» Пропал диск. Восстановление таблицы разделов (не данных)

Paragon Partition Manager из под Win7 создал дублирующиеся (перекрывающиеся) разделы. Итог: ни одна win-система с этим жёстким диском не стартует больше. Отсюда: все windows livecd отпадают, acronis тоже виснет, Gparted грузится и видит всё прекрасно.

Что Вы посоветуете в качестве инструментария юзать теперь?

Пожелания такие:
1. что-то типа vmware для безопасного ковыряния и тестирования изменений с возможностью отката.
2. какой-нибудь diskeditor, желательно понимающий в ntfs и возможносью удаления записей в таблице разделов.
3. обойтись бы без дополнительного жёсткого диска для копирования

Antech

В том то и дело, что вирус скрывает все папки и не дает потом их обратно отобразить. Надо полностью очистить весь компьютер от вирусов, тогда можно вручную убрать атрибут "скрытый".

Vital_Odessa
Думаю, вирус действует только на Проводник (Explorer), хотя хрен его знает... Вы смотрели только Проводником?

Точно так, вирус хучит изменение настройки проводника на просмотр скрытых и системных файлов и не дает менять ее, а также аттрибуты несистемных файлов/каталогов, открываемых проводником. Отлично в данной ситуации помогает Фар, Тотал или любой другой файловый менеджер.
Что касается удаления вируса, то можешь почистить комп с Live CD, на которой антивирь есть, а можешь руками, ничего сложного, читай Гугол.

SeyLo
Что и требовалось доказать . Проводник - неудачный файловый менеджер с точки зрения борьбы с вирями (да и с точки зрения всех, кто воспитан Нортоном ). В Тотале все было бы понятнее и было бы ясно, что никуда файлы не делись (на скрине WinHex было много удаленных, наверное старых, это несколько сбило с толку, и я подумал, что файлы действительно удалены вирусом или антивирусом).

Antech, скажи пожалуйста как вручную рассчитать и прописать в MBR - Start head, Start sector,Start cylinder, End head, End Sector, End cylinder ? Это к тому если имея на руках количество секторов раздела нужно прописать эти параметры в таблице разделов. Start head, Start sector,Start cylinder еще можно подглядеть в Акронисе, а вот конечные нет, хотелось бы знать по какой формуле они вычисляются.

Serjione

Цитата:

можно подглядеть в Акронисе

Никаких очков за стиль.
www.akina.hop.ru/mbr.php3 (там есть и формулы, хотя они очевидны)

CHS Hints:
1. В CHS головки и цилиндры нумеруются с нуля, сектора - с единицы.
2. Насколько знаю, CHS координаты раздела всегда задаются от начала диска (в отличие от LBA для Extended/Logical разделов, которые задаются от AMBR).
3. CHS координаты не могут адресовать более 1024*255*63*512 байт (в таблицу при этом записывается максимально возможное значение), поэтому для винтов современных объемов обычно CHS-координаты разделов можно не задавать (оставить нули или dummy типа 0/1/1 - 1023/254/63).
4. Как следует из (3), на самом деле CHS координаты не так и важны, задавать их стоит только для приличия (разве что с загрузочным разделом могут быть нюансы, поэтому если раздел начинается до 8+ ГБ, которые могут быть адресованы CHS, лучше задать для него Start C, H, S).

Цитата:

Никаких очков за стиль.

О каком стиле речь ?

Antech, в Winhex перехожу на сектор MFT-Mirror указанный в бут-секторе в Акронисе, а там нули, диск работающий. Я понимаю что вопрос ламерский, но тем не менее хотелось бы узнать ваше мнение Antech.

Serjione

Цитата:

О каком стиле речь ?

Это из фантастического рассказа (приключенческий, про космических воров ). В оригинале - стиль ограбления, но в данном контексте означает восстановление именно вручную, а не наполовину Акронисом без понимания откуда какие значения берутся.


Цитата:

в Winhex перехожу на сектор MFT-Mirror указанный в бут-секторе в Акронисе

Попытка №2. Удалите Акронис и не используйте автоматизацию в WinHex. Только базовые функции (переход в сектор с заданным номером и т.п.). Прочитайте www.akina.hop.ru/mbr.php3. Прочитайте про бутсектор NTFS (хотябы линк в шапке темы). Откройте физический диск и посмотрите таблицу разделов (не забывайте про big endian и little endian). Перейдите в начало раздела. Посмотрите в бутсекторе начальный кластер MFT и количество секторов в кластере. Умножьте одно на другое - это начальный сектор MFT. Используйте Alt+G + From Current position для перехода в начало MFT (не перепутайте hex и dec).

Antech, по вашему я шапку не читал ?

Serjione
Если читали, то в чем вопрос? Найти начало MFT исправного раздела - не проблема. Конкретные значения можете дать? Дамп MBR и бутсектора, а также номер начального сектора MFT (от начала раздела), как Вы его определили.

Antech , шапку я читал.


Цитата:

Удалите Акронис и не используйте автоматизацию в WinHex.

Так вроде и не использую автоматизацию, исключительно вручную.


Цитата:

Умножьте одно на другое - это начальный сектор MFT.

Вычислил как вы и говорили начальный сектор MFT. Через WinHex Position-> Go to sector перешел на него, но там не наблюдаю ни FILE0 ни $MFT.

Serjione

Цитата:

Position-> Go to sector перешел на него, но там не наблюдаю

Вы находитесь в начальном секторе раздела?
Перемещаетесь From Current Position?
Точно не перепутали Hex/Dec в Alt+G?
Значения MFT First Cluster и Sectors Per Cluster, которые Вы подсмотрели в бутсекторе, совпадают с тем, что показывает (при курсоре в бутсекторе) Alt+F12 => BS NTFS?

Вы можете использовать автоматизацию для проверки "что не так": откройте раздел двойным нажатием на раздел в таблице сверху и нажмите на $MFT в браузере WinHex'а. Внизу в строке состояния будет номер начального сектора MFT. Разделив на размер кластера (скорее всего, 8 секторов) получите начальный кластер MFT, сравните с тем, что Вы определили. А может быть и так, что увидите тот номер сектора, что Вы определили, значит где-то ошиблись при Alt+G.

Доброе время суток. У меня есть диск на 160 гб и 2 раздела на нем...20 гб под вин ХП и 140 под остальное. Винт hitachi HDS721616PLA.
Пропал 2-й раздел(140гб)...виден только "Диск Ц". Можно ли восстановить раздел без потери информации? И опишите подробнее пожалйста...
Спасибо заранее.

xKURTx
Откройте физический диск в DMDE и покажите скрин окна "Разделы" (вылезет само). Должна быть отмечена галка "найденные".

Скрин разделов.

http://slil.ru/28042046


Добавлено:
Smart:
http://slil.ru/28042056

П.с. Винда загружена с "Диск С", это будет влиять на процесс восстановления?

xKURTx
По СМАРТу все нормально.
По координатам разделов не очевидно. Покажите дампы физического диска по 100 секторов, начиная с секторов 0, 43394400 и 43388964.


Цитата:

Винда загружена с "Диск С"

Не есть гуд, т.к. таблица разделов под подозрением (первый раздел мог налезть на второй). Будем надеяться, Винда ничего не испортит. Но спокойнее использовать Live CD.

Дамп 100 секторов начиная с
0: http://slil.ru/28044460
43394400: http://slil.ru/28044464
43388964: http://slil.ru/28044466

Цитата:

откройте раздел двойным нажатием на раздел в таблице сверху и нажмите на $MFT в браузере WinHex'а. Внизу в строке состояния будет номер начального сектора MFT.

Antech, сделал я так как вы говорите, перешел двойным кликом, в строке состояния показал именно тот сектор разделив на 8 который получил номер кластера, тот что и через Alt-F12, только в ехплорере Winhex при двойном клике показывает FILE0, а в окне Winhex, когда перехожу на данный сектор, смещение то-же что и в ехплорере, там каракули, ни $MFT, ни FILE0. Может в кодировке дело ?

Serjione

Цитата:

когда перехожу на данный сектор, смещение то-же что и в ехплорере, там каракули

А Вы посмотрите внизу, в строке состояния, номер сектора. Должен быть такой же, как и при использовании автоматизации. Не перепутали номер сектора от начала раздела и от начала диска?

xKURTx
ОК, спасибо, по возможности посмотрю (сейчас пора домой).
Пожалуйста, сделайте еще 100 секторов, начиная с 43389000 (возможно, там начало MFT). Будет также очень полезно сделать "Поиск NTFS" в DMDE.
Ни один и проверенных секторов не похож на начало раздела...

Дамп 100 секторов начиная с 43389000.

http://slil.ru/28045230



Цитата:

Будет также очень полезно сделать "Поиск NTFS" в DMDE

Кнопка там где разделы?!....делается сейчас...

xKURTx
Да, кнопка на окне с разделами...

Что-то плохое произошло с разделами. Похоже на работу партмагоида (лучше было сразу об этом сообщить). Размер первого раздела в таблице и в бутсекторе такой, что первый раздел налезает на второй (причем начало первого раздела - совершенно нестандартно: сектор 12 вместо 63). Определить начало второго раздела (и начало MFT этого разела, если он NTFS) по-простому не удалось (DMDE быстрым поиском не находит, таблица разделов указывает "не туда" и по размеру первого раздела тоже получается ерунда). Нужны результаты поиска в DMDE, но результат не гарантирован (хотя хуже не станет).

Лог файл НТФС сканирования.
http://slil.ru/28046551

Архив со скринами ОКНА сканирования(на вский случай, т.к. лог файл содержит не понятную для меня информацию).
http://slil.ru/28046554

Может не мучаться и попробывать просто восстановить данные? Сканировал с помощью R-studio, нашел зеленые варианты....только в них нет названий файлов и дерево файлов отсутсвуют...или я не так смотрю?

Добавлено:
В R-studio файлы на "диск С" видны в основной папке ROOT, а данные с "Диск Д" в папке Extra Found Files....без имени и упорядочивания....8(

Добавлено:
Нашел почти все файлы через Рстудио...оказывается не то восстановление смотрел. Ща качаю все на лругой винт. =)

xKURTx

Цитата:

качаю все на другой винт

Вот и славно.
DMDE нашла начало раздела, это был сектор 43388976 (AMBR по таблице разделов + 12 секторов). Сейчас начало второго раздела переписано, поэтому мы раньше ничего не нашли. Начала MFT второго раздела я в результатах поиска не обнаружил, хотя есть MFT Mirror (и вообще много записей, но они далеко не начальные). Скорее всего, затертый кусок в начале раздела достаточно велик, а т.к. MFT у него начиналась в кластере 3 (сектор 24 от начала раздела), то большое количество записей в начале MFT накрылось, нетронутая часть MFT начинается с записи 2698. Таким образом, хотя здесь теоретически можно и in-place попробовать, лучший выход - скопировать через R-Studio.

Насчет причины. Про партмагоид я ошибался. Здесь, наверное, проблема LBA-48 или типа того (160 ГБ - 137 ГБ = 23 ГБ, таким образом, при проблеме LBA-48 в случае записи в конец второго раздела произойдет запись в начало второго раздела, что мы и наблюдаем на практике). Какие операционки имели доступ к винту на запись?

Antech
Стояла только Вин ХП...из программ только Рстудио смотрел инфу на винте.
Стоит ли весь винт форматнуть и заного все разметить или только с Патишен магик то что свободное осталось разметить?...или другой программой?

xKURTx
Partition Magic выкинуть!
Второй раздел удалите и создайте на его месте Primary, отформатируйте в NTFS с параметрами по умолчанию. Все действия - в Управлении Дисками (выполнить diskmgmt.msc).

WinXP у Вас с каким сервис-паком? Если без SP, то причина в этом (установите SP3). Если SP присутствует, то ХЗ в чем причина...

Antech
СП3 стоит.
Спасибо за помошь..скоро освобожусь и буду форматировать. =)

Добрый день!
Ошибочно через cdm>partdisk сделал clean (без all) для внешнего жёсткого диска. Подскажите, пожалуйста, можно ли (и как) восстановить разделы, а затем и информацию на диске?
Спасибо!

Antech, да вроде в обоих случаях смещение и сектор одинаковые.

Serjione
Значит не так переходили по Alt+G. Надо стать в начало раздела и указать From: Current position. Справа от Sectors написано hex или dec, соответственно надо и смещение в секторах вводить в hex либо в dec (переключается в настройках - F5).