Antech
Silver Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Altus
Цитата:| Делать образ, надо было например гхостом. Он и занимать будет меньше, и разворачиваться на любой хард с объёмом не меньше количества данных в образе. |
Это не образ, а так, "для домохозяек". В data recovery такими "образами" не пользуются даже простые любители типа меня. Максимум, что можно себе позволить - это сжатый образ (типа dd+gzip), но как Вы с ним будете рекаверилками работать? Можно сделать сжатый посекторный в R-Studio, но такой образ только R-Studio и поймет, насколько я знаю. А несжатый большинство "нормальных" рекаверилок понимают.
IceFly
Цитата:| Какой программой можно(если можно вообще) и как отрезать кусочек образа |
WinHex, выделить нужную часть образа (Alt+1, Alt+2) и записать в новый файл Shift+Ctrl+N.
Цитата:| Как развернуть образ на другой диск |
WinHex - Clone Disk. Указываете неполный размер (количество секторов) или неполный размер + на столько же отступаете от начала источника (начальный сектор на источнике). Прога сделает как скажете.
Приемник выбирайте Physical drive, но не перепутайте (на нем все сотрется на размер образа).
Цитата:| Это будет аналогично функции поисков и восстановление файлов по заголовкам? |
Что будет аналогично? Работа с посекторным образом эквивалентна работе с оригиналом (минус бэды, если они были на оригинале, но они все равно не читаются).
Цитата:| С помощью каких программ вообще? |
RecoverMyFiles, PhotoRec (Free), R-Studio, GetDataBack.
Цитата:| А какое расширение этого образа |
Любое, какое зададите, хоть вообще без расширения. Я предпочитаю *.img.
9285
Цитата:| в случае satisfactioner-а я не знаю что там успело измениться |
Там плохое партмагоидное смещение. Насколько я помню, это прерванное изменение размера раздела в Акронисе (Акронис является партмагоидом). Часть раздела перемещена, оставшаяся часть осталась несмещенной.
Background насчет индексов. Индексы в NTFS - это списки (структуры, начинающиеся с magic number INDX). Они используются для разных целей, но их основное приминение - каталоги. Т.е. каталоги в NTFS - это списки из атрибутов 30 (FILE_NAME) файлов и подкаталогов (именно поэтому в атрибуте FILE_NAME хранится не только имя файла).
Что делает DMDE при поиске NTFS? Она находит фрагменты MFT и INDX'ы каталогов. Далее. В каталоге (INDX'е) каждый элемент (подкаталог или файл) имеет номер родтельской файловой записи в MFT. Естественно, для корректной ФС все эти номера внутри одного каталоги одинаковые. В то же время, в файловых записях не слишком мелких каталогов есть атрибут A0 (INDEX_ALLOCATION). Он описывает расположение каталога на девайсе. Номер начального кластера дается относительно начала раздела... Here is the point. Если у Вас есть начальная позиция некоего INDX'а и parent MFT record его элементов, то Вы смотрите в файловую запись с соответствующим номером и находите там атрибут A0, в нем - смещение в кластерах (умножаете на размер кластера), вычитаете из начального сектора INDX'а и вуаля - имеете начальный сектор раздела без таблицы и без бутсектора. Такой финт помогает определить настоящее начало раздела и в том случае, когда ФС указывает по каким-то причинам не туда, где на самом деле находятся файлы, а с некоторым смещением, что имеет место при партмагоидном.
Как это выглядит в кейсе satisfactioner. DMDE определяет начало раздела по описанному выше алгоритму, но оно и так оказывается в том месте, где бутсектор и куда указывает таблица. При этом файлы восстанавливаются неверно. Т.е. часть раздела, где находится содержимое нужных файлов, смещена, а вот INDX'ы остались как есть. Поэтому определить партмагоидное смещение по-простому не получилось. Leo, конечно, прав, и восстановить наверняка можно, но вот кто будет забесплатно этим гимором заниматься, да еще и дистанционно, я не знаю. Тут уже нужно в рамках работы это делать, т.к. по-быстрому не представляется возможным, а у меня на данный момент работа с DR не связана, я вообще-то энергетик.
Что касается PT, то на таком уровне она может вообще не рассматриваться как не имеющая значения... Ведь никто не будет делать такой кейс in-place, а начало раздела определяется совсем по-другому. Например, я в своем MediaWorkshop (он Free) просто указываю начальный сектор NTFS раздела, и он работает независимо от PT.
Цитата:| если говорить о предшествующей первому разделу зоне, то она составляет 63 сектора и они (ИМХО) некритичны |
Они не нужны, но не всегда 63. Стандартные номера начальных секторов разделов:
WinXP и большинство старого PT-софта, первый Pri раздел: 63.
Первый Ext раздел (Ext область) без предшествующего Pri: 16065.
Первый Logical раздел (внутри Ext области) без Pri: 16128 (AMBR+63).
Win Vista/7, первый Pri раздел: 2048.
Цитата:| речь идёт о surplace секторах |
Сорри что придираюсь, но surplus, а не surplace.
Цитата:| В случае, если будет производится не посекторная копия (а по умолчанию вроде бы как не посекторно) толк от использоваия такого образа в целях восстановления стремиться к нулю. |
Вот именно. А если посекторная, то и Ghost не нужен - удобнее WinHex, да и образ уже есть.
satisfactioner
Цитата:
Ну вот и все...
Цитата:| я не прочь заморочиться и углубиться в тему |
Определение партмагоидного смещения doc.zip
Что касается программы, то можно использовать определенный финт ушами в MediaWorkshop (он бесплатно копирует все каталоги/файлы, а DMDE Free только по одному файлу). Но все равно нужно предварительно узнать величину смещения.
aababa
Перед патчеванием MBR можно вообще никаких копий не делать. Но лучше иметь дамп сектора 0, это всего 512 байт... |
