Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Hardware » Магнитные носители информации » Закладки » Восстановление разделов и информации на HDD (часть 8)

Модерирует : Akam1, Dr_StandBy, vertex4

Akam1 (13-11-2016 05:23): http://forum.ru-board.com/topic.cgi?forum=84&topic=5216  Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100

   

Akam1



Комса
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Восстановление разделов и информации на HDD
 
1 часть :: 2 часть :: 3 часть:: 4 часть :: 5 часть :: 6 часть :: 7 часть

Внимание! Если у Вас возникли проблемы с доступом к информации на дисках большого объема (более 120 Гб) - пропала таблица разделов, система говорит, что нужно отформатировать диск и т.п., то сначала прочитайте эту ветку про LBA48.
 
Для операций с разделами на жестких дисках по-возможности используйте штатные средства ОС. Прежде, чем править разделы с помощью Acronis Partition Expert, Norton Partition Magic и им подобных программ, пробегите быстро по всем страницам всех частей этой темы и Вы увидите, что половина проблем из-за них! Если не хотите сами наступить на эти грабли, запомните несколько простых правил:
 
- перед использованием программ типа Partition Magic всегда сохраняйте резервные копии важных данных
- не забывайте проверять диски на ошибки и дефрагментировать их (может помочь позже, при восстановлении данных)
- не пытайтесь изменять разделы на дисках с ошибками или на которых имеются сбойные блоки
- на время правки разделов постарайтесь обеспечить бесперебойную работу компьютера
- никогда не прерывайте процесс изменения разделов, если он уже начался
- не проводите операций по изменению разделов на дисках забитых до отказа, т.к. это значительно увеличивает продолжительность таких операций, а следовательно и риск возникновения сбоев
 
Прочтите и передайте другим, которые заходят сюда, когда уже слишком поздно...

 
То же самое касается программ ScanDisk и CHKDSK, автоматически проверяющих диски при загрузке системы. В случае серьезных сбоев они ничем помочь не смогут, но навредить могут изрядно. Поэтому всегда отключайте эти утилиты из автозапуска и выполняйте проверку дисков только вручную, периодически, когда уверены, что серьезных проблем на диске нет. Как их отключить написано здесь (на английском)

  • Общие рекомендации по самостоятельному восстановлению данных
     
  • Хороший совет по восстановлению, когда не уверен в своих знаниях
     
  • Список программ для восстановления информации
     
  • Статьи о восстановлении данных и жестких дисках
     
  • Восстановление данных из .chk файлов
    Обращаясь в тему за помощью, обязательно укажите информацию о диске: тип, емкость, способ подключения, информацию о разделах, SMART винта из MHDD / Victoria / HDDScan, наименование и мощность БП, возраст БП, результаты MemTest86, версию ОС и сервис-пака, а также обстоятельства краха - честное слово, толковым запросам и отвечать приятно. Здесь телепатов нет...
     

    Важно! Инструкция по чистке контактов на плате HDD

  • Всего записей: 26360 | Зарегистр. 20-04-2006 | Отправлено: 05:45 11-10-2015
    temp9285

    BANNED
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    avtandil33

    Цитата:
    А, ну я же делал полный поиск, там RAW был включен. Но таким путем, наверное, реально будет только некоторые песни найти.

    Можно нефрагментированные файлы (*) или начальный фрагмент.
    PS. Что ты хочешь - чудес?
     
    Что касается второго случая, скриншот настолько информативный что не поймёшь что открылось - запись MFT, фрагмент индекса или данные из журнала файловой системы.
    В любом случае, надо исключить любую запись на диск (забрать букву диска и т.п.)
    После этого открыть диск в DMDE, сделать виртуальную реконструкцию и смотреть есть ли запись об этом файле.
    Небольшой печальный факт. В случае удаления файла более 4-х гигов (а тиб наверняка не маленький) в файловой записи ранлист удаляется.
     
    PS. Насколько помню - у какого то формата tib-файлов есть характерные сигнатуры в начале и конце файла. И вроде бы размер файла + контрольная сумма. Что, в случае нефрагментированного файла позволяет найти его даже при отсутствии ранлиста.

    Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 17:16 25-02-2016 | Исправлено: temp9285, 17:19 25-02-2016
    avtandil33

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    temp9285
     
    Цитата:
    А, ну я же делал полный поиск, там RAW был включен. Но таким путем, наверное, реально будет только некоторые песни найти.
     

    Цитата:
    Можно нефрагментированные файлы (*) или начальный фрагмент.
    PS. Что ты хочешь - чудес?

     
    Ну, хотелось бы...
     
     

    Цитата:
    Что касается второго случая, скриншот настолько информативный что не поймёшь что открылось - запись MFT, фрагмент индекса или данные из журнала файловой системы.
    В любом случае, надо исключить любую запись на диск (забрать букву диска и т.п.)
    После этого открыть диск в DMDE, сделать виртуальную реконструкцию и смотреть есть ли запись об этом файле.
    Небольшой печальный факт. В случае удаления файла более 4-х гигов (а тиб наверняка не маленький) в файловой записи ранлист удаляется.
     
    PS. Насколько помню - у какого то формата tib-файлов есть характерные сигнатуры в начале и конце файла. И вроде бы размер файла + контрольная сумма. Что, в случае нефрагментированного файла позволяет найти его даже при отсутствии ранлиста.

     
    Я все это и делал, только букву не забирал - уже исправлено.
     
    Дело в том, что я запускал поиск по строке и вот он мне открыл только эту строчку с конкретным номером сектора, а как узнать из какой это области я не знаю. В твоем примере с Метелкиным было все ясно - наверное потому что файлы-то в общем-на своих местах. А в случае удаленного - я в сумленяих - как быть дальше ?!  
     
    Честно говоря, странно ваще, что файл был так резво удален без подтверждения факта окончания переноски на другой диск...

    Всего записей: 24 | Зарегистр. 06-01-2006 | Отправлено: 18:42 25-02-2016
    temp9285

    BANNED
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    avtandil33

    Цитата:
    Дело в том, что я запускал поиск по строке и вот он мне открыл только эту строчку с конкретным номером сектора, а как узнать из какой это области я не знаю.  

    Ну так разверни окно пошире, и вообще сделай дамп этого сектора + до и после штук 8.
    И покажи что в корневом показывает после виртуальной реконструкции.
     

    Цитата:
    Честно говоря, странно ваще, что файл был так резво удален без подтверждения факта окончания переноски на другой диск...

    Ну так - кэширование никто не отменял, впрочем как и глюки.
     

    Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 18:56 25-02-2016
    Thrix

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    temp9285,спасибо большое за Ваши советы! Все файлы нашлись в Root.

    Всего записей: 2 | Зарегистр. 24-02-2016 | Отправлено: 19:15 25-02-2016
    avtandil33

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    temp9285
     
    Цитата:
    Дело в том, что я запускал поиск по строке и вот он мне открыл только эту строчку с конкретным номером сектора, а как узнать из какой это области я не знаю.  
     

    Цитата:
    Ну так разверни окно пошире, и вообще сделай дамп этого сектора + до и после штук 8.
    И покажи что в корневом показывает после виртуальной реконструкции.
     

     
    Лежит тута. Сделал дамп +/- 10 секторов.
     
    В корне ваще было еще несколько тибов, но тоже большие, может поэтому их и не показывают в списке удаленных ?

    Всего записей: 24 | Зарегистр. 06-01-2006 | Отправлено: 19:24 25-02-2016 | Исправлено: avtandil33, 19:24 25-02-2016
    temp9285

    BANNED
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Thrix
    В твоём случае, с вероятностью 99,99% этот раздел можно восстановить по месту - то есть вставить и применить изменения.
     
    avtandil33
    Что то я в корне не заметил тибов. И если их нет, то напрашивается вывод что уже что то переписало их записи.
    Что касается дампа, то и в нём не прояснилось к чем относится - похоже на индекс папки но, при стандартном размере кластера, в таком промежутке секторов встретился бы маркер индекса. Получается или кластер большой, или что то ещё - не исключаю что маковское.
    В принципе, можно по карте кластеров посмотреть что там лежит.

    Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 20:26 25-02-2016
    avtandil33

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    temp9285
     

    Цитата:
     
    Что то я в корне не заметил тибов. И если их нет, то напрашивается вывод что уже что то переписало их записи.

     
    Типа их-за того, что я сразу букву не забрал?  Потому как уж на этот диск точно ничего не писалось...
     
     

    Цитата:
    Что касается дампа, то и в нём не прояснилось к чем относится - похоже на индекс папки но, при стандартном размере кластера, в таком промежутке секторов встретился бы маркер индекса. Получается или кластер большой, или что то ещё - не исключаю что маковское.
    В принципе, можно по карте кластеров посмотреть что там лежит.

     
    Вот вроде нашел - правда не стало от этого легче... $UsnJml:$J - вот уж хрень...

    Всего записей: 24 | Зарегистр. 06-01-2006 | Отправлено: 22:08 25-02-2016 | Исправлено: avtandil33, 22:09 25-02-2016
    temp9285

    BANNED
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    avtandil33

    Цитата:
    Типа их-за того, что я сразу букву не забрал?

    Ну а чем ещё обьяснить что нет записи о файле?

    Цитата:
    Потому как уж на этот диск точно ничего не писалось..

    Писать можешь не только ты.

    Цитата:
    $UsnJml:$J - вот уж хрень..

    Есть такое дело, только правильнее $UsnJrnl
    Если есть желание - изучай что за хрень.
    А это тебе в помошь - http://www.orionforensics.com/w_en_page/NTFS-Journal-Viewer.php Возможно что с её помощью узнаешь номер записи MFT пропавшего файла, а потом что в ней сейчас.
    PS. А в корзине случаем нет твоего файла?

    Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 23:14 25-02-2016
    avtandil33

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    temp9285
     
     
    Типа их-за того, что я сразу букву не забрал?
     

    Цитата:
     а чем ещё обьяснить что нет записи о файле?  

     
    Мажет из-за большого размера ? Там еще несколько перемещенных типов  
    канули, правда они мне не нужны...
     
    Потому как уж на этот диск точно ничего не писалось..
     

    Цитата:
     Писать можешь не только ты.  

     
     
    $UsnJml:$J - вот уж хрень..
     

    Цитата:
     Есть такое дело, только правильнее $UsnJrnl  
    Если есть желание - изучай что за хрень.  
    А это тебе в помошь - http://www.orionforensics.com/w_en_page/NTFS-Journal-Viewer.php Возможно что с её помощью узнаешь номер записи MFT пропавшего файла, а потом что в ней сейчас.  

     
    Спасибо, поизучаю.
     

    Цитата:
    PS. А в корзине случаем нет твоего файла?

     
    Увы...

    Всего записей: 24 | Зарегистр. 06-01-2006 | Отправлено: 23:30 25-02-2016 | Исправлено: avtandil33, 23:31 25-02-2016
    temp9285

    BANNED
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    avtandil33

    Цитата:
    Мажет из-за большого размера ?  

    Я не настолько знаком с NTFS, чтобы что то утверждать.
    Да к тому же с ней работает драйвер системы, коих не счесть - в том числе не микрософтовских.
    Если же по толмудам - после удаления файла запись MFT считается свободной и любой вновь записываемый файл может записаться в неё.
    Я тебе и предложил программу, потому как она показывает номер записи MFT который был у файла.
     
    PS. Не надо цитировать свои прежние ответы - сбивают малость с толку.
    Вот непонятно это
    Цитата:
    Потому как уж на этот диск точно ничего не писалось..
    к верхнему тексту относится или нет.
     
     

    Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 23:48 25-02-2016
    avtandil33

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    temp9285
     
    Может из-за большого размера ?  
     

    Цитата:
     
    Я не настолько знаком с NTFS, чтобы что то утверждать.
    Да к тому же с ней работает драйвер системы, коих не счесть - в том числе не микрософтовских.
    Если же по толмудам - после удаления файла запись MFT считается свободной и любой вновь записываемый файл может записаться в неё.
    Я тебе и предложил программу, потому как она показывает номер записи MFT который был у файла.  

     
    Нашел искомый файл журнала в папке Metadata\$Extend.  
     
    Как видно файл больше 5 метров - в нем сначала куча нулей, потом инфа, а в конце опять нули. Хотел восстановить его, чтобы напустить на него парсер, но сам файл не дает выделить, а при попытке восстановления всех файлов из папки все восстановленные файлы получаются нулевого размера.
    Как быть ?
     
     
    Цитата:
    PS. Не надо цитировать свои прежние ответы - сбивают малость с толку.  

     
    Сорри, мусор прокрался ...

    Всего записей: 24 | Зарегистр. 06-01-2006 | Отправлено: 02:25 26-02-2016 | Исправлено: avtandil33, 02:26 26-02-2016
    temp9285

    BANNED
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    avtandil33
    Парсер сам может извлекать журнал, но для этого ему нужна буква диска.
    Возможно что его можно собрать по частям, подсмотрев ранлист.
    Может можно и ещё как, но я не в курсе.

    Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 10:41 26-02-2016
    temp9285

    BANNED
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    avtandil33
    Ну и ещё откуда можно узнать информацию о крайних транзакциях ФС - это журнал файловой системы. Погугли  парсер NTFS $LogFile

    Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 19:05 26-02-2016
    insight81

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Добрый день! Имеется флешка Transcend 16 Gb. При подключении флешки window выдает сообщение: «Прежде чем использовать диск его нужно отформатировать».  
    При запуске chkdsk g: /f появляется сообщение "Тип файловой системы: RAW. CHKDSK недопустим для дисков RAW."
    Запускаю dmde. В окне Разделы разделы отсутствуют.
    Первым делом делаю копирую секторы в резервный файл.
    Поиск NTFS ничего не дает.
    Поиск FAT находит том FAT0 (http://prntscr.com/a8a4xi).
    При открытии тома предлагаются следующие параметры: (http://prntscr.com/a8a5dn). Жму Открыть.  
    В окне "Установки использования FAT-таблиц" (http://prntscr.com/a8a6or) жму OK.
    После этого можно восстанавливать файлы по одному. Но т.к. файлов очень много, хочется все же восстановить таблицу разделов.
    В окне Разделы появилась строка с файловой системой FAT32 (http://prntscr.com/a8a664).
    Выделяю строку, жму Вставить. Появляется предупреждение: "Для выбранного диска не найден загрузочный сектор. После добавления диск будет виден как неотформатированный. Продолжить?". Жму OK.
    Появляется предупреждение: "Файловая система тома повреждена. Продолжить все равно?". Добавляю диск как основной раздел.
    Появляется такая картина (http://prntscr.com/a8a74a). Жму Применить.
    После этого получаю картину, как на скриншоте http://prntscr.com/a8a7fr.
    Подскажите, пожалуйста, что делать дальше.

    Всего записей: 15 | Зарегистр. 15-02-2011 | Отправлено: 21:27 26-02-2016
    temp9285

    BANNED
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    insight81
    Судя по имеющейся информации, начало раздела чем то переписано - соотвественно уничтожен бутсектор, его копия и начало FAT1.
    Хотя лучше взглянуть что там реально - в секторе 2049 (*) + штук 200 далее.
    Ну а далее - сделать бутсектор и прописать его.
    Если версия насчёт повреждения FAT1 верна - записать в неё содержимое FAT2.
     
    Вот только есть ли смысл этим заморачиваться?
    Возможно что этого будет недостаточно или будут мелкие ошибки, которые надо устранять чекдиском. А вот что он сделает - сложно сказать. К тому же смещение раздела не стандартное - что вроде бы для флэшек не есть хорошо.

    Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 22:08 26-02-2016
    insight81

    Newbie
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    temp9285, нужно смотреть содержимое до или после того, как я добавил раздел FAT32 в dmde? Начиная с 2049 сектора, или с 2079? Просто у меня везде на скриншотах начало с 2079.

    Всего записей: 15 | Зарегистр. 15-02-2011 | Отправлено: 00:47 27-02-2016
    temp9285

    BANNED
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    insight81
    В смысле добавил? Ты всё таки вставил - но толку без бутсектора.
    Сейчас очень плохой доступ к скриншотам, поэтому писал номер по памяти. Если 2079-й, то с 2079-го.

    Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 01:41 27-02-2016
    Alex_Green

    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    insight81
    Да,судя по всему дамп нужно сделать с 2079 сектора. Ещё неплохо было бы глянуть на содержимое 100 секторов от сектора 7340032 (предположительно первая фат таблица) и 7836160 (вторая фат таблица).

    Всего записей: 283 | Зарегистр. 21-04-2013 | Отправлено: 12:01 27-02-2016
    dmkov9

    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Добрый день!
    У меня такая проблема. Случайно вместо флэшки выбрал не тот диск, и им оказался один из разделов винта.
    Раздел был в НТФС, случайно форматировал в ФАТ. Процесс прервал сразу же, как заметил.
    Запустил GetDataBack for NTFS 4.33. Сканировал в разных режимах, не видит папки/файлы вообще. Но еще смущает то, что при выборе логического раздела (диск Е) его объем прога видит не верно (видит как весь ЖД).
    Запустил EasyRecovery 11.5.0.2, после сканирования файлы вроде бы все нашел, но все имена файлов левые и общей кучей по расширениям. Читал, что это особенность проги.
    Но у меня там было много файлов по папкам, и все я сам не раскидаю.
    Помогите, что еще можно сделать?

    Всего записей: 852 | Зарегистр. 16-08-2007 | Отправлено: 17:06 27-02-2016
    bahtey



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    dmkov9
    Снимок сделайте раздела для резерва.
    И после пробуйте другие ПО для восстановления.

    Всего записей: 794 | Зарегистр. 14-12-2006 | Отправлено: 17:20 27-02-2016
       

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100

    Компьютерный форум Ru.Board » Hardware » Магнитные носители информации » Закладки » Восстановление разделов и информации на HDD (часть 8)
    Akam1 (13-11-2016 05:23): http://forum.ru-board.com/topic.cgi?forum=84&topic=5216


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru