Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Пропал диск. Восстановление таблицы разделов (не данных)

Модерирует : KLASS, IFkO

vu1tur (08-04-2010 16:27): лимит страниц, продолжение:
http://forum.ru-board.com/topic.cgi?forum=62&topic=20390
 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112

   

KLASS



Moderator
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ВНИМАНИЕ! В данной теме не восстанавливают данные.
По восстановлению данных сюда: Восстановление разделов и информации на HDD (часть 3)
В помощь по данной теме:

Информация по LBA48 для владельцев дисков более 120 Гб  
XP
2K
Драйвер atapi для CD/DVD может все испортить. Проверьте какая у вас версия!

Всего записей: 11109 | Зарегистр. 12-10-2001 | Отправлено: 16:53 06-06-2003 | Исправлено: KLASS, 11:14 21-05-2008
Nightelf0

Newbie
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

Цитата:
Nightelf0  
Скорее всего, восстановить можно. У Вас метафайл $Volume накрыло, а там версия NTFS и dirty flag, вот Чекдиск и недоволен. Если хотите in-place, покажите дампы по 100 секторов, начиная с сектора 0 и с сектора 6291456 от начала проблемного раздела. Для этого в DMDE открываете физический, меню Сервис - Копировать секторы в файл. Начальный сектор задаете как начальный сектор раздела + начальный сектор, который я указал (0 и 6291456). Номер начального сектора раздела можете посмотреть в WinHex (в таблице с разделами "Start Sector") или в DMDE (аналогично в окне "Разделы", оно само вылезет при открытии физического).

 
http://filekeeper.org/download/shared/sectors_7.ima
http://filekeeper.org/download/shared/sectors2.ima

Всего записей: 28 | Зарегистр. 29-04-2009 | Отправлено: 13:00 11-05-2009
SxMaks

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Для ясности давайте посмотрим дампы по 100 секторов, начиная с секторов 216377928 и 210306872 от начала раздела.

http://www.filekeeper.org/download/shared/sectors_8.ima
http://www.filekeeper.org/download/shared/sectors2_1.ima
Надеюсь все так.

Всего записей: 9 | Зарегистр. 08-05-2009 | Отправлено: 16:37 11-05-2009
Antech

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
SxMaks
В дампах нет ничего похожего на MFT. Либо Вы ошиблись с дампами, либо там и нет никакой MFT, бутсектор-то не исправлен. Можете попробовать "Поиск NTFS" в DMDE (покажите результаты).
 
Nightelf0
У Вас глючно опущен нулевой бит в определенных байтах (потенциально - в каждом втором байте) во всех четырех начальных записях MFT. Патч здесь (проверено Чекдиском на опытном винте). Откройте патч в WinHex, Ctrl+A, Ctrl+C. Затем перейдите к началу проблемного раздела (в бутсектор) и переместитесь на 32 (dec) сектора вперед (Alt+G, 20 hex == 32 dec, Sectors, Current position). Здесь у Вас начало MFT. Проверьте, что курсор находится в начале сектора, а сам сектор начинается символами FHLD*. Все так? Тогда жмите Ctrl+B, Ctrl+S. Кроме того, желательно исправить MFT Mirror. У Вас она начинается в секторе 6702400 (dec) от начала раздела (в начале там сейчас тоже должно быть FHLD). Перейдите в этот сектор и нажмите Ctrl+B, Ctrl+S. Перезагрузитесь и проверьте результат.

Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 19:02 11-05-2009
Nightelf0

Newbie
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

Цитата:
Nightelf0  
У Вас глючно опущен нулевой бит в определенных байтах (потенциально - в каждом втором байте) во всех четырех начальных записях MFT. Патч здесь (проверено Чекдиском на опытном винте). Откройте патч в WinHex, Ctrl+A, Ctrl+C. Затем перейдите к началу проблемного раздела (в бутсектор) и переместитесь на 32 (dec) сектора вперед (Alt+G, 20 hex == 32 dec, Sectors, Current position). Здесь у Вас начало MFT. Проверьте, что курсор находится в начале сектора, а сам сектор начинается символами FHLD*. Все так? Тогда жмите Ctrl+B, Ctrl+S. Кроме того, желательно исправить MFT Mirror. У Вас она начинается в секторе 6702400 (dec) от начала раздела (в начале там сейчас тоже должно быть FHLD). Перейдите в этот сектор и нажмите Ctrl+B, Ctrl+S. Перезагрузитесь и проверьте результат.

 
32 сектор раздела начинается так, жму Ctrl+B, Ctrl+S ничего не происходи (или этого не должно быть видно)
6702400 сектор начинается не с FHLD

Всего записей: 28 | Зарегистр. 29-04-2009 | Отправлено: 20:23 11-05-2009 | Исправлено: Nightelf0, 20:33 11-05-2009
Antech

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Nightelf0

Цитата:
ничего не происходит

Перед этим патч в буфер скопировали? (Ctrl+A, Ctrl+C)
Поверьте режим по F6, должен быть Editable.
 

Цитата:
6702400 сектор начинается не с FHLD

Покажите дамп 10 секторов, начиная с этого сектора. Уверены, что не ошиблись с номером сектора?
Если 6702400 начинается FILE, то MFT Mirror уцелела, это даже лучше (тогда заливать патч в 6702400 не надо).

Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 21:28 11-05-2009
Nightelf0

Newbie
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

Цитата:
Перед этим патч в буфер скопировали? (Ctrl+A, Ctrl+C)  
Поверьте режим по F6, должен быть Editable.

да скопировал, нажимаю F6 - Read - only Mode (=write-protected), Default edit mode (= Editable),  in-place mode (=Editable).

Цитата:
Покажите дамп 10 секторов, начиная с этого сектора. Уверены, что не ошиблись с номером сектора?  
Если 6702400 начинается FILE, то MFT Mirror уцелела, это даже лучше (тогда заливать патч в 6702400 не надо).

может я на него перехожу не так?(Position-Go to sector)
Дамп

Всего записей: 28 | Зарегистр. 29-04-2009 | Отправлено: 21:37 11-05-2009 | Исправлено: Nightelf0, 21:40 11-05-2009
sidoj85

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Добрый вечер. Подскажите пожалуйста, у меня такая проблема:
при переустановке ХР три раздела винта (С FAT32, D FAT32 и E NTFS ) слились в один (С NTFS)  Самсунг 40 Гб. На диске D важная инф.
 после попыток восстановления прогой testdisk удалось достать E полностью и D частично: не хватает самых важных папок, точнее они есть но при открытии ошибка что-то вроде - данные были перемещены. размер некоторых битых файлов отображается больше чем винт (например 60Гб)
что мне делать?

Всего записей: 1 | Зарегистр. 10-05-2009 | Отправлено: 00:12 12-05-2009
3eJIeHbIu

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Antech я лишь хотел уточнить саму возможность прежде чем приводить всю инфу...а проблеммы до потери бутсектора были, я же описал ситуцию...так вот...теперь...фс была нтфс, раздел один, чем форматили неизвестно...дамп нужных секторов будет...как только пойму как его тут вставить то...не хочется сканить всю инфу...лучше если восстановить получится как было...заранее спасибо..

Всего записей: 14 | Зарегистр. 08-05-2009 | Отправлено: 03:48 12-05-2009
Antech

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Nightelf0

Цитата:
F6 - Read - only Mode (=write-protected), Default edit mode (= Editable),  in-place mode (=Editable)

Должен быть выбран Default (Editable). Тогда при нажатии Ctrl+B вставляется содержимое буфера.
 

Цитата:
может я на него перехожу не так?

Скорее всего. Потому что в дампе не MFT Mirror. Номер сектора 6702400 - это от начала раздела. Т.е. переходите в начало раздела (бутсектор), Alt+G, 6702400 если указано dec. (664540 если hexadec.), Sectors, Current Position, OK. Патчить MFT Mirror не обязательно. Главное - основная MFT.

Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 09:28 12-05-2009
3eJIeHbIu

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
сделал дампы через DMDE...лежат тут <a href="http://filekeeper.org/download/shared/sectors0">тут</a> и <a href="http://filekeeper.org/download/shared/sectors1">тут</a>. Надеюсь поможет.

Всего записей: 14 | Зарегистр. 08-05-2009 | Отправлено: 10:45 12-05-2009
Nightelf0

Newbie
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

Цитата:
Скорее всего. Потому что в дампе не MFT Mirror. Номер сектора 6702400 - это от начала раздела. Т.е. переходите в начало раздела (бутсектор), Alt+G, 6702400 если указано dec. (664540 если hexadec.), Sectors, Current Position, OK. Патчить MFT Mirror не обязательно. Главное - основная MFT.

набрал 664540 в hexadec, там нету такого

Всего записей: 28 | Зарегистр. 29-04-2009 | Отправлено: 17:39 12-05-2009
Antech

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
3eJIeHbIu
Понятно... Исходно у Вас произошла обычная проглючка начала MFT. Потом, если верить дампу, Вы сделали очень забавную вещь: вместо бутсектора вписали таблицу разделов (MBR, но без загрузчика), и по смещению 3 байта от начала сектора добавили сигнатуру NTFS. Смысл сего действа не ясен, ну да ладно, это не важно. В секторе 63 от начала дампа бутсектор и с ним все в порядке. У меня поэтому сомнения в Вашем первом дампе. ИМХО это 100 первых секторов физического диска, а не раздела (соответственно, бутсектор на месте). Потому что после бутсектора в 63 секторе дампа расположен загрузчик Винды, после которого - поток $SDS файла $Secure, т.е. нормальное начало раздела. Если это действительно дамп начала физического диска (не раздела), то тогда делаем так:
 
1. Таблицу разделов оставляем как есть. Если я правильно понял, раздел у Вас в Управлении Дисками виден, но не открывается.
2. Исправляем MFT. Патч здесь. Откройте его в WinHex, Ctrl+A, Ctrl+C. Затем откройте физический диск. Перейдите в сектор 6291519: Alt+G, Beginning, Sectors, 6291519 если указано dec. либо 60003F, если hexadec, OK. Проверьте, что курсор стоит в секторе с начальной строкой FILE. Теперь проверьте, что задан режим Editable (F6), жмите Ctrl+B (вставить патч из буфера), Ctrl+S. Перезагрузитесь и смотрите, что с разделом.
 
Добавлено:
Nightelf0
Да ладно, забейте на Mirror. Пропатчили MFT - смотрите результат. Если раздел не открывается, смотрите что пишет chkdsk.exe X: (X - буква раздела).

Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 18:08 12-05-2009
3eJIeHbIu

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Antech да все верно. Я из 63 сектора скопировал в нулевой 4 байта содержащие кол-во секторов раздела...указал тип ФС нтфс и еще что-то...я такое где-то вычитал и сделал как там было написано...теперь, после того как сюда написал, искал нтфс раздел с помощью dmde и он нашел раздел содержащий 190гиг инфы и даже написал какое кол-во файлов...но я не стал жать на кнопку"обзор тома" или как-то так она называлась потому что, когда просматривал диск акронисом он показывал что на диске занято порядка 300гигов, вот и засомневался тот ли раздел он мне нашел. Диск не мой и кол-во информации на нем мне было неизвестно...Далее...сделал замену секторов патчем...и о чудо, после перезагруза винда увидела раздел и все данные на нем...при чем, именно тот самый раздел, в 190гигов...видимо эт он и был все таки...В начальном секторе патча до замены у меня вместо слова file какие-то символы другие были....Прежде всего хочется сказать вам СПАСИБО! но хотелось бы еще и понять как вы создавали патч по дампам и еще вопрос ме интересует-то что я затер нулевой сектор это как то важно? мне надо слить инфу и нормально переразметить диск или все таки не стоит беспокоиться и с диском все будет нормальн?

Всего записей: 14 | Зарегистр. 08-05-2009 | Отправлено: 20:59 12-05-2009
Antech

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
3eJIeHbIu

Цитата:
Я из 63 сектора скопировал в нулевой 4 байта содержащие кол-во секторов раздела...указал тип ФС нтфс и еще что-то

Все правильно. Можно было еще загрузчик "для приличия" туда записать. А строка "NTFS" в MBR лишняя, хотя это не важно.
 

Цитата:
вместо слова file какие-то символы другие были

BAAD. Это Чекдиск так отмечает записи, у которых не сходится проверка по USA (Update Sequence Array).
 

Цитата:
как вы создавали патч по дампам

У Вас глючно поднят первый бит в каждом втором байте четырех начальных записей MFT (виноват шлейф винта 99%, если не заменить шлейф, опять проглючит).
Восстановление исходного дампа в таких случаях неэффективно. Я использую MFT живого раздела. Туда нужно перенести ранлист MFT, изменить размер атрибута DATA в записи MFT, также изменить Last VCN в этом атрибуте. В записи $MFT Mirror надо поправить первый кластер в ранлисте, это легко сделать по бутсектору раздела. Желательно скопировать имя раздела в запись $Volume (атрибут VOLUME_NAME), но у Вас раздел никак не назывался (я вставил обычное iXBT-DR, т.к. этот расколбас с бесплатным восстановлением начинался на iXBT).
Когда патч сделан, его желательно проверить на тестовом разделе, т.к. легко что-нибудь забыть или ошибиться.
 

Цитата:
то что я затер нулевой сектор это как то важно?

Не важно. Вы его уже восстановили самостоятельно. Можете скопировать туда загрузчик от любого живого винта по адресам 0...19Fh. Только осторожно, не сотрите опять таблицу разделов , хотя теперь Вы легко восстановите ее, если что. Загрузчик в MBR нужен на случай, если с винта захочется загрузиться (Винда при разметке всегда загрузчик в MBR записывает).
Переразмечать не нужно. Лучше смените шлейф побыстрее, пока MFT опять не накрылась . И покажите SMART. Следите за Ultra DMA CRC Errors (Raw).

Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 22:52 12-05-2009
Nightelf0

Newbie
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору

Цитата:
Nightelf0  
Да ладно, забейте на Mirror. Пропатчили MFT - смотрите результат. Если раздел не открывается, смотрите что пишет chkdsk.exe X: (X - буква раздела).

Так всё работает, все данные целы спасибо огромное

Всего записей: 28 | Зарегистр. 29-04-2009 | Отправлено: 01:36 13-05-2009
SxMaks

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Можете попробовать "Поиск NTFS" в DMDE (покажите результаты).

Нужно полностью отсканировать поврежденый раздел? могу на данный момент выложить результат на 60% отсканированого.

Всего записей: 9 | Зарегистр. 08-05-2009 | Отправлено: 10:18 13-05-2009
Antech

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
SxMaks

Цитата:
Нужно полностью отсканировать поврежденый раздел?

Можно не полностью, покажите что есть.

Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 13:05 13-05-2009
SxMaks

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Можете попробовать "Поиск NTFS" в DMDE (покажите результаты).

Почему-то до 100% не дошло долго висело на 99%
http://www.filekeeper.org/download/shared/ntfsscan_2.log

Всего записей: 9 | Зарегистр. 08-05-2009 | Отправлено: 17:12 13-05-2009 | Исправлено: SxMaks, 20:31 13-05-2009
3eJIeHbIu

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
кстати у меня тоже до 100% не дошло...но раздел он нашел просто я побоялся дальше на кнопки жать...мало ли что...

Цитата:
И покажите SMART. Следите за Ultra DMA CRC Errors (Raw).

это как?

Цитата:
Я использую MFT живого раздела. Туда нужно перенести ранлист MFT, изменить размер атрибута DATA в записи MFT, также изменить Last VCN в этом атрибуте. В записи $MFT Mirror надо поправить первый кластер в ранлисте, это легко сделать по бутсектору раздела.  

mft живого раздела...любого?  что есть ранлист и Last VCN?
 
 

Всего записей: 14 | Зарегистр. 08-05-2009 | Отправлено: 20:50 13-05-2009
Antech

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
3eJIeHbIu

Цитата:
это как?

В поиск.
 

Цитата:
mft живого раздела...любого?

Да.
 

Цитата:
что есть ранлист и Last VCN?

Ранлист - список координат фрагментов.
Last VCN - номер последнего виртуального кластера (подробнее в статье Касперски про NTFS и Linux NTFS).

Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 16:06 14-05-2009
   

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Пропал диск. Восстановление таблицы разделов (не данных)
vu1tur (08-04-2010 16:27): лимит страниц, продолжение:
http://forum.ru-board.com/topic.cgi?forum=62&topic=20390


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru