Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Hardware » Магнитные носители информации » Восстановление информации с Flash - накопителей

Модерирует : Akam1, Dr_StandBy, Dekker

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7

Открыть новую тему     Написать ответ в эту тему

tomset



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Я бы порекомендовал попробовать GetDataBack for FAT.
Иногда она творит чудеса, если еще есть что восстановить.
Спецы которые на FAT собаку съели, гадают, как ей это удается.
После анализа всеми возможными программами и ручным поиском, которые не дали результата.

Всего записей: 6906 | Зарегистр. 02-12-2002 | Отправлено: 04:21 11-11-2015 | Исправлено: tomset, 04:25 11-11-2015
ICQman2GO



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
temp9285
Попробовать восстановить ICT0005 по размеру взятому из заголовка и начиная с секторов 3840, 8475520, 12669824, 86 912? А потом пытаться его поместить в контейнер avi?

Цитата:
Если из каких то данных (FAT?) можно пробить цепочку кластеров, то восстановить их. Если нет, то просто вычитать сектора по размеру файла. А затем уже заниматься имплантацией заголовков, реанимаций файлов.

А карта кластеров ICT0005, которую показывает WinHex не может считаться корректной? Т.е. если восстановить соостветствующие кластеры и собрать из них ICT0005 то это целесообразно (не считая необходимости восстановаления контейнера avi со всеми параметрами потока)?  
 
tomset

Цитата:
Я бы порекомендовал попробовать GetDataBack for FAT.
Иногда она творит чудеса, если еще есть что восстановить.
Спецы которые на FAT собаку съели, гадают, как ей это удается.
После анализа всеми возможными программами и ручным поиском, которые не дали результата.

Попробую отпишусь

Всего записей: 243 | Зарегистр. 06-03-2008 | Отправлено: 23:12 11-11-2015 | Исправлено: ICQman2GO, 23:14 11-11-2015
temp9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Подробнее...
 
Добавлено:
tomset
Знакомая песня.
Один пользователь РС3000 тоже постоянно рекомендовал эту прогу (даже в случаях когда она была бесполезна).
Возможно что и есть в ней что то эксклюзивное, но как то проводил экспериент - так она вообще не нашла какой то очень распространённый ти файла.

Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 23:45 11-11-2015
Alex_Green

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ICQman2GO
temp9285
 

Цитата:
может есть какие то характерные сигнатуры и в других секторах, по которым можно идентифицировать тип файла (минус то, что файлы однотипные и сигнатуры могут быть идентичные).  

 
В том то и дело, что в основном только AVI файлы и были записаны на карту, поэтому определить по идентичным сигнатурам, принадлежит ли какой то кусок нужному фйалу или нет, практически невозможно.
 
temp9285
 

Цитата:
Я предлагал просто проверить размер в заголовках найденных авишках, и это лишь предполагая что они реально найденные "потеряшки" а не имеющиеся на носителе.

 
Дык я вроде ещё в самом начале предлогал, смотреть сектора предполагаемых начал первых файлов, согласно их размерам в байтах (секторах). Не знаю конечно, как удаляет файлы регистратор, но винда по крайне  мере при удалении файла, ничего не меняет в записях, описывающих размер файла в байтах. Так что даже если и начальный сектор нужного файла показан неправильным, то уж по размерам файлов определить его предполагаемое начало не так сложно. Другое дело, что там похоже имеет место неоднократная перезапись, и от файла по видимому действительно если что то и осталось, то не так много.
 
P.S В приват на хоботе заглянул, отпишусь чуть позже.

Всего записей: 283 | Зарегистр. 21-04-2013 | Отправлено: 02:52 12-11-2015 | Исправлено: Alex_Green, 02:53 12-11-2015
temp9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Alex_Green
В самом начале я мог не понимать о чём ты пишешь.
А сейчас, насколько понял, ты предлагал смотреть размер файла и нарезать такой фрагмент - то есть предполагая что фрагментации нет (*).  
 
Моё же предложение немного другое - считать размер файла из имеющихся заголовков и сравнить с размером разыскиваемого. Это из разряда невероятного, но  может какой то заголовок соответствует.
 
(*) Она есть, и это видно по тому файлу, фрагмент которого накрыл 1300 кластер (начало файла дальше)

Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 17:42 12-11-2015
ICQman2GO



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
temp9285
Alex_Green

Цитата:
Моё же предложение немного другое - считать размер файла из имеющихся заголовков и сравнить с размером разыскиваемого.


Цитата:
Я предлагал просто проверить размер в заголовках найденных авишках, и это лишь предполагая что они реально найденные "потеряшки" а не имеющиеся на носителе.
3840 не при чём, речь идёт лишь о секторах (кластерах) 86912 (1300), 4281216 (66836), 8475520 (132372), 12669824 (197908). А исходя из карт кластеров, наиболее перспективен 4281216 (66836), так как в его районе сейчас не занят. Хотя и тут два варианта:
- в этом кластере не начинался нужный файл, поэтому то и нет сигнатуры
- файл там всё таки был, но уже была не одна перезапись.

Подскажи как это сделать - я начинаю плавать...

Всего записей: 243 | Зарегистр. 06-03-2008 | Отправлено: 22:15 20-11-2015
Alex_Green

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ICQman2GO

Цитата:
Подскажи как это сделать - я начинаю плавать...

 
 
Ну дык можно уже было давно попробовать сохранить например диапозон секторов 86912 - 911647 в файл, затем взять заголовок от любого другого файла снятый на этот же аппарат и приклеить его к сохранённому файлу. Затем новый файл ( с приклееным заголовком) скормить какой - нибудь видеочинилке (DivFix, Virtual Dub, Video Repair Tool) и смотреть что получится. Всё-таки наиболее вероятно, что нужный файл не был фрагментирован, поэтому и имеет смысл сохранить вышеупомянутый диапозон секторов в файл, и проделать последующие пляски с бубном. Может что то и осталось от файла. Но на одну треть он как минимум перезаписан.

Всего записей: 283 | Зарегистр. 21-04-2013 | Отправлено: 17:24 22-11-2015 | Исправлено: Alex_Green, 19:12 22-11-2015
ICQman2GO



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Alex_Green

Цитата:
 взять заголовок от любого другого файла снятый на этот же аппарат и приклеить его к сохранённому файлу

Сколько секторов откусывать у файла-образца в качестве заголовка?
 
Еще один кейс. На 4-канальный авторегистратор велась запись поездки. 1й канал- бортовая камера, 2й - салон. Запись осуществлялась фрагментами по 30Мб в формате avi на флешке 64Гб. В фрагменте, когда произошла авария первый канал пуст (синий экран), а 2й - вплоть до 2:52 - шум, потом появляется видео. Есть ли целесообразность искать потерянную часть видео?
lba_0-100

Всего записей: 243 | Зарегистр. 06-03-2008 | Отправлено: 15:57 20-12-2015
Alex_Green

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ICQman2GO
В файле lba_ 0-100 cплошные нули. Так что если это начало потерянной части видео, то восстанавливать там увы нечего. Что касается заголовка исправного файла образца, то  как правило у AVI файла это первые 19- 20 секторов. Можно также закинуть на обменник первые 100 секторов от любого рабочего файла, и тогда уже можно будет точно сказать, сколько секторов брать в качестве заголовка.  
 
Добавлено:
temp9285

Цитата:
Если из каких то данных (FAT?) можно пробить цепочку кластеров, то восстановить их. Если нет, то просто вычитать сектора по размеру файла. А затем уже заниматься имплантацией заголовков, реанимаций файлов.  

 
К сожалению при удалении файла на FAT, цепочка его кластеров в обеих фат таблицах полностью зануляется, поэтому ничего пробить уже не получится. А нужный файл, похоже действительно лежал одним фрагментом, как заметил Big Endian. Если посмотреть на этот скриншот, то видно что разница между последним и первым сектором, соответствует размеру файла в байтах (мегабайтах). Теперь видимо можно только поэкспериментировать с приклеиванием даного участка к заголовку исправного файла, снятого на этот же аппарат.

Всего записей: 283 | Зарегистр. 21-04-2013 | Отправлено: 18:52 21-12-2015 | Исправлено: Alex_Green, 20:29 21-12-2015
ICQman2GO



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Alex_Green

Цитата:
В файле lba_ 0-100 cплошные нули.

Исправил. Файл (образ флешки) был недоскачен.
lba_0-99 Это начало самой флешки.

Всего записей: 243 | Зарегистр. 06-03-2008 | Отправлено: 21:27 21-12-2015 | Исправлено: ICQman2GO, 22:01 21-12-2015
temp9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Alex_Green

Цитата:
Если посмотреть на этот скриншот, то видно что разница между последним и первым сектором, соответствует размеру файла в байтах (мегабайтах).

И это лишнее подтверждение того как могут ошибаться "идолы".
Которые базируются на теории + высасывают данные из пальца.
 
В этом можно убедиться посмотрев ранее выложенные мною образы.
В be4 присуствует трёхфрагментный файл fff. А в be5 он удалён - если посмотреть в винхексе его листинг кластеров, то он начнётся не в том секторе и будет однофрагментным.
 
ICQman2GO
После четырёх недель командировки подзабыл про эту тему, тем более что перед ней она как бы затихла.
Попробую освежить память, а пока что напомню про написанное раньше

Цитата:
речь идёт лишь о секторах (кластерах) 86912 (1300), 4281216 (66836), 8475520 (132372), 12669824 (197908). А исходя из карт кластеров, наиболее перспективен 4281216 (66836)


Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 22:11 21-12-2015
ICQman2GO



Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
temp9285

Цитата:
После четырёх недель командировки подзабыл про эту тему, тем более что перед ней она как бы затихла.
Попробую освежить память, а пока что напомню про написанное раньше
 
Цитата:
речь идёт лишь о секторах (кластерах) 86912 (1300), 4281216 (66836), 8475520 (132372), 12669824 (197908). А исходя из карт кластеров, наиболее перспективен 4281216 (66836)  

 
Я этот случай отложил пока.  
 
Сейчас более интересен свежий  

Цитата:
Еще один кейс. На 4-канальный авторегистратор велась запись поездки. 1й канал- бортовая камера, 2й - салон. Запись осуществлялась фрагментами по 30Мб в формате avi на флешке 64Гб. В фрагменте, когда произошла авария первый канал пуст (синий экран), а 2й - вплоть до 2:52 - шум, потом появляется видео. Есть ли целесообразность искать потерянную часть видео?

 
lba_0-99 флешки, на которую велась запись.
1_20151215-173212_0002p4.avi (hex)-до аварии (видео).
Файл показывает видео с 17:32:12 по 17:35:08, оба канала.
1_20151215-173628_0102p4.avi (hex)-после аварии (видео).
Файл показывает видео с 17:36:28 по 17:41:00, при этом первого канала нет, а второй появляется только на 17:39:22 (2:52 фрагмента).
Вопрос 1й - где участок (файл) с 17:35:08 по 17:36:28 ?
Вопрос 2й - где видео 1го канала с 17:36:28 и дальше ?

Всего записей: 243 | Зарегистр. 06-03-2008 | Отправлено: 22:32 21-12-2015 | Исправлено: ICQman2GO, 22:54 21-12-2015
tomset



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ICQman2GO
А что лежит в 32768 LBA и далее

Всего записей: 6906 | Зарегистр. 02-12-2002 | Отправлено: 23:02 21-12-2015
Alex_Green

Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
temp9285

Цитата:
И это лишнее подтверждение того как могут ошибаться "идолы".

 
Под "идолы" подразумеваются разработчики WinHex? Да, действительно если значение первого кластера файла таково, что для описания его в hex требуется больше чем два байта, то вследствии зануления виндой старшего слова первого кластера, значение его в WinHex будет чёрт знает какое. Однако в DMDE мы видим то же значение (1300), а она умеет восстанавливать удалённые в винде файлы корректно. И кстати неизвестно, зануляет ли мини ОС даного конкретного регистратора старшее слово первого кластера файла при его удалении. То что любая винда начиная с XP это делает, то да. А вот мой фотик например этого не делает, как и ещё пара фотиков моих хороших знакомых (специально проверял ради интереса). Так что может быть от файла что то и осталось. А вот это уже ICQman2GO должен проверить на практике, а то мы всё о теории да о теории. Непонятно вообще, что он так тянет и чего ждёт? Я когда ещё предлогал приклеить заголовок от исправного файла к участку где лежал нужный файл (предположительно одним фрагментом) и посмотреть что же будет воспроизводится. Правда там ещё есть пара нюансов (не все плэйеры будут играть такой файл), но можно сконвертировать avi в avi и тогда уже точно что то воспроизведётся даже в Windows Media Player.
 

Всего записей: 283 | Зарегистр. 21-04-2013 | Отправлено: 23:17 21-12-2015 | Исправлено: Alex_Green, 23:21 21-12-2015
tomset



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Alex_Green
 

Цитата:
То что любая винда начиная с XP это делает, то да.  

 
XP какой то у вас "левый".)
 
Более 10 лет воcстанавливаем FAT32.
Ни кто ни разу с таким не сталкивался ( удалением старшей части адреса кластера), включая разработчиков DE.

Всего записей: 6906 | Зарегистр. 02-12-2002 | Отправлено: 00:24 22-12-2015
temp9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Alex_Green

Цитата:
Под "идолы" подразумеваются разработчики WinHex?

Подозреваю что огромного количества программ, связанных с восстановлением и работой со структурами FAT. И в качестве аргумента - отображается то, что написано в хексах и исходя из того что байт не обнуляется (в толмудах то так пишут).
 

Цитата:
Однако в DMDE мы видим то же значение (1300), а она умеет восстанавливать удалённые в винде файлы корректно.

Опять же - она интерпретирует описанное выше. А что, что находит -это уже ноу-хау и не всегда сработает.
Кстати, если бы заглянут (знаешь куда), то узнал бы разности.
 
tomset

Цитата:
XP какой то у вас "левый".)

А может не у нас?
Это проверено не на одной системе, в том числе и на 7-ках.
Если того потребует истина, могу приватно предоставить (*) оригинал дистрибутива, установив с которого систему можете убедиться в реальности обсуждаемого.
(*) В целях защиты от злопыхателей-копирастов, оформим это как продажу чтобы не нарушать ЛС.

Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 00:52 22-12-2015
tomset



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
temp9285
Вот как вы думаете?
Более 15 лет, АСЯ пишет DE.
Они не сталкивались.
Я тоже ни разу не сталкивался с таким. Почти десять лет занимаюсь исключительно восстановлением данных.
Ни один из нескольких тысяч пользователей DE, ни разу не поднял эту тему на закрытом форуме.
А у вас это есть.
К чему бы это? )

Всего записей: 6906 | Зарегистр. 02-12-2002 | Отправлено: 00:59 22-12-2015 | Исправлено: tomset, 01:03 22-12-2015
temp9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
tomset
О да, это мировой заговор.
Только вот это относительно давно Alex_Green обсуждал с автором одной программы. И на тот момент я не понимал о чём они пишут.
И лишь проводя эксперимент по поводу здешнего случая (*), получилось что сложилось такое, что и стало отправной точкой к пониманию всего этого.
(*) Эксперимент проводился с целью понять что в реальности отображает винхекс, потому что понимал, что написанное залётным интригантом как бы не укладывается.
 
PS. Мля, вот меня всегда добивают "аргументы" типа "Я 100500 раз бился об стенку (пил яд) - и нормально". Но одно дело когда это пишут чайники, совсем другое - профи. Я предоставил дампы, которые позволяют банально развернуть их на флэшку и проверить на куче систем. Предложил дистриб, могу образ виртуалки. Что ещё надо? Приехать, разжевать и проглотить тем, кто по роду деятельности должен был бы сам заинтересоваться в таких казузах? Куда катится мир (проффи)?

Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 01:23 22-12-2015
tomset



BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Сейчас другие проблемы.
Хитро-попый диск c SED, который уже на уши поставил.
Мало того, что головки хрен подберешь.
Так он еще в зависимости от совместимости головок и ошибок.
То отдает данные не шифруя, то шифруя.
И попробуй целый образ собери. )
 
Будет время и FAT32 под рукой, обязательно проверю этот момент.

Всего записей: 6906 | Зарегистр. 02-12-2002 | Отправлено: 01:52 22-12-2015
temp9285

BANNED
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
tomset
Нет времени и т.п. - это понятно.
Кстати, в другой теме, речь шла о неподдержке 4к секторов ОСями.
Так вот, для шибко занятых - начиная с восьмёрки, винда нативно работает с таковыми в качестве системных. Да и DMDE c таковыми разметками знаком (что там же видно на скриншотах).
Вот мне и непонятно - нет времени, так зачем его тратить на галиматью и попытку обвинения во вранье?

Всего записей: 1369 | Зарегистр. 07-11-2015 | Отправлено: 02:01 22-12-2015
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2 3 4 5 6 7

Компьютерный форум Ru.Board » Hardware » Магнитные носители информации » Восстановление информации с Flash - накопителей

Имя:
Пароль:
Сообщение

Для вставки имени, кликните на нем.

Опции сообщенияДобавить свою подпись
Подписаться на получение ответов по e-mail
Добавить тему в личные закладки
Разрешить смайлики?
Запретить коды


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.Board
© Ru.Board 2000-2018

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru