» Восстановление разделов и информации на HDD (часть 8)

temp9285

Цитата:

Я не знаю что хотел увидеть Alex_Green в указанных секторах

Дык на основе вот этого скриншота и хотел посмотреть. На другом же скрине действительно предполагается относительное смещение в 31 сектор, то есть 2079 +31 = 2110. Но там прописан мусор, а вот вторая фат таблица похоже цела и невредима. В принципе можно попробовать прописать вторую фат таблицу на место первой, и сконструировать бутсектор.

insight81

Только до этих операций нужно обязательно сделать посекторный файл образ флэшки.

igor not me
На самом деле мне непонятно что находятся метафайлы, есть их размер, но нет ничего.
Впрочем, уже сейчас есть подозрение что это основывается на данных зеркала - там как раз только 4-ре записи. Но только смысл таких находок, если там не будет самой MFT.
А насчёт цвета - сам потом увидел.

Alex_Green
Что касается того скриншота, ведь знаешь - я с FAT знаком поверхностно, и тем более не знаю что означают цифры на скриншоте.
Но теперь предполагаю что размер FAT, а в первой строке выживший участок (конец) FAT1.

temp9285

Цитата:

Мысль была озвучена ранее.

Я не такой спец во всем этом, все что я понимал, сделал, можно еще раз, немного подробнее, что можно сделать.
Например я писал, что в EasyRecovery стояла птичка Enable file signature scan плюс к NTFS и FAT. Как я понимаю первое, это поиск по сигнатурам, но как надо? Извините за назойливость

dmkov9
Здесь немало вопрошавших не спецы в этом, тем не менее им достаточно запроса экрана Разделы, дампа и т.п. для того, чтобы сделать это. Ведь для этого достаточно чуть чуть поработать с поиском и почитать - в том числе и тему, в которой масса примеров выкладываемого контента и т.п.
PS. Скриншот экрана Разделы - наверное самое лёгкое из запрошенного. И если на нём такой спотыкач, то что же будет дальше?

temp9285
Разделы как я понимаю это:

dmkov9
Ну вот, не всё так сложно как кажется.
Теперь на экране наведи курсор на раздел media и сделай скриншот так, чтобы было видно содержимое фонового окна DMDE.

Добавлено:
Исходя из того, что видно на скриншоте, подтверждается версия о том, что выжило зеркало.
Вопрос в том, что осталось от MFT
Можешь попробовать открыть этот том, затем зайти во Всё найденное+реконструкция, согласиться с виртуальной реконструкцией и далее смотри какие будут предупреждения типа "Не найдена запись тра-та-та MFT". Это и будет число потерянных записей. После окончания этих предупреждений смотри осталось ли хоть что нибудь.
И можешь делать предложенное ранее по поводу Полного сканирования.

temp9285
Фоновое окно:

Сделал, как написал. Была ошибка MFT #2-8703
Вот результат:

Знакомых папок, которые там были не видно, но много описаний из программ, которые у меня стоят на компе.
А полное сканирование имеется ввиду в EasyRecovery?
Я его проводил там с галками FAT, exFAT, NTFS и RAW scan. Вот только у меня вопрос сразу, а в чем разница (как надо) Part03 или диск Е?
И указывал я там Formatted Media Recovery.

dmkov9
Ну вот, классический пример использования какой то нестандартной утилиты форматирования. Которая поместила MFT в самое начало раздела - неудивительно что она вся канула в лета, чему подтверждение в сообщении (*) о диапазоне отсутствующих записей.
Так что увы и ах - RAW-восстановление без привычных имён и сортировки по папкам.
(*) Размер файла $MFT - по данным со скриншота ранее 8912896 байт. При стандартном размере записи 1024 байта это 8704 записи. Учитывая что номерация начинается с 0, последняя запись как раз 8703.

temp9285
Жаль. Спасибо за помощь.
Изначально диск форматировался виндой в NTFS.
А эту прогу... Я просто с флэшкой намучился, глючила, все перебирал и... сделал себе лишний геморой

dmkov9

Цитата:

Изначально диск форматировался виндой в NTFS.

Возможно, но впоследствии что то делалось с разделом (увеличение, уменьшение, смещение) уже не виндовыми средствами.
У винды стандартное смещение, и при 8секторном кластере оно равно 786432 (*), но никак не 4.
(*) А это район 3гб - и вполне понятно что время на отмену опасного действия намного больше.


Добавлено:
PS. Если хочешь убедиться окончательно в невозможности восстановления в нормальном виде - сделай дамп секторов 267739322+10 и выложи лог Полного сканирования на участке проблемного раздела.

temp9285, Alex_Green
Посекторный файл образ сделал.
Подскажите, как прописать таблицу FAT2 на место FAT1? Как делать бутсектор?

temp9285

Сколько действий, а может ну это всё. сhkdsk /f ?

insight81
Размер FAT виден на одном из скриншотов - 15305 секторов.
Вот и скопируй такое число секторов, начиная с 17415 в файл или сразу в сектор 2110.
Что касается бутсектора, то тут не могу гарантировать, потому как если и делал для фата, то очень давно.
Но скорей всего, можно взять от какого нибудь рабочего тома и внести корректировки в соответствии с данными твоего тома.

bahtey
Если тебе даже хочется примитивно тупо запустить чекдиск, то всё равно не получится. Да и здесь неподалёку есть пример того, что может сделать чекдиск.

temp9285
А вот не факт.
Было - 250 гб внешн. диск сигейта - ну вытащить только фотки попросился с RAW, а потом фиг с ним - хоть удаляйте всё.
Ну часть вытащили, а после человек говорит дома продолжу - для эксперимента пройтись решил чекдиском, обнулил всё, запутил поиск - и ёще часть вытащил файлов. Хотя, файлы презентаций и эксель там были - порушились.
Но, диск на гарантии был - отдал на ремонт - заменили, потому как то ли второй раз уже валился диск, по питанию может.
Софт бед - сработало.

Другое - ну не всё вечно.

bahtey

Цитата:

А вот не факт.

Как раз таки факт.
Потому как в случае:
dmkov9 чекдиск скорей всего запустится, пропишет 4 записи из зеркала в 4-кластер, создаст новый корневой каталог и прочие структуры, и может это сделать на месте нынешних данных. То есть, лишь ухудшит возможность восстановления.
insight81 почитай начальное сообщение - он уже пробовал.

Что касается твоего случая, то это без каких либо данных о том что было выглядит как "ткнул пальцем в небо".

Цитата:

обнулил всё

Только не пиши что весь диск, а то и так смешно.

Ладно. Пусть как есть.

Добавлено:
А-ха. понял. мой косяк. но "обнулил" - не в смысле затирка диска.

Я пишу через rdp соединение, отваливается связь, потом уже не вижу что выше написано порой

insight81
http://rghost.ru/7Gh7FH2Pb/image.png
Синим выделены критичные значения. Остальные скорей всего - нет.

insight81
Boot sector можно скачать здесь. Затем в DMDE нужно перейти в меню Сервис >> Копировать Секторы. Потом в источнике указать файл, а в приемнике сектор 2079 (если флэшка открыта как физический диск). Точно также сначала сохраняем вторую фат таблицу в файл. Начиная с сектора 17415 копируем 15305 секторов в файл. Затем выбираем этот файл в качестве источника и копируем 15305 секторов на флэшку выбрав начальный сектор 2110. После этого сохраняем изменения. Для этого снова открываем окно разделы и жмём кнопку Применить (находится в левом нижнем углу окна). В завершении закрываем программу, и отключив флэшку через безопасное извлечение устройств подключаем её снова, и пробуем открыть в проводнике винды.

temp9285, Alex_Green
После копирования второй таблицы в списке разделов появилась новая строка http://prntscr.com/a98dnz. Номер первого сектора - 2073, так и должно быть?
После копирования бутсектора от Alex_Green, при выделении новой строки стало возможно нажать кнопку "Заменить" (над кнопкой "Применить", которая недоступна). В контекстном меню стала активной строка "Восстановить загрузочный сектор из копии (заменить)...". Пока нажимать не стал, потому что при попытке открыть новый том происходит тестирование таблиц, в результате 0% OK, 0% плох (для обоих таблиц). При этом при открытии второго тома (вторая строка в списке разделов) сразу открывается дерево папок (но недоступна команда "Восстановить загрузочный сектор из копии (заменить)...").

insight81
В FAT32 копия загрузочного сектора обычно смешена на 6-секторов (и у тебя именно так прописано в бутсекторе).
Видимо для новой записи содержимое 2079-го воспринимается как копия, и предполагается что в 2073 (2079-6) должен быть бутсектор.
В общем, пропиши бутсектор ещё и в 2085 и посмотри что будет.

И что то у тебя исчезла из таблицы разделов запись о разделе (нет индикатора Е).
Так что не забудь вставить раздел и применить изменения.

PS. Зачёркнутое писал когда скриншот ещё не открылся, потом забыл скорректировать.
Читать как - для новой записи содержимое 2079-го считается бутсектором но, при отсутствии записи в таблице разделов, её же можно предполагать как копией раздела у которого нет бутсектора в 2073-ем. Вот в такой "роли" и показывается.
Если бы не исчезла запись в таблице разделов, то всё было бы нормально.

temp9285
Вставил раздел, который был второй строкой (2079), применил, после переподключения флешка определилась, стали видны файлы, несколько штук проверил - открываются! http://prntscr.com/a9bn9o
Благодарю за помощь, temp9285 и Alex_Green!!! Нужно ли еще проходить чекдиском (винда не просит)? Интересно, как система определяет, что бутсектор в 2079 секторе? Его что ли (бутсектор) dmde скопировал в 0 сектор, когда я добавил раздел? Что обычно бывает причиной, почему затирается бутсектор и первая таблица?

insight81

Цитата:

Нужно ли еще проходить чекдиском

Желательно, потому что возможно что есть ещё где то проблемы.
Для начала - в режиме только чтения.


Цитата:

Интересно, как система определяет, что бутсектор в 2079 секторе?

Ну так в таблице же ты прописал раздел, начинающийся в 2079-ом. Винда и ищет там бутсектор - если не находит, то выдаёт ошибку.


Цитата:

Что обычно бывает причиной, почему затирается бутсектор и первая таблица?

Глюки, в том числе сдампливание чего то при нештатных ситуациях - обычно это сваливается в начало диска. И у тебя скорей всего этот случай - так как похоже на тело какого то файла. В принципе, если интересно, можешь попробовать выделить какой то блок мусора и поискать такой же на флэшке, а может и на диске.
PS. Надеюсь что про безопасное извлечение флэшки рассказывать не надо.

temp9285
Проверка чекдиском выдала 5 ошибок "Неустранимая ошибка в каталоге... Преобразовать папку в файл?", в т.ч. в каталоге "System volume information". В остальных проблемных каталогах имена файлов - кракозябрами (в дереве каталогов dmde эти папки пустые). Также чекдиск выдал сообщение "Преобразовать потерянные цепочки кластеров в файлы?".

insight81
Я не могу гарантировать что чекдиск всё исправит, тем более что с FAT32 я знаком поверхностно.
Но думаю что он всё таки справится с ошибками и ничего не повредит нужного - к тому же у тебя же есть посекторка.

ИМХО, но работать с ошибками в файловой системе сродни работе на автоматизированном складе, в который проникли вредители, без ревизии. Может оказаться что бутылку с нитроглицерином переставили на другую полку, которая числилась пустой. И пока на неё ничего не надо ставить вроде бы всё нормально; но как только поставят, да так что бутыль упадёт, то будет ну очень весело.

Соберёт этот чекдиск кучку файлов своих (как раньше *.chk), потом из этих кусков можно собрать потерянные файлы.
Но надо понять, что файлы, в которых важна структура самого файла - из этих цепочек будут лишь "файл поврежден" при открытии, или что-то подобное.


Цитата:

"System volume information"

Пересоздан будеn автоматически при удачном монтировании в системе windows xp->

bahtey
именно так чекдиск и сделал. А испорченные папки переделал в одноименные файлы - пока неизвестно, важная ли там информация, хозяйка флешки приедет только через три недели. Пока считаю проблему решенной.
Еще раз выражаю благодарность temp9285 и Alex_Green!

System volume information создастся и в более новых системах.
Но учитывая что любые новые записи могут быть поверх старых, тем более что эта папка (по сути) не нужна на флэшках, я просто делаю файл с таким именем и записываю в корень дисков где не нужны эти микрософтовские катяхи.


Добавлено:
insight81
Я бы всё таки посоветовал перебить флэшку по новой, прописав раздел с началом в секторе 2048, или вообще без разделов.

insight81

Цитата:

А испорченные папки переделал в одноименные файлы - пока неизвестно, важная ли там информация

В принципе можно будет их переделать обратно в папки если что. Как правило чекдиск в таких случаях изменяет значение флага каталога с 10 на 00, превращая его таким образом в файл. А вообще да, согласен с 9285 насчёт переформатирования флэшки по новой (естественно после сохранения всего важного).

temp9285, Alex_Green
Это чтобы потом легче было искать начало раздела, в случае чего? Все выжившие файлы сохранил, добавил раздел в dmde (как без раздела, я не понял), отформатировал штатными средствами винды. Вот что получилось: http://prntscr.com/a9f3sr.

insight81
Нет, там что то связано с размерами записываемых блоков.
Я потому и предлагал прозондировать этот вопрос, т.к. не помню в чём там заковырка, но что то типа как и с 4кб секторами на HDD.
Вот, почитай - http://ammo1.livejournal.com/166235.html http://forum.ixbt.com/topic.cgi?id=27:9465


Цитата:

как без раздела, я не понял)

Как минимум ХР-шка формирует (создаёт раздел, форматирует) флэшки без таблицы разделов.