Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Пропал диск. Восстановление таблицы разделов (не данных) - 2

Модерирует : KLASS, IFkO

KLASS (26-02-2017 16:06): Продолжение в Пропал диск. Восстановление таблицы разделов (не данных)-3  Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 158 159 160 161 162 163 164 165 166 167 168 169 170 171 172 173 174 175 176 177 178 179 180 181

   

vu1tur



Moderator-Saaber
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
предыдущие части: 1
ВНИМАНИЕ! В данной теме не восстанавливают данные. Кому восстановить данные сюда... там несколько частей темы, возможно, уже есть решение вашей проблемы. Внимательно читаем шапку.
---------------------------------------------------------------------------------------------
В помощь по данной теме:

Всего записей: 3690 | Зарегистр. 01-02-2003 | Отправлено: 16:26 08-04-2010 | Исправлено: KLASS, 17:42 16-08-2014
9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Только TestDisk'ом изменения вносились.

Всего лишь навсего? А какие нужно телепать?

Всего записей: 4833 | Зарегистр. 06-10-2010 | Отправлено: 13:28 11-07-2011
Ked_Converse

Newbie
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Сорь. Восстанавливался бут и переписывалась структура раздела. Кажется как-то так там это называется.

Всего записей: 8 | Зарегистр. 10-07-2011 | Отправлено: 13:32 11-07-2011
Antech

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
9285
Ked_Converse
Понятно, т.е. начало диска в текущем состоянии - это продукт ТестДиска, а останки MFT в текущем состоянии - это продукт друзей... Или там был ExFAT, а NTFS - просто реликт?
 
Я тоже видел ExFAT, но там так согласовывалась таблица с AMBR, и бутсектор в нужном месте. Я просто пропустил слова про TestDisk вчера... Тогда возможно, что восстанавливать надо ExFAT, а не NTFS?
 
ExFAT Reverse Engineering (SANS)
Я не изучал подробно, но эксперимент на столь полезном внешнем винте и вышеприведенный мануал дают возможность утверждать, что когда-то на винте был ExFAT раздел емкостью 500 ГБ, который начинался в секторе 40h (64). Да, почему-то именно в секторе 64 (возможно, выравнивание на AF с секторами 4096 Б). Кстати, ExFAT также имеет тип (в MBR) 07. Об этом сказано в мануале и об этом говорит опыт.
Начало раздела соответствует началу ExFAT с подтертым нулевым сектором, т.е. <BS-NTFS> - <11 секторов> - <BS-ExFAT-Copy> - <11 секторов> - <Нули>. Смещение FAT там 800h секторов и мы, естественно, таблиц в дампе не видим.
 
Таким образом, мы можем попробовать реинкарнировать ExFAT раздел и посмотреть на результат. Ked_Converse, вот что для этого нужно:
1. В таблице разделов задать тип 07 (в DMDE открыть физический, перейти к табличке с разделами и нажать Ctrl+E для редактирования, затем в табличке поменять тип раздела с 0F на 07, сохранить Ctrl+W). Размер раздела можно оставить как есть (там на 1 сектор больше, чем в буте, но это роли не сыграет).
2. Сектор 4Ch (76) скопировать в сектор 40h (64), делается через Копировать Секторы, думаю, Вы и так знаете как именно. Это вернет основной бутсектор на место (из копии).
После этого нужно перезагрузиться, чтобы Винда прочухала изменения, или переподключить винт через "Безопасное извлечение".
Вероятность того, что раздел станет при этом доступен, стремится к нулю. Ведь таким образом устраняются последствия ТестДиска, но и до него раздел уже не монтировался (Raw). Зато можно запустить Чекдиск без исправлений и посмотреть на результат. Или восстанавливать R-Studio (умеет ExFAT) - ей будет проще после наших исправлений определить тип ФС и начало раздела.
 
Повторюсь, это для случая, когда основной ФС таки была ExFAT, а ошметки NTFS - ненужный реликт, оставшийся с давних времен. Если точно известно, что была NTFS, то R-Studio + Extra Found Files по типам... Если об ФС точно ничего неизвестно, можно попробовать приведенные выше исправления, и если это ничего не даст, откатить все путем записи дампа sec_0_101.ima обратно на диск.

Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 15:28 11-07-2011 | Исправлено: Antech, 15:30 11-07-2011
9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Antech
ИМХО, но версия по поводу EXfat - наиболее реальная.
Насчёт копирования 76 сектора хотел тоже предложить.
Ну а что касается
Цитата:
Вероятность того, что раздел станет при этом доступен, стремится к нулю. Ведь таким образом устраняются последствия ТестДиска, но и до него раздел уже не монтировался (Raw).
то тут просто интуитивно могу выдвинуть версию того, что в системе просто не стоит патч для поддержки EXFAT в XP, соответствено она и воспринимает раздел как RAW. Так что Ked_Converse  не лишним будет ещё и установка kb955704.
 
Ну и ещё ему попытать того, у кого был винт до этого.

Всего записей: 4833 | Зарегистр. 06-10-2010 | Отправлено: 15:57 11-07-2011
9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Попытка воссоздания картны случившегося показало, что вся эта котовасия с расширенным разделом делается TestDisk-ом. Но, в 64-м секторе ничего не затрагивается. И изменение этого сектора связано или с другими действиями, или кроется под формулировкой "Восстанавливался бут".

Цитата:
Да, почему-то именно в секторе 64 (возможно, выравнивание на AF с секторами 4096 Б).

Насколько понял, данная ФС расчитана на внешние носители (например флэшки) и учитывает специфику этих носителей. Имено поэтому и делается такое смещение.

Всего записей: 4833 | Зарегистр. 06-10-2010 | Отправлено: 19:44 11-07-2011 | Исправлено: 9285, 19:45 11-07-2011
Antech

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
9285

Цитата:
кроется под формулировкой "Восстанавливался бут"

Собственно, Ked_Converse сказал это именно применительно к TestDisk, так что вполне логично.
 

Цитата:
данная ФС расчитана на внешние носители

Но ведь форматер не может изменить координаты разделов. Другое дело, что если выбрано форматирование создаваемого раздела в ExFAT, вот тут возможно, но проверить сейчас лениво (надо десктоп включать).

Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 22:27 11-07-2011
9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Antech
Вопрос конечно интересный, но в моём понимании то, что была изменена структура разделов подпадает под определение "и переписывалась структура раздела".
А в 64-ом виден загрузчик "а-ля виста".
В общем то, можно много полемизировать, но пострадавшему лучше знать что и как было. Ведь до определённого момента он и про друзей не упоминал.
 

Цитата:
Но ведь форматер не может изменить координаты разделов.

Это верно подмечено, но если надо, то почему бы и нет?

Всего записей: 4833 | Зарегистр. 06-10-2010 | Отправлено: 23:09 11-07-2011 | Исправлено: 9285, 23:10 11-07-2011
Antech

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Ked_Converse
День проходил за днем... Ну как, пробовали реинкарнировать ExFAT?

Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 09:07 13-07-2011
gennin

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Добрый день.
Слетел раздел на съемном диске. Даже не представляю в чем причина. Win-7, диск работал, потом ноут был послан в сон/S3. Когда ноут проснулся, на экране табличка "диск не отформатирован, отформатировать?"
 
Посмотрел в менеджер дисков. Раздел есть, но не опознан. SMART чист.
 
* Диск 2.5"  500Гб магнитный, вероятно с классическим сектором. Главный и единственный раздел NTFS на 450 с чем-то Гб (маскимум). Был создан еще на Win XP. Кластер 4 Кб (этот размер подошел при сканировании с restorer2000)
 
Попробовал разные программы, которые ничего на диске не насканировали, кроме обрывков.
 
Лучше всех насканировал Restorer2000pro, который по крайней мере в одном из предложенных вариантов раскладки диска опознал аж половину каталогов.
И кучу копий файлов с разными индексами. (видимо от разных обнаруженных MFT, включая один из бэкап-образов ноута)
 
Все осложнилось тем, что диск не так давно был *дефрагментирован*.
По половине индексов из опознанного вытаскивается мусор. Т.е. такое восстановление - трудный вариант с большим количеством брака.
 
Помогите пожалуйста исправить раздел до читаемости? Хотя-бы какие действия необходимы, ссылочку на рецепт?

Всего записей: 50 | Зарегистр. 16-07-2011 | Отправлено: 16:45 22-07-2011 | Исправлено: gennin, 17:36 22-07-2011
Antech

Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gennin
Универсального рецепта нет.
Для начала нужно:
1. Результаты теста памяти в Memtest86 (один прогон, можно оставить на ночь).
2. SMART и результаты сканирования винта из HDDScan.
3. Дампы по 100 секторов, начиная с секторов 0 и 6291456 от начала раздела (не диска, а раздела). Через DMDE - Копировать секторы (Раздел => Файл).
4. Вывод chkdsk.exe БукваРаздела: без /f.
 

Цитата:
Кластер 4 Кб (этот размер подошел при сканировании с restorer2000)

Что за чудный алгоритм в проге, разве она не может определить размер кластера? Это делается по любой нерезидентной файловой записи (речь про NTFS).

Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 17:57 22-07-2011
9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Все осложнилось тем, что диск не так давно был *дефрагментирован*.

Всегда думал что недавняя дефрагментация полезна в деле восстановления.
Я что то пропустил?

Всего записей: 4833 | Зарегистр. 06-10-2010 | Отправлено: 20:14 22-07-2011
gugury76

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
Друзья, помогите реанимировать систему. после 3-кратного выключения электроэнергии, система перестала загружаться.
появляется логотип с бегущей строкой и затем черный экран, загрузился с live-cd. сделал проверку chkdsk, сообщила что нашла ошибки в mft bitmap, исправила, однако система по-прежнему не загружается, пробывал утилиткой ntfs recovery, находит дефектный сектор но не исправляет.
R-STUDIO network edition 5.0 Build
обнаружила ошибку, но не исправила ее.
 
Warning    File system    20.04.2010    21:27:24    Unexpected MFT record 23536 at 7455202816. If you are scanning RAID and this message will reappear constantly, check RAID for consistence.
 
как решить проблему?

 
Попробуйте Paragon Partition Manager. Вместе с полной версией программы есть еще аварийный диск Paragon Partition Manager BootCD. Хорошая программа восстановления разделов жестких дисков

Всего записей: 7 | Зарегистр. 22-07-2011 | Отправлено: 20:49 22-07-2011
gennin

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Antech
9285
 

Цитата:
1. Результаты теста памяти в Memtest86 (один прогон, можно оставить на ночь).
2. SMART и результаты сканирования винта из HDDScan.  

да, я говорил, что тут чисто, проверял. со стороны железа все выглядит более чем прилично. по кр. мере нет очевидных проблем.
 
надо оживить как-то сам раздел.
 
Хорошо. Сегодня ночью закончу прогонять сканеры и завтра пришлю дампы. (просто уже начал по капле вытягивать данные на запасной винт... у меня тут 3 час ночи уже)  
Большое спасибо за внимание к проблеме!
 

Цитата:
Что за чудный алгоритм в проге, разве она не может определить размер кластера? Это делается по любой нерезидентной файловой записи (речь про NTFS).

Так он же не понимает что это NTFS!
он видит неопределяемый раздел с неким ID, по которому приписывает букву.
Т.е. некоторые сканеры видят, что это NTFS (но ен видят файлов) а Rstore2000 не образает внимания на это и сканирует все. И из кучи потенциальных кандидатов частично читаемы только куски с калстером 4kb (точнее большинство найденных кусков определяются с 4 кб кластером)
Диск не очень новый и там, видимо, очень много старых обрывков копий файловых таблиц в "пустых" областях.
 

Цитата:
Всегда думал что недавняя дефрагментация полезна в деле восстановления.
Я что то пропустил?

Все случайно завалявшиеся куски устаревших MFT(до дефрагментации) сильно запутывают сканирующие программы неактуальными координатами файлов. Сканеры просто выбрасывают мусор наружу всесто файла.
Главный MFT видимо мертв, потому что ни одна прога не нашла чего-либо похожего на него.
Есть что-то напоминающее, наверное, резервную копию, но она тоже запутана неактуальными дубликатами, поди пойми какой ID вытягивать. И файлов там многие тысячи, у меня уже мышка дымится от кликов.
 

Всего записей: 50 | Зарегистр. 16-07-2011 | Отправлено: 21:36 22-07-2011 | Исправлено: gennin, 21:41 22-07-2011
9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gennin

Цитата:
Так он же не понимает что это NTFS!

А другие понимают (DMDE, R-studio)? Не думаю что могли так капитально повредиться все служебные (характерные) элементы ФС, чтобы по ним нельзя было определить тип ФС.
В описываемой ситуации (выход из спячки), достаточно часто мусор сбрасывается в начало диска, и потенциально может затереть часть MFT. Но это смотряя чем она создавалась.
 

Цитата:
Все случайно завалявшиеся куски устаревших MFT(до дефрагментации) сильно запутывают сканирующие программы неактуальными координатами файлов.

Тут наверное путанье понятий. Одно дело - куски MFT каких либо ранее сущевстввавших раздлов, валяющиеся в незанятом пространстве. Ну так они, независимо от дефрагментации, мешаются под ногами. Зато, если дело доходит до RAW-сканирования, то недавняя дефрагментация файлов как никогда кстати.
 
PS. Обычно, проги для восстановления позволяют сохранять результаты сканирования - мало ли, зачем надо отвлечься. Если эта прогрммма не позволяет такое, то это минус.
А с учётом вышесказанного раньше - может стоит остановится и лучше сделать дампы, да выложить.
 
PPS. Судя по описанию - таблица разделов есть, хотя возможно и кривая.
А с MFT может и проблемы. В таком случае, более соответстует случаю  другая тем, указанная в шапке.

Всего записей: 4833 | Зарегистр. 06-10-2010 | Отправлено: 23:31 22-07-2011
gennin

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
DMDE - про нее не в курсе.
R-studio пока в процессе сканирования.
пробовал что-то типа Ontrack, GetDataBack, и еще пару каких-то, стер, забыл как зовутся (на форуме из FAQ по восстановлению инфы брал).
DMDE еще проверю.
 
Добавлено:

Цитата:
Тут наверное путанье понятий. Одно дело - куски MFT каких либо ранее существовавших разделов, валяющиеся в незанятом пространстве. Ну так они, независимо от дефрагментации, мешаются под ногами. Зато, если дело доходит до RAW-сканирования, то недавняя дефрагментация файлов как никогда кстати.  

мне казалось, MFT же не стабильный кусок, он живет, дышит и меняет размеры.
интересно, после дефрагментации обе копии обновляются полностью, или только основной, а бэкап постепенно с последующими доступами на запись?
Так получилось, что restorer нашел пачками огромное количество ссылок на файлы с устаревшими координатами (малые номера ID как при создании). Некоторые ссылки тем не менее работают, видимо файлы не двигались... но таких очень мало... Мне кажется в такой ситуации лучше бы дефрагментации не было
 
все.. сейчас посмотрю что там в r-studio...
 
Добавлено:
А в R-studio та эе фигня что и в Restorer - recognized только раздел с RAW бэкап-образом другого диска.
И большое количество оборванных кусков раздела
 
 
А если не секрет, почему при выходе из сна винда что-то пишет на диск вообще? почему мусор? Я просто шокирован, никак не ожидал.

Всего записей: 50 | Зарегистр. 16-07-2011 | Отправлено: 09:11 23-07-2011 | Исправлено: gennin, 09:29 23-07-2011
9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gennin
MFT может изменяться, но она не теряет своё хозяйство. Копия, которая на самом деле копия всего четырёх основных записей, обновляется синхронно с обновлением тех записей, которые дублируются.
Всё это относится к случаю нормально работающей системы, а с ненормальной какой может быть спрос.
 
БЕз обид, но после прочтения написаного по поводу не стабильности MFT, а особено по поводу обновления копии, хочется посоветовать не прикладывать такие знания к решению вопроса восстановления. Лучше забыть про них - бо последствия могут быть печальные.
 

Всего записей: 4833 | Зарегистр. 06-10-2010 | Отправлено: 10:34 23-07-2011
gennin

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
9285
дык, блин, я-ж и не прикладываю. Это вопрос был.
 
Я же прошу нормального совета, в какую сторону копать. Что необходимо сделать в данном случае. Был бы план действий, необходимый материал прочту.
 
А сейчас, даже если образ снять для экспериментов, плохо представляю, что можно с этим сделать.
 
З.Ы. R-studio хотя и дал похожий на restorer результат с копиями записей на устаревшие координаты, нашел чуть больше файлов. Уже приятнее.
Блин. Ну почему они не пишут, какие конкретно записи используют для каждого варианта восстановления. Там же очевидно не одна таблица в некоторых вариантах.  Какие-то древние, давно стертые файлы вместе с новыми перемешаны почему-то.
 
Добавлено:
УРА-УРА! R-Studio действительно крут! Правильно собрал главный образ-архив на 200 гигов! Сразу половина работы за 5 лет одним махом восстановилась

Всего записей: 50 | Зарегистр. 16-07-2011 | Отправлено: 12:59 23-07-2011
9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gennin
Вообще то, все необходимые инструкции Antech уже написал. Да и в шапке темы есть.
Но похоже что тебе не важно что пишут. Ну что же - продолжай дерзать. Тебя ещё ожидают неоткрытые "Америки".

Всего записей: 4833 | Зарегистр. 06-10-2010 | Отправлено: 13:44 23-07-2011
gennin

Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
9285

Цитата:
Вообще то, все необходимые инструкции Antech уже написал. Да и в шапке темы есть.
Но похоже что тебе не важно что пишут. Ну что же - продолжай дерзать. Тебя ещё ожидают неоткрытые "Америки".  

А вот наезжать зачем? я что-то обидное сказал?
 
я же говорю, что задержка с дампами потому что сейчас сканирую диск. заглядываю на форум в паузах.
 
Добавлено:
Antech
прошу прощения за задержку. слил то что смог, теперь вернулся к вопросу:
 
дампы. (с 63 сектора по Вашим смещениям)
http://zalil.ru/31458151
 
chkdsk k:
The type of the file system is NTFS.
The first NTFS boot sector is unreadable or corrupt.
Reading second NTFS boot sector instead.
Unable to determine volume version and state.  CHKDSK aborted.

Всего записей: 50 | Зарегистр. 16-07-2011 | Отправлено: 17:36 23-07-2011 | Исправлено: gennin, 18:24 23-07-2011
9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
gennin
Какие наезды?
Наверняка между сканированиями в двух программах был промежуток времени, в течении которого можно было сделать запрошенные дампы.
Вот сейчас есть дампы (правда не все и к тому же названия изменены вручную, поэтому нет уверенности в их корректности) и уже по ним можно сделать вывод что в MFT записи сделаны не в соответствующем порядке. И, если верно указан 63 сектор, то и заголовок тома сдвинут на один сектор. Чему тогда удивляться.

Всего записей: 4833 | Зарегистр. 06-10-2010 | Отправлено: 19:13 23-07-2011
   

Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 158 159 160 161 162 163 164 165 166 167 168 169 170 171 172 173 174 175 176 177 178 179 180 181

Компьютерный форум Ru.Board » Операционные системы » Microsoft Windows » Пропал диск. Восстановление таблицы разделов (не данных) - 2
KLASS (26-02-2017 16:06): Продолжение в Пропал диск. Восстановление таблицы разделов (не данных)-3


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2024

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru