» Восстановление разделов и информации на HDD (часть 8)

Предлагает сжать до 300 Гб http://rghost.ru/7zVjdJ9Kk

Цитата:

Предлагает сжать до 300 Гб

О, если до этого сожмёт - это отлично. А то ты своими значениями немного сбил меня с толку.
Пока!

temp9285
Опять выскочило, что не хватает места, а в свойствах показывает http://rghost.ru/6PGcMZwD5

Подскажите принесли диск, предыстория: жесткий после телевизора самсунг сунули в ноутбук и он стал просить отформатировать его, люди его форматнули и естественно данных на нем нет теперь нет, больше в него ничего не под загружали. Пытался поднять файловую систему testdisk-ом без результатно. Запустил R-studio нашел все удаленные файлы, но ни один файл при восстановление не открывается(ни документы, ни картинки). В программе r-studio еще пишет лог примерно так: файловая система - место 1 есть, но но должно быть 0х1. Что можно сделать, подскажите куда капать для восстановление данных?

Цитата:

перейди в сектор 1024016384 и открой том.
Вызови экран Разделы и на нём удали два раздела с вопросительным знаком (мусорные)

Перешел, удалил http://rghost.ru/7MXNb5FH2

Цитата:

вставь (как основной) том с началом в секторе 1024016384 и с индикаторами BCF

не совсем понимаю, как это сделать, поэтому ПРИМЕНИТЬ, пока не нажал.

Цитата:

Только не торопись

нехватало после стольких трудов все испортить...

speno112
Я что то не понял что ты сделал.
Вроде бы как уменьшил 871гиговый раздел, но при этом запись осталась о нём.
Примени изменения, перезагрузи систему и покажи скриншот Разделы и что показывает в диспетчере дисков винды.

yaleshka1984
Забрать букву у раздела. И лучше показать то, о чём пишешь + скриншот Разделы из DMDE.
Форматировали чем? Можно запустить полное сканирование в DMDE на участке переформатированного раздела, сохранить лог и выложить на доступный ресурс, открыть том с наибольшим числом соответствий и пробовать восстанавливать на другой носитель. Проверить целостность восстановленного.
Если битое, то выяснять о чём умалчивают пользователи с шаловливыми ручками.

temp9285
форматировали из под винды, диск не открывался и писал надо форматнуть, они нажали да. Запустил DMDE на 63% процентах отобразился том со всеми данными, но все данные при восстановление не открываются,взять что фото, документы и т.д. ни один вообще. Сохранённый лог на 64%: http://rghost.ru/6w6nHbFM8 Может быть такое , что смещение произошло?

temp9285
Вот скрины
http://rghost.ru/7dlF2pkPl
http://rghost.ru/8xyVC7tB7

yaleshka1984
Хотелось бы увидеть скриншот экрана Разделы.
И ещё нужны дампы секторов 6293504+100 и 6294016+20.
Есть куча причин, которые обьясняют причину не открытия файлов но часть из них вписывается в описание.
Хотя есть одна, вполне реальная - на пустой диск что то записала система.

temp9285
Сделал пока что скрин разделов http://s017.radikal.ru/i415/1602/94/dead637ac2ef.jpg с дампми сейчас разбираюсь.

дамп 2048+100 http://rghost.ru/7xyM4mzDq ай не то сделал, переделывать надо.

1. 6293504+100 http://rghost.ru/78759H4zF

2. 6294016+20 http://rghost.ru/7GdhXxLGj

При обнаружение файловой системы в DMDE мне приходится делать реконструкцию файловой систему, только после этого все папки и файлы появляются, может в этом таится проблема? И если на найденном файле открыть MFT редактор он пишет, выкладываю скрин: http://s011.radikal.ru/i318/1602/ec/d68420125b21.jpg

yaleshka1984
И ещё сделай дампы секторов, номера которых записаны в столбце Последний сектор, у записей в которых присутствует индикатор С.

Добавлено:
speno112
Ты сжал раздел? Я передполагаю что на самом деле, но это характерно для акрониса.
Поэтому давай проверим что в бутсекторе 871гб раздела - или сделай дамп ео начального сектора или наведи строку на него и покажи скриншот с фоновым окном. Ну или напиши какое там значение в поле Total NTFS Sectors

Упс, не надо - в диспетчере дисков видно что ты его поджал.
В таком случае тебе надо сделать следующее
Удали раздел 871 гб, вставь 318гб (как основной) и обязательно задай ему активность - в контекстном меню раздела "Активность раздела".
Если последнее не сделаешь - система не загрузится и прийдётся восстанавливать активность чем то другим.

temp9285

Цитата:

Ты сжал раздел?

Как я тебе писал, при сжатии выскакивали предупреждения о невозможности сжатия, но в свойствах размер уменьшался.
Вот скан
http://rghost.ru/6dVnjys2x

Добавлено:
temp9285
сначала удалить, потом применить изменения, потом вставить 318 потом задать активность. Так?
Боюсь напортачить.

Добавлено:

Цитата:

вставь 318гб (как основной)

В меню не могу найти такого пункта, извини
Активность есть

yaleshka1984

Цитата:

ай не то сделал

- дамп 2048-го избыточен и я его не запрашивал, но раз сделал то уже значит то.

Цитата:

мне приходится делать реконструкцию файловой систему, только после этого все папки и файлы появляются, может в этом таится проблема?

Так и надо - проблема в чём то другом.
Во первых - надо руководствоваться http://dmde.ru/manual/filepanel.html а то может восстанавливаешь удалённое.
Во вторых - сделай дамп секторов 5843152+1544. Затем измени расширение файла на jpg и попробуй открыть. Что видишь?


Цитата:

И если на найденном файле открыть MFT редактор он пишет, выкладываю скрин

Не знаю, то ли скриншоты плохие, то ли радикал такие отображает - выложи на ргхост.
И не надо открывать редактор - просто щёлкни дважды по нужному файлу и покажи как будет.

Добавлено:
speno112
Можно всё последовательно и лишь потом применить, но лучше перед эти покажи скриншот - жду.

temp9285
Скрин
http://rghost.ru/7yNVf9MqD

temp9285
скрин http://rghost.ru/8KrxkK8zZ

дамп 5843152+1544 http://rghost.ru/8YzrqyCBs

расширение на jpg,jpeg менял, без результатно.
если два раза щелкнуть, то вроде как ошибок нет, скрин: http://rghost.ru/6GHnSTVKw


Цитата:

И ещё сделай дампы секторов, номера которых записаны в столбце Последний сектор, у записей в которых присутствует индикатор С.

не могу разобраться.

speno112
Применяй изменения, и можешь перезагрузиться чтобы проверить сработало и или нет.
Потом можешь вставлять раздел 1,67ТБ.


Добавлено:
yaleshka1984
Цитата:

расширение на jpg,jpeg менял, без результатно. если два раза щелкнуть, то вроде как ошибок нет

Всё вполне "нормально" в секторах какой то мусор. Так что практически можно быть уверенным в том, что что то недоговаривают.
Но для точности нужен лог полного (100%) сканирования и ещё посмотри в раздел RAW что есть.


Цитата:

не могу разобраться.

На экране Разделы видишь раздел (жёлтый) у которого последний сектор 1953458175 и индикаторы xCF - вот дамп этого сектора и нужен. И есть другой такой же. Впрочем, последние скриншоты-дампы, в свете написанного выше, намекают что это не очень актуально.

temp9285
Вот, что получилось http://rghost.ru/8Gd5P4D4K
Можно применять? То есть вставлять?

temp9285
В разделе RAW мусор не понятный, скрин: http://rghost.ru/7xRs7p8vH , полный лог скана ближе к утру будет, потом выложу сразу. Есть ли вообще реальный шанс на восстановление данных, а то уже не знаю чего думать, впервые сталкиваюсь, данные вроде они есть и все до единого повреждены?

Что конкретно кажется мусором? Нулевой размер файлов?

igor not me
так и есть нулевой размер, он даже их не восстанавливает, точнее восстанавливает с таким же нулевым размером.

speno112
Можно вставлять и применять.
Но только помни что написано ранее про проверку диска и т.п.
То есть, если после проверки чекдиска (исправления) чего то не будет, то это не будт для тебя неожиданностью.

yaleshka1984
Шанс есть всегда, вопрос только в том каков его размер. В твоём случае, похоже что маленький.
По тому логу, что был выложен раньше очень четко прорисовывается стандартная ситуация, когда раздел ранее сформированный виндой, ею же быстро форматнули. Переписаны 256 записей - далее старые. И предыдущий большой дамп - сектора из первой записи старой MFT. Но там не фото - и на твоём скриншоте - заголовок не jpg-файла.
Я бы мог предположить вариант высунотого диска из контейнера, который шифрует и форматирование в таком виде. Но тогда было бы логично что и старые записи не нашлись.
Пока не могу понять как обьяснить ситуацию. А может и не было телека а было что то типа шифрующего вируса?

temp9285
Ура! Появился диск Е http://rghost.ru/7nfCD4Sq4. Со всеми данными на первый взгляд. Еще скрин. http://rghost.ru/689F7GJtr
Еще что то можно сделать?
Моожет еще и диск D сможете откопать?

speno112
Зачем вставлял как логический?
Проверка-исправление диска делалось? Если нет - сделай в консоле, запущенной о имени администратора
chkdsk e:
Покажи результат.

D - это какой?

Добавлено:
yaleshka1984
Кстати, припомнился один случай, при решении которого выяснилось что файл обрботаны шифровщиком. Но из первых поколений - там шифровался кусок заголовка, причём это было достаточно характерная конструкция, потому то и нашли.
Но дело не в том, что они были зашифрованы, а в том, что они показывались в системе до её переустановки. Скорей всего вирус сидел резидентно и показывал файлы, но стоило его дезактивировать и "шеф, усё пропало".
Так вот и применительно к твоей ситуации. Может у владельцев подобный вирум и они видели фотки - а ты, соотвественно, нет.

temp9285
Я читал случаи, когда телевизоры инициализировали жесткий диск и в дальнейшем он не открывался на компе и показывал формат RAW, но тут была проведено форматирование, на первый взгляд вроде ничего страшного, больше ничего не записывали на диск, а на практике пока видимые файлы, как помойка. Буду надеется на лучшее, как будет скан 100% выложу лог, авось чего выкопает программа еще при скане.

yaleshka1984
Если только инициализация - то это переписанный 0-вой сектор (при MBR), и RAW-ов как бы не должно быть. Кстати, у тебя то ни один из разделов не прописан - это ты делал MBRoff?
Надейся, но ... ладно, не буду пока о плохом.

temp9285
MBRoff не делал, ничего кроме как сканирования не проводил.

temp9285

Цитата:

Зачем вставлял как логический?

а как надо было?
Скан проверки http://rghost.ru/7NkXTHvyv
Осн раздел, 318 Гб по содержанию, это мой бывший диск С; Он вообще появится ?
А где файлы с бывшего D пока не найду.

temp9285

Вернулся из небытия...

Опыта резко поприбавилось, но в процессе появились новые вопросы.


Цитата:

В логе чекдиска смесь как десятичных, так и шестнадцатиричных - что то раньше не встречал такого, поэтому и спрашивал чем проверял.
Поэтому надо сопоставлять разные значения.

Написал небольшую прожку, чтобы не мучиться с переводом. Она пропарсила все строки и если находила шестнадцатиричное значение, то переводила его в десятичное и вставляла рядышком в скобках. Приаттачу откорректированный лог вместе с другой инфой.


Цитата:

Например, в самом начале есть
Удаление элемента Gruz2016 из индекса $I30 файла 5.
Элемент индекса кодов объекта 0x19 указывает на файл 0x88a91,
но в этом файле отсутствует основной сегмент записи файла.
Файл 5 - корневой каталог тома. 0x88a91 = 559761
То есть, в индексе корневой папки имелась запись о каталоге Gruz2016, который имеет (имел) номер записи 559761, но с этой записью какие то проблемы.
Можешь посмотреть что сечас в ней, но боюсь что пустая.

Ну с самой первой строчки, относящейся с почившему каталогу Gruz2016 мне думается выше и цитируемые строки должны выглядеть вот так:

Запись в индексе $I30 в файле 0x5 (5) указывает на файл 0x8a63a (566842),
который расположен вне MFT.
Удаление элемента Gruz2016 из индекса $I30 файла 5.
Элемент индекса кодов объекта 0x19 (25) указывает на файл 0x88a91 (559761),
но в этом файле отсутствует основной сегмент записи файла.
Удаление элемента индекса $O файла 25.
Элемент индекса кодов объекта 0x19 (25) указывает на файл 0x88a85 (559749),
но в этом файле отсутствует основной сегмент записи файла.
Удаление элемента индекса $O файла 25.


Я так понял, получается что если 5 - метка файла в руте, то и все файлы/папки с этой меткой тоже находились в руте ? Странно, а мне казалось, что папка Gruz2016 должна была быть внутри папки 0Huis. Ну это ладно. Прошелся поиском Gruz2016 по всему диску - ничего не нашел, наверное это и не удивительно, раз чекдиск все упоминания о ней удалил.

То есть место где был Gruz2016 находится в MFT 566842, а не в MFT 559761, я правильно понял ?

А MFT 559761 и MFT 559749 уже относятся к файлу 25 ?

А про файл 25 нашел только в папке Root:\MetaData\$Extend (см скриншот 01).


Цитата:

Что касается записи 113423, то этот номер принадлежит папке 0Huis - и это видно на более раннем твоём скриншоте.
А вот что касается имени папки 113424, это тебе лучше понять по именам файлам, упоминаемых в контексте её. Потому как выдача номера записи зависит от систем (драйвера ФС) - опять же и от того как заполнена MFT. Можешь сам просто проверить скопировав на диск какую либо папку с кучкой файлов и подпапок и посмотрев потом номера их записей.
Как то так.

113424 - это папка 0Novgorod, единственная папка оставшаяся живой внутри 0Huis.

Поиск записей:

566842 - не нашел, 559761 и 559749 на скриншоте 02...

Куда дальше рыть ?

Подскажете - чем проверить целостность огромного кол-ва фото
Фотографий 70Gb
В основном своем большинстве это Jpg
Искал в гугле по запросам jpg file integrity check
Но пока не нашол ничего подходдящего

temp9285
лог скана 100% http://rghost.ru/6YYppz2l8

Еще при выборе физического диска у меня выходит окошко. ""Размер диска исходный: 1 953 525 168, Размер диска доступный 1 953 458 176, Размер диска выбранный 1 953 458 176. Возможно не весь объем доступен. Продолжить все равно?""