Antech, судя по количеству секторов это Vol0 на скрине. Посмотрю что можно сделать дальше.
» Пропал диск. Восстановление таблицы разделов (не данных)
Antech
Добрый день.
1. Вот сюда залил дамп 10 секторов:
http://slil.ru/27858747
2. К сожалению п.2 выполнить просто невозможно. Процесс поиска NTFS занимает больше 2-х суток. Я четыре раза его стартовал на разных компах, но прога каждый раз просто зависала где-то на вторые сутки.
Подскажите, пожалуйста, как быть и что делать дальше...
Добрый день.
1. Вот сюда залил дамп 10 секторов:
http://slil.ru/27858747
2. К сожалению п.2 выполнить просто невозможно. Процесс поиска NTFS занимает больше 2-х суток. Я четыре раза его стартовал на разных компах, но прога каждый раз просто зависала где-то на вторые сутки.
Подскажите, пожалуйста, как быть и что делать дальше...
Vital_Odessa
Понятно...
С MFT Mirror фокус, к сожалению, не пройдет. Винда уже записала туда новое начало MFT, которое я сделал.
Попробуйте так. В WinHex перейдите в сектор 6291519 от начала физического диска (Ctrl+G, Logical, 6291519). Вы увидите начало MFT, каждая запись начинается строкой "FILE" и занимает 2 сектора, в большинстве случаев второй сектор используется не полностью (есть свободное место в записи, заполненное нулями), или не используется вообще. В двух последних байтах каждого сектора записи - специальное значение, оно может быть любым, но оно одинаково для секторов одной записи, и его также можно видеть по смещению 30h байт от начала записи (на четвертой строке). Размер MFT - десятки...сотни МБ (сотни тысяч секторов). Вам надо полистать вниз и определить, где закончатся структуры файловых записей. Покажите дамп фрагмента, где, по Вашему мнению, заканчивается MFT (начало блока Alt+1, конец блока Alt+2, записать в файл Shift+Ctrl+N). Вы можете использовать Alt+G для перемещения на большое количество секторов, чтобы проще искать. Выбираете Sectors, Current Position. И таким образом перепрыгиваете каждый раз секторов на 10000, к примеру.
Понятно...
С MFT Mirror фокус, к сожалению, не пройдет. Винда уже записала туда новое начало MFT, которое я сделал.
Попробуйте так. В WinHex перейдите в сектор 6291519 от начала физического диска (Ctrl+G, Logical, 6291519). Вы увидите начало MFT, каждая запись начинается строкой "FILE" и занимает 2 сектора, в большинстве случаев второй сектор используется не полностью (есть свободное место в записи, заполненное нулями), или не используется вообще. В двух последних байтах каждого сектора записи - специальное значение, оно может быть любым, но оно одинаково для секторов одной записи, и его также можно видеть по смещению 30h байт от начала записи (на четвертой строке). Размер MFT - десятки...сотни МБ (сотни тысяч секторов). Вам надо полистать вниз и определить, где закончатся структуры файловых записей. Покажите дамп фрагмента, где, по Вашему мнению, заканчивается MFT (начало блока Alt+1, конец блока Alt+2, записать в файл Shift+Ctrl+N). Вы можете использовать Alt+G для перемещения на большое количество секторов, чтобы проще искать. Выбираете Sectors, Current Position. И таким образом перепрыгиваете каждый раз секторов на 10000, к примеру.
Antech
Добрый вечер.
Вроде бы я нашел место где заканчиваются секторы с наполнением и начинаются секторы со сплошными нулями. Я выделил 5 "полных" и 5 "пустых" секторов.
Гляньте, пожалуйста, то ли я нашел, что требовалось: http://slil.ru/27863481
Добрый вечер.
Вроде бы я нашел место где заканчиваются секторы с наполнением и начинаются секторы со сплошными нулями. Я выделил 5 "полных" и 5 "пустых" секторов.
Гляньте, пожалуйста, то ли я нашел, что требовалось: http://slil.ru/27863481
Vital_Odessa
Похоже на истину. Проверьте, что дальше действительно нет записей MFT: пролистайте немного (PgDn) - должны начаться какие-нибудь ненулевые данные.
Уточненный патч MFT - запишите аналогично предыдущему.
Похоже на истину. Проверьте, что дальше действительно нет записей MFT: пролистайте немного (PgDn) - должны начаться какие-нибудь ненулевые данные.
Уточненный патч MFT - запишите аналогично предыдущему.
Antech
Добрый день.
Если честно, я в небольшом замешательстве...
Как Вы и сказали, я пролистал (от предполагаемого конца MFT на 6 470 415 секторе) немного вниз, но ничего, кроме нулей, не обнаружил.
Но, потратив час, я все же нашел ненулевые данные, начиная аж с (!) 250 481 791 (!) сектора. (запись начинается .СD001..) Выходит, что с 6 470 416 по 250 481 791 сектор сплошные нули...
Может ли так быть? И, учитывая это, можно ли применять новый патч?
Добрый день.
Если честно, я в небольшом замешательстве...
Как Вы и сказали, я пролистал (от предполагаемого конца MFT на 6 470 415 секторе) немного вниз, но ничего, кроме нулей, не обнаружил.
Но, потратив час, я все же нашел ненулевые данные, начиная аж с (!) 250 481 791 (!) сектора. (запись начинается .СD001..) Выходит, что с 6 470 416 по 250 481 791 сектор сплошные нули...
Может ли так быть? И, учитывая это, можно ли применять новый патч?
Vital_Odessa
Цитата:
Т.е. до 128+ ГБ нули?
У Вас структура раздела стандартная: MFT Mirror в середине раздела, MFT - в секторе 600000h от начала раздела. Так делает Винда (XP и выше), и при этом примерно 12% от объема диска резервируется под MFT-зону. На самом деле MFT не занимает весь этот объем и размер в записи $MFT должен быть, как правило, намного меньше (это тот размер, который мы с Вами определили). А MFT зона нужна для дальнейшего роста MFT, чтобы MFT, по-возможности, не фрагментировалась. Винда просто резервирует эту область и драйвер NTFS ничего туда не пишет, пока на разделе есть место (каждый раз, когда места для юзерских файлов не хватает, MFT-зона уменьшается вдвое, естественно она никогда не делается меньше реального размера MFT). У Вас на разделе 1953520002 сектора. Значит 12% от этого объема - 234422400 секторов или 120+ ГБ. Поэтому нули до отметки 128 ГБ - это нормально.
Цитата:
Применять можно любой патч. Пока что MFT у Вас нефрагментирована, так что ничего не теряем. А у Вас есть мой предыдущий патч - в любой момент можете залить. А сейчас попробуйте новый патч и посмотрите, что говорит chkdsk.exe. Если все будет ОК (нет ошибок или минорные) - запускаем chkdsk.exe /f, чтобы почистить мелкие косячки (при этом, конечно, надо иметь ввиду, что очень-очень малая вероятность огрести проблемы от chkdsk.exe /f есть даже при отсутствии сообщений о серьезных ошибках - это просто стандартное формальное предупреждение).
Цитата:
Выходит, что с 6 470 416 по 250 481 791 сектор сплошные нули
Т.е. до 128+ ГБ нули?
У Вас структура раздела стандартная: MFT Mirror в середине раздела, MFT - в секторе 600000h от начала раздела. Так делает Винда (XP и выше), и при этом примерно 12% от объема диска резервируется под MFT-зону. На самом деле MFT не занимает весь этот объем и размер в записи $MFT должен быть, как правило, намного меньше (это тот размер, который мы с Вами определили). А MFT зона нужна для дальнейшего роста MFT, чтобы MFT, по-возможности, не фрагментировалась. Винда просто резервирует эту область и драйвер NTFS ничего туда не пишет, пока на разделе есть место (каждый раз, когда места для юзерских файлов не хватает, MFT-зона уменьшается вдвое, естественно она никогда не делается меньше реального размера MFT). У Вас на разделе 1953520002 сектора. Значит 12% от этого объема - 234422400 секторов или 120+ ГБ. Поэтому нули до отметки 128 ГБ - это нормально.
Цитата:
можно ли применять новый патч?
Применять можно любой патч. Пока что MFT у Вас нефрагментирована, так что ничего не теряем. А у Вас есть мой предыдущий патч - в любой момент можете залить. А сейчас попробуйте новый патч и посмотрите, что говорит chkdsk.exe. Если все будет ОК (нет ошибок или минорные) - запускаем chkdsk.exe /f, чтобы почистить мелкие косячки (при этом, конечно, надо иметь ввиду, что очень-очень малая вероятность огрести проблемы от chkdsk.exe /f есть даже при отсутствии сообщений о серьезных ошибках - это просто стандартное формальное предупреждение).
Antech
Добрый вечер.
Применил уточненный патч. Запустил chkdsk.exe. Вот скриншот того, что пишет chkdsk: http://slil.ru/27866162
Подскажите, пожалуйста, что делать дальше...
Добрый вечер.
Применил уточненный патч. Запустил chkdsk.exe. Вот скриншот того, что пишет chkdsk: http://slil.ru/27866162
Подскажите, пожалуйста, что делать дальше...
Vital_Odessa
Вы ошиблись. Посмотрите внимательнее на окно Чекдиска на Вашем скрине. Чекдиск запущен без параметров - это означает системный раздел. Файловая система: FAT32 - Вам это не кажется странным, учитывая что на Elements (F) у Вас NTFS
?
Ну а исправить это на системном можете, вроде ошибки мелкие. И проверьте системный винт в HDDScan или Victoria API: Чекдиск ругается на поврежденный кластер - похоже на бэды.
Вы ошиблись. Посмотрите внимательнее на окно Чекдиска на Вашем скрине. Чекдиск запущен без параметров - это означает системный раздел. Файловая система: FAT32 - Вам это не кажется странным, учитывая что на Elements (F) у Вас NTFS
? Ну а исправить это на системном можете, вроде ошибки мелкие. И проверьте системный винт в HDDScan или Victoria API: Чекдиск ругается на поврежденный кластер - похоже на бэды.
Antech
Добрый день.
Разобрался с chkdsk. Запустил без параметра восстановления. Но, "на этапе 1" уже выскакивает сообщение: "Windows не удалось завершить проверку диска".
Что это может быть?
Добрый день.
Разобрался с chkdsk. Запустил без параметра восстановления. Но, "на этапе 1" уже выскакивает сообщение: "Windows не удалось завершить проверку диска".
Что это может быть?
Vital_Odessa
Можно увидеть скриншот?
Можно увидеть скриншот?
Vital_Odessa
Опять мимо.
1. Пуск - Выполнить - cmd.exe
2. CHKDSK.EXE F:
3. Мышой слева вверху окна - там меню: Изменить - Пометить. Выделяете отчет Чекдиска, Enter. Скопируйте текст сюда (Ctrl+V) с тегом "code". Ну или можно обычный скрин, просто текст отчета в самом сообщении - удобнее.
Опять мимо.
1. Пуск - Выполнить - cmd.exe
2. CHKDSK.EXE F:
3. Мышой слева вверху окна - там меню: Изменить - Пометить. Выделяете отчет Чекдиска, Enter. Скопируйте текст сюда (Ctrl+V) с тегом "code". Ну или можно обычный скрин, просто текст отчета в самом сообщении - удобнее.
Antech
Microsoft Windows XP [Версия 5.1.2600]
(С) Корпорация Майкрософт, 1985-2001.
C:\Documents and Settings\admin>CHKDSK.EXE F:
Тип файловой системы: NTFS.
Метка тома: Elements.
ВНИМАНИЕ! Параметр F не указан.
CHKDSK выполняется в режиме только чтения.
Проверка файлов (этап 1 из 3)...
Удаление поврежденной записи атрибута (160, $O)
из сегмента 25 записи о файле.
Проверка файлов завершена.
Обнаружены ошибки. Продолжение работы в режиме только чтения невозможно.
C:\Documents and Settings\admin
Microsoft Windows XP [Версия 5.1.2600]
(С) Корпорация Майкрософт, 1985-2001.
C:\Documents and Settings\admin>CHKDSK.EXE F:
Тип файловой системы: NTFS.
Метка тома: Elements.
ВНИМАНИЕ! Параметр F не указан.
CHKDSK выполняется в режиме только чтения.
Проверка файлов (этап 1 из 3)...
Удаление поврежденной записи атрибута (160, $O)
из сегмента 25 записи о файле.
Проверка файлов завершена.
Обнаружены ошибки. Продолжение работы в режиме только чтения невозможно.
C:\Documents and Settings\admin
Vital_Odessa
Вот, это уже лучше. Запустите теперь Чекдиск на исправление (chkdsk.exe F: /f), также покажите его отчет (если будет большой, можно дать начало и конец, или в текстовый файл и на zalil.ru).
Стандартное предупреждение. Единственная обнаруженная ошибка - косметическая (хотя это ошибка, но она Ваши файлы не затронет). Но, в любом случае, запуск Чекдиска на исправление - это стремно. Поэтому, если есть что-то особо важное, лучше предварительно скопировать. Вероятность проблем в Вашем случае почти ноль.
Успехов, ждем результат.
Вот, это уже лучше. Запустите теперь Чекдиск на исправление (chkdsk.exe F: /f), также покажите его отчет (если будет большой, можно дать начало и конец, или в текстовый файл и на zalil.ru).
Стандартное предупреждение. Единственная обнаруженная ошибка - косметическая (хотя это ошибка, но она Ваши файлы не затронет). Но, в любом случае, запуск Чекдиска на исправление - это стремно. Поэтому, если есть что-то особо важное, лучше предварительно скопировать. Вероятность проблем в Вашем случае почти ноль.
Успехов, ждем результат.
Antech
Добрый день.
ОГРОМНОЕ ВАМ СПАСИБО ЗА ПОМОЩЬ! На таких людях, как ВЫ, держится мир!
Вот здесь файл с результатами поверки: http://slil.ru/27874898.
Гляньте, пожалуйста, но по-моему все прошло успешно.
Добрый день.
ОГРОМНОЕ ВАМ СПАСИБО ЗА ПОМОЩЬ! На таких людях, как ВЫ, держится мир!
Вот здесь файл с результатами поверки: http://slil.ru/27874898.
Гляньте, пожалуйста, но по-моему все прошло успешно.
Antech, подскажите мне как исправить проблему ? DMDE показывает четыре фрагмента MFT беря в расчет начало тома, равного 63490048. Что мне дальше делать ?
Serjione
Цитата:
Можно узнать начальные секторы этих фрагментов и посмотреть дамп 2 начальных секторов первого фрагмента?
Раздел форматировался в WinXP/Vista?
Если да, то начало раздела - это начало первого фрагмента MFT минус 6291456 секторов.
Если нет, то надо смотреть начало первого фрагмента MFT - запись $MFT, там в атрибуте 80 DATA должен быть начальный кластер. Из этого же атрибута определяется размер кластера. Далее остается только умножить одно на другое и вычесть из начального сектора фрагмента - и у Вас есть начальный сектор раздела.
Vital_Odessa
Проверьте еще раз Чекдиском (без /f) - ошибок быть не должно. Если это так, то кейс успешно сделан have fun.
Цитата:
DMDE показывает четыре фрагмента MFT
Можно узнать начальные секторы этих фрагментов и посмотреть дамп 2 начальных секторов первого фрагмента?
Раздел форматировался в WinXP/Vista?
Если да, то начало раздела - это начало первого фрагмента MFT минус 6291456 секторов.
Если нет, то надо смотреть начало первого фрагмента MFT - запись $MFT, там в атрибуте 80 DATA должен быть начальный кластер. Из этого же атрибута определяется размер кластера. Далее остается только умножить одно на другое и вычесть из начального сектора фрагмента - и у Вас есть начальный сектор раздела.
Vital_Odessa
Проверьте еще раз Чекдиском (без /f) - ошибок быть не должно. Если это так, то кейс успешно сделан have fun.
Antech, у меня похоже загрузочный сектор НТФС обнулился. Винт я не форматировал. Подскажете по какой сигнатуре в конце диска его копию искать ?
Serjione
Цитата:
По сигнатуре "NTFS" (без кавычек), должна быть по смещению 3 байта от начала сектора (есди WinHex, то offset mod 512 = 3).
Цитата:
по какой сигнатуре в конце диска его копию искать ?
По сигнатуре "NTFS" (без кавычек), должна быть по смещению 3 байта от начала сектора (есди WinHex, то offset mod 512 = 3).
Antech, а его копию в конце диска по какому смещению искать ?
Serjione
Цитата:
Она должна быть в последнем секторе раздела. Если номер последнего сектора раздела неизвестен, перейдите в конец диска (Ctrl+End) и ищите в обратном направлении (Ctrl+F, строка NTFS, cond offset mod 512 = 3, Search: Up).
Цитата:
копию в конце диска по какому смещению искать ?
Она должна быть в последнем секторе раздела. Если номер последнего сектора раздела неизвестен, перейдите в конец диска (Ctrl+End) и ищите в обратном направлении (Ctrl+F, строка NTFS, cond offset mod 512 = 3, Search: Up).
Antech, дал поиск с конца диска cond offset mod 512 = 3, Search: Up, только он нашел НТфС в первой половине диска.
Serjione
Копия бутсектора может быть в середине раздела, насколько помню (хотя я не уверен, это вроде Win2000 так делала), копии бутсектора может не быть совсем. Последний сектор раздела - это только при форматировании Win XP и старше.
Не проще слепить бутсектор новый? Сделайте Поиск NTFS в DMDE - будет начальный кластер MFT и MFT Mirror. Размер раздела, я так понял, Вы знаете. А больше ничего и не надо, кластер 8 секторов обычно на NTFS, остальное вообще стандартно. Заготовку бутсектора можно взять от любого исправного раздела. Я про Ваш винт никаких подробностей не знаю, поэтому точнее сказать не могу.
Копия бутсектора может быть в середине раздела, насколько помню (хотя я не уверен, это вроде Win2000 так делала), копии бутсектора может не быть совсем. Последний сектор раздела - это только при форматировании Win XP и старше.
Не проще слепить бутсектор новый? Сделайте Поиск NTFS в DMDE - будет начальный кластер MFT и MFT Mirror. Размер раздела, я так понял, Вы знаете. А больше ничего и не надо, кластер 8 секторов обычно на NTFS, остальное вообще стандартно. Заготовку бутсектора можно взять от любого исправного раздела. Я про Ваш винт никаких подробностей не знаю, поэтому точнее сказать не могу.
Antech, хорошо давайте тогда поподробней. Диск Д не форматировался, был НТФС размер 81,5 Гб. Пробую исправить загрузочный сектор Акронисом. Но у него кроме $MFT MFT mirror много параметров. Можно чем-нибудь попроще сделать или многие параметры в Акнонис Диск Эдитор и не нужны вовсе ? Я так понимаю что мне надо смотреть те фрагменты МФТ в ДМДЕ где начало сектора равно Первому тому (63490048), начало сектора взято также из Акрониса. Таких обрывков где начало тома равно 63490048 у меня 4.
Serjione
Цитата:
А в чем проблема-то? Если раздел надо вернуть, значит, так или иначе, чем-то он форматировался. Чем? И что с ним стало? Его целенаправленно испортили, или "оно само"?
Цитата:
Я уже говорил. Берете WinHex, открываете физический диск, где есть NTFS раздел. В таблице сверху нажимаете на раздел - переходите в бутсектор раздела. Выделяете его и Ctrl+C. Потом переходите в начало поврежденного раздела, выделяете его бутсектор (если там есть что-то кроме нулей), Shift+Ctrl+N - бэкап в файл. После этого снимаете выделение, курсор - в начало бутсектора, Ctrl+V - вставляете шаблон (бутсектор живого раздела). Alt+F12 - Boot Sector NTFS - Apply (или два раза мышой). Исправляете Start Cluster MFT, Start Cluster MFT Mirror, Total Sectors. Enter, закрываете окно, Ctrl+S.
Цитата:
Более правильно: надо смотреть фрагменты, для которых DMDE указывает начальный сектор раздела, равный известному начальному сектору из таблицы разделов. Таблица смотрится WinHex - Ctrl+Home - Alt+F12 - Master Boot Record (Sectors Preceding Partition - это и есть номер начального сектора). Так вот, для фрагмента MFT указывается начальный номер сектора этого фрагмента. Вы вычитаете из этого значения начальный номер раздела и делите остаток на 8 (размер кластера). У Вас должен получиться целый (не дробный) номер начального кластера MFT. С MFT Mirror Вы поступаете аналогично, нужно только найти его в результатах поиска в DMDE. А найти его можно по номерам записей: в нем должны быть записи 0-3 (первый столюец таблицы результатов поиска), ну и естественно, этот фрагмент должен располагаться внутри восстанавливаемого раздела.
Цитата:
Вам нужен фрагмент, который начинается с записи 0 (в первом столбце таблицы должно быть что-то типа 0-12345).
Цитата:
Диск Д не форматировался, был НТФС размер 81,5 Гб.
А в чем проблема-то? Если раздел надо вернуть, значит, так или иначе, чем-то он форматировался. Чем? И что с ним стало? Его целенаправленно испортили, или "оно само"?
Цитата:
Можно чем-нибудь попроще сделать
Я уже говорил. Берете WinHex, открываете физический диск, где есть NTFS раздел. В таблице сверху нажимаете на раздел - переходите в бутсектор раздела. Выделяете его и Ctrl+C. Потом переходите в начало поврежденного раздела, выделяете его бутсектор (если там есть что-то кроме нулей), Shift+Ctrl+N - бэкап в файл. После этого снимаете выделение, курсор - в начало бутсектора, Ctrl+V - вставляете шаблон (бутсектор живого раздела). Alt+F12 - Boot Sector NTFS - Apply (или два раза мышой). Исправляете Start Cluster MFT, Start Cluster MFT Mirror, Total Sectors. Enter, закрываете окно, Ctrl+S.
Цитата:
надо смотреть те фрагменты МФТ в ДМДЕ где начало сектора равно Первому тому (63490048)
Более правильно: надо смотреть фрагменты, для которых DMDE указывает начальный сектор раздела, равный известному начальному сектору из таблицы разделов. Таблица смотрится WinHex - Ctrl+Home - Alt+F12 - Master Boot Record (Sectors Preceding Partition - это и есть номер начального сектора). Так вот, для фрагмента MFT указывается начальный номер сектора этого фрагмента. Вы вычитаете из этого значения начальный номер раздела и делите остаток на 8 (размер кластера). У Вас должен получиться целый (не дробный) номер начального кластера MFT. С MFT Mirror Вы поступаете аналогично, нужно только найти его в результатах поиска в DMDE. А найти его можно по номерам записей: в нем должны быть записи 0-3 (первый столюец таблицы результатов поиска), ну и естественно, этот фрагмент должен располагаться внутри восстанавливаемого раздела.
Цитата:
Таких обрывков где начало тома равно 63490048 у меня 4
Вам нужен фрагмент, который начинается с записи 0 (в первом столбце таблицы должно быть что-то типа 0-12345).
Antech, окончательно запутался. Начальный номер раздела тоже что и первый абсолютный сектор раздела ?
Serjione
Цитата:
Да, только не начальный номер, а начальный сектор.
Цитата:
Начальный номер раздела тоже что и первый абсолютный сектор раздела ?
Да, только не начальный номер, а начальный сектор.
Antech, посмотрите пожалуйста, чего-то я не догоняю как Sectors preceding partition 2 может быть равен 1953251627.
http://filekeeper.org/download/shared/screen1.bmp
http://filekeeper.org/download/shared/screen2.bmp
http://filekeeper.org/download/shared/screen1.bmp
http://filekeeper.org/download/shared/screen2.bmp
Serjione
Просто Вы перепутали бутсектор и MBR. Смотреть надо в MBR (сектор 0), а Вы смотрите бутсектор какого-то NTFS раздела.
Просто Вы перепутали бутсектор и MBR. Смотреть надо в MBR (сектор 0), а Вы смотрите бутсектор какого-то NTFS раздела.
Страницы: 1234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950515253545556575859606162636465666768697071727374
Предыдущая тема: Проблема с сетевым принтером: не доходят задания до принтера
Форум Ru-Board.club — поднят 15-09-2016 числа. Цель - сохранить наследие старого Ru-Board, истории становления российского интернета. Сделано для людей.