусмотрена). Поэтому-то сразу смотришь в надежде на смещенные начальные записи MFT.

Dawnreader
Последствия чекдиска практически необратимы, так как он не делает лога своих действий.
Что касается остального, то видимо я раньше пропустил лог поиска NTFS, но сейчас увидел.
И если сопоставить его с ранлистом то можно увидеть что имеется первый очень большой фрагмент (в ранлисте), но в логах поиска такового нет - зато есть куча кусков. Это свидетельствует о том что повреждения затронули и записи MFT - соотвественно это потеря этих записей и того что с ними связано.
Хотя можно посмотреть что там на самом деле - то ли мусор, то ли сдвиг. И если сдвиг, то может получится его (их устранить).
Один из таких участков находится в районе 216022505-216022913. Можешь сбросить фрагмент из этого диапазона или весь участок - посмотрю. Только предупреждаю - в MFT могут храниться и резидентные файлы (небольшие по размеру) и их содержимое может стать известным. Поэтому, если есть какой то конфидишен и не хочешь его поубличности, то можешь сбросить ссылку на дамп в личку тому, кому доверяешь.
В любом случае, если восстановление по файловой системе не помогает, то можно воспользоваться поиском по сигнатурам.

Вобщем из трех разделов винта два считались и скопировались посекторно без единой ошибки. С третьим (на нем была система) примерно 100 гб. ошибки лезут буквально с самого начала копирования.
Если часть диска считалась нормально значит головки живы а повреждена поверхность или глючат таки головки?
На диске с в доках лежали полезные вещи. Есть шансы их восстановить в конторах по восстановлению если у диска такие симптомы?

JekG
А чем копировали?


Цитата:

Если часть диска считалась нормально значит головки живы а повреждена поверхность или глючат таки головки?

Может быть по-разному. Точно скажет только DR-специалист, практикующий "физику", после диагностики.


Цитата:

Есть шансы их восстановить в конторах по восстановлению?

Шансы есть. Я не знаю как в Эпосе, но обычно, AFAIK, нормальные фирмы берут деньги только за результат. Вы можете это уточнить у Эпоса.

Antech
нашел бесплатную прогу EASEUS Disk Copy http://www.easeus.com/disk-copy/ она создает бутовую болванку и там уже под досом можно клонировать весь винт целиком или пораздельно. мне показалось удобно. правда долго. на раздел 900 гб ушло 6 часов)
таки занесу винт пусть спецы поковыряют.

JekG
Ясно. Лучше бы Вы использовали бесплатную версию DMDE.
Обращаться в фирму логичнее до самостоятельных действий, а не после, но теперь уже не важно... Спросите у них насчет политики оплаты: по результату или в любом случае нужно платить какую-то сумму.

Antech

Цитата:

На всякий случай можете почистить контакты и проверить

почистил контакты и он определился
вот сканы и дамп (правильно или нет незнаю)
1
2
3
4
5
дамп1
дамп2

9285

написал в ЛС