Antech
Silver Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Bychkoff
(Лучше выкладывать на zalil.ru или подобный сервис, чтобы было всем доступно.)
Спасибо. Посмотрел дамп сектора. Да, это MFT Mirror. На первый взгляд, запись в порядке. Самое интересное тут - ранлист MFT. Он гнездится в атрибуте 0x80 DATA, в данном случае по смещению 40h от начала атрибута (сам атрибут DATA начинается по смещению F8h от начала сектора). Вот этот ранлист: 13 D0 D6 00 04. MFT не была фрагментирована (следующий экстент начинается нулевым байтом - конец цепочки экстентов, посмотреть на это можно в дампе сектора). Из приведенного экстента очевидно, что его размер 00D6D0 кластеров (это и есть размер MFT, ~28 МБ), а смещение - 4 кластера от начала раздела, как и указано в бутсекторе раздела (здесь это не важно, но смещения следующих экстентов, если бы они были, давались бы уже не от начала раздела, а от предыдущего экстента).
Итак, что мы имеем? Бутсектор раздела у нас есть и он в порядке. Также есть MFT Mirror - четыре первые записи MFT, вроде бы они сохранились. Кроме того, авторекаверилки восстанавливают файлы, значит и основной кусок MFT остался цел. Чего нам не хватает? Нам не хватает начала MFT в 4 кластере. Так как мы точно знаем, что MFT должна начинаться в секторе 95, нужно просто скопировать 8 секторов, начиная с первого сектора MFT Mirror (дамп которого Вы мне замылили) в начало основной MFT, т. е. начиная с сектора 95 (5Fh) от начала диска (или сектор 20h от начала раздела). Если Вы перед этим уже скопировали 64 сектор в 63, то после копирования MFT Mirror можно перезагружаться и смотреть результат (если запустится Чекдиск, отмените его!). Лучше будет забэкапить 8 секторов от начала MFT перед копированием туда MFT Mirror.
Да, и не забудьте поправить таблицу разделов, если это еще не сделано. Первый раздел должен начинаться в секторе 63, иначе у Вас опять будет это смещение.
Остается нерешенный вопрос: а что в начале основной MFT? Сколько записей затерто? Чтобы ответить на него, надо просто поискать в дисковом редакторе строку MFT в кодировке Unicode (WinHex => Ctrl+F + Unicode) в начале диска (начать можно с нулевого сектора). Можно также искать строку FILE, но не в юникоде! Если не трудно, выложите дамп первых 1000 секторов винта.
Добавлено:
parovoZZ
Как пользоваться ТестДиском должно быть написано в его инструкци. Я им не пользуюсь, потому что меня интересует ручное восстановление. Кроме анализатора, в ТестДиске есть и "восстанавливалка", я тут где-то уже писал, что он может и чего не может исправить. Честно гворя, расписывать как пользоваться автопрограммами нет никакого желания. Я предпочитаю советы "как сделать это дисковым редактором".
kservice
Хорошо, что сделали тесты. Правда, я что-то не вкурю, как такое возможно. Лог HDDScan'а Вы привели не полный, но это ладно. На карте видно, что полно бэдов. И явно винт уже в них обращался, даже если СМАРТ снимался до сканирования. Однако, в САМРТе мы видим девственную чистоту. Это СМАРТ от другого винта? Так или иначе, количество бэдов колоссальное. Чтобы спасти то, что осталось, скопируйте винт посекторно на новый. Можно сделать в WinHex => Clone Disk. Потом эту копию просканируйте в R-Studio. Если повезет - что-нибудь восстановится.
За ручное восстановление FAT - респект. |
Всего записей: 3120 | Зарегистр. 26-12-2006 | Отправлено: 09:16 28-12-2007 | Исправлено: Antech, 09:28 28-12-2007 |
|
. R-Studio проста в использовании: выберите проблемный винт (физический) в дереве, нажмите кнопочку Scan в тулбаре и сканируйте с параметрами по-умолчанию. Это хотя бы ничего не записывает на пострадавший винт... 
как его можно восстановить?