Восстановление утерянных данных

[Allex.k]

Цитата (goferez) »

посекторную копию нужно всего диска делать или можно только один раздел? или часть секторов?

Я бы делал всего диска. Так надежнее.

[9285]

goferez
Нельзя сказать что надежней и что проще. Я пишу исходя из основных данных, но чтобы оценить все масштабы надо детально исследовать всё - то есть что реально старая MFT вся цела и её не перезаписали новые данные (метаданные).
Но, если исходить из того что я видел в экспериментах, то MFT сохранилась целиком, тем более что это подтверждает открытие тома в режиме виртуальной реконструкции.
С большой долей вероятности новые метаданные не перезаписали старые данные, хотя и это можно проанализировать - вопрос только в том сколько на это уйдёт времени.
Посекторку надо делать того, что тебе важно и нужно.
Вот у тебя было два раздела. На первом система, а что на втором? Предположим что там какие то прописанные в системе программы. В этом случа е как бы нужно сделать посекторку и второго, но если исходить из того что в его область ничего нового не записалось, то можно просто восстановить из него только нужное и тогда посекторка второго не нужна. А может и восстанавливать а просто в восстановленной системе переустановить эти программы. То есть, всё зависит от обстоятельств.
Но первого то точно нужна.
Кстати, есть два хинта.
1. При наличии посекторки, её можно подключить с помощью программы OSF Mount как том, причем в режиме только чтения. То есть можно просмотреть обычными средствами всё ли на месте, цело ли и проверить тем же чекдиском на предмет ошибок.
2. Использовать программу VMware. В ней есть возможность подключить уже физический диск, в специальном режиме. В этом случае ты сможешь делать какте то изменения на диске, запустить чекдиск с исправлениями и т.п. но, при этом на самом диске никакие изменения не делаются в физическом плане. И если даже что то натворить не так, то после выключения виртуалки исходный диск останется в состоянии как и был.
Так что всё зависит ещё и от твоего желания "потанцевать".
Уже сегодня я уеду по делам, так что если не буду отвечать, не беспокойся. Как только смогу отвечу на возможные вопросы.
PS. Посекторка в файл делается как и дампы, что делал раньше, только сектора выставляешь в соответствии с данными на экране Разделы для нужного тома (начальный и последний).
И да, если вдруг будешь делать посекторку второго раздела, то делай её в отдельный файл.

[obit]

9285
USB флешку из FAT форматнули в NTFS (телевизором), возможно ли восстановить данные? DMDE, Rstudio и прочие сходу ничего не нашли.

[9285]

obit
Теоретически:
- файловые таблицы FAT расположены в начале тома
- NTFS-овские метаданные расположены чуть далее, хотя часть может записаться и в начало.
То есть, то, что файловая таблица (хотя бы одна) сохранилась - имеется.
Надо посмотреть где они располагались и есть ли там что то от NTFS.
Для этого надо найти бутсектор FAT-овского раздела и определить где начинается
и заканчивается первая и вторая таблица. Потом открыть том NTFS, далее карту кластеров и понять записано ли что то в секторах расположения FAT.
Если даже что то накрыло в обеих, то возможно получится из двух собрать одну.
Естественно, всё вышенаписанное актуально для случая что был только формат - то есть не было каких то записей-стираний.

Но, есть один вариант того, что телик делает полный формат. Если это так, то тогда данным махаем ручкой. Чтобы убедиться в таком, надо посмотреть что сейчас записано в незанятых секторах. Если нули, то значит подтверждается полный формат.

[obit]

Цитата (9285) »

надо посмотреть что сейчас записано в незанятых секторах

Как это сделать?

[9285]

Открываешь том NTFS.
В меню Окна выбираешь Карта кластеров (Ctrl+M).
После построения карты выбираешь любой свободный кластер (обозначен точкой) и щелкаешь по нему дважды мышкой - откроется первый сектор кластера.

Добавлено через 2 минуты

И на этой же карте кластеров посмотри начало тома - есть ли там отличающиеся от точки символы (это занятые данными кластера).
В нижней части окна будет написано название файла, записанного в выделенный кластер (область кластеров).

Добавлено через 4 минуты

Что касается программ, то в них надо выбрать поиск только по FAT и сигнатурам (RAW). Если были стандартные данные, у которых есть сигнатура, то даже без файловых таблиц что то должно найтись - по крайней мере первый фрагмент.

Добавлено через 8 минут

Опять же, если хочется убедиться в том что делает телик, можно:
- сделать посекторку фэшки
- можно форматнуть в FAT и посмотреть данные размещения файловых таблиц (это если сейчас нет старого бутсектора)
- если не форматнуть, или после формата, прописать всю поляну каким либо шаблоном
- форматнуть в NTFS на телике и посмотреть остались ли шаблонные записи

[obit]

Цитата (9285) »

Открываешь том NTFS.
В меню Окна выбираешь Карта кластеров (Ctrl+M).
После построения карты выбираешь любой свободный кластер (обозначен точкой) и щелкаешь по нему дважды мышкой - откроется первый сектор кластера.

Добавлено через 2 минуты

И на этой же карте кластеров посмотри начало тома - есть ли там отличающиеся от точки символы (это занятые данными кластера).
В нижней части окна будет написано название файла, записанного в выделенный кластер (область кластеров)

Получается как-то так:
https://thumbsnap.com/HR8fxBjr

[9285]

Цитата (obit) »

Получается как-то так:

У меня не открывается.
Приатачь здесь (в расширенном режиме).

[obit]

Цитата (9285) »

У меня не открывается.
Приатачь здесь (в расширенном режиме).

А если через ВПН?))

Приаттачить можно только 341.8 Кб, так не получится.

Продублировал сюда:
https://workupload.com/file/Lbhg9ycwxgv

[9285]

obit
VPN у меня есть в виртуалке, но неохота её заводить.
В общем то, видно что:
- в секторах, незанятых метаданными, не нули. в таком случае должно что то находиться, но если не было чего то специфичного (например использовалась программа шифрования данных).
- метаданные всё таки накрыли начало тома. Но здесь надо всё таки определиться какое количество секторов перезаписано.
надо посмотреть загрузочный сектор фатовского раздела (покажи скриншот экрана Разделы из DMDE*). Расчитать где начинается первая копия, вторая и где заканчивается вторая. Исходя из этих данных смотреть до куда записались метаданные тома.
В дальнейшем можно занулить метаданные NTFS чтобы они не сбивали с толку программы восстановления. Но не стоит торопиться это делать, потому как они записываются по разному. Одни полностью перезаписывают занимаемое место - например $LogFile, $Bitmap, а некоторые записывают только заголовок но не переписывают сектора далее - сейчас я точно не скажу какие именно, но позжее посмотрю.
Если нет фатовского бутсектора, то можно примерно вычислить по обьёму флэшки (если считать что использовался типичный размер кластера).
* В 4-ой версии сильно поменялся интерфейс и я ещё не до конца понял как с ним работать, поэтому проще сделать это в версии 3.хх

PS. Метаданные NTFS перезаписывают занимаемые ими сектора. Кроме одного фалового потока $Secure:$SDS, у которого в начале что то записано а далее старые данные.

[insight81]

Здравствуйте. Помогите, пожалуйста, восстановить диск Toshiba 1 Tb. На диске пропали файлы после использования в телевизоре. 1) Сделал в dmde скриншот (2022-10-09--083410) и дамп первых 100 секторов (dev3_lba0_100_1). Далее в dmde удалил раздел Toshiba EXT. Текущая картина в dmde на втором скриншоте 2022-10-09--090851, дамп первых 100 секторов прилагаю (dev3_lba0_100_2). Что делать теперь?
P.S. Родной раздел, видимо, Toshiba EXT: если нажать Открыть том, на нем видна прежняя структура файлов, часть файлов восстанавливается, но не все.

[9285]

insight81
Судя по скриншотам. телевизор форматнул раздел в fat32.
Соответственно. если он сформировал две фаловые таблицы, то перезаписалось начало тома. А в нём могли располагаться или данные полностью, или их часть, или часть mft. Надеюсь что ограничилось только этим.
Сейчас вважно понять сколько секторов перезаписалось - для этого надо посмотреть скриншот экрана Разделы с выделенным томом FAT32. Нужно посмотреть что там в бутсекторе.
Ещё, что можешь сделать - проверить целостность всех записей MFT. Для этого открой том NTFS и сделай виртуальную реконструкцию. Будут ли сообщения об отсутствии записей. Если будут, то какие (номера записей) отсутствуют.
И ещё сделай дамп сектора 6293504 и 30ти последующих. Посмотрим по ранлисту где располагается mft.

Добавлено через 48 минут

Цитата (insight81) »

часть файлов восстанавливается, но не все.

И ещё хотелось бы подробности по вот этому моменту.

[9285]

Пока нет данных бутсектора, решил провести эксперимент с томом такого же размера. Так как винда не форматирует в FAT32 тома такого раздела, производил это при помощи AOMEI partition Assistant. По умолчанию делается кластер размером 64кб (максимальный размер). При таком размере кластера одна FAT занимает примерно 120 тысяч секторов; соответственно две занимают примерно 120 мегабайт.
Если размер кластера меньше, то размер таблиц увеличивается кратно.
Так что, всё зависит от того, какой размер кластера делает форматер телевизора.
Ну и конечно же результат зависит от того что было в этих секторах. Одно дело если несколько больших файлов, а если там куча мелких (фрагментов)* или тот же фрагмент MFT? возможно что там были и индексы каких то папок.
* Вот такое полезно знать тем, кто считает что дефрагментация не нужна.

[goferez]

Цитата (9285) »

goferez
И да, если вдруг будешь делать посекторку второго раздела, то делай её в отдельный файл.

Приветствую, прошу прощения за задержку. Только сейчас смог найти диск для бэкапа и добраться до ноута.

Сделал копию всего диска на другой диск (не в файл) - это нормально? Или лучше каждый раздел в отдельный файл?

Готов к инструкциям что дальше делать. Надеюсь еще есть возможность помочь.

[insight81]

Здравствуйте! Спасибо за внимание к моей проблеме!
Выкладываю:
1) скриншот экрана Разделы с выделенным томом FAT32
2) при открытии тома NTFS нажимаю на элементе дерева TOSHIBA EXT, выбираю пункт меню Построить виртуальную ФС. Предлагается на выбор два варианта: Чистая реконструкция и Полное сканирование. Выбираю Чистая реконструкция, на несколько секунд появляется сообщение "Построение виртуальной ФС" и далее оно пропадает. Каких то сообщений (всплывающих окон) об отсутствии записей нет. После построения виртуальной ФС появляется дополнительная папка $R00062 и еще значки папок выглядят по другому. Прилагаю скриншоты до и после построения виртуальной ФС.
3) дамп прилагаю
4) когда открываю том NTFS, вижу файловую структуру, похожую на ту, которая была до сбоя. Пробую восстановить файлы вручную. Некоторые dmde восстанавливает без повреждений, некоторые - с повреждениями (не читаются).

[9285]

goferez
Как будет время, проведу эксперимент чтобы дать окончательный ответ по поводу что надо будет делать. Надеюсь что сегодня это произойдёт.
А пока тебе один вопросик. Пользовался ли когда нибудь виртуальными машинами? Интересует Vmware, так как она позволяет проводить лечение фаловой системы без повреждений - по сути можно делать что угодно, при выключении машины всё возращается назад. А когда всё станет понятным, можно уже и делать исправления в реальности.

Добавлено через 7 минут

insight81
Как видно, телевизор создаёт FAT бОльшего размера чем винда; непонятно зачем если кластеров то одинаково.
В итоге получаем что перезаписано 32+238410+238410+8=476860 секторов
Делим это число на 8 и получаем 59607,5 - это число перезаписанных кластеров NTFS. Вот в этих пределах надо проанализировать карту кластеров. Как с ней работать написано в сообщениях раньше.
По сути, то, что записанов этих кластерах и будет повреждено.
MFT однофрагментная и раз при виртуальной реконструкции не было сообщений об ошибке каких то её записей - она цела.
Ну а что касается смены картинки (разного содержимого) то опишу позднее, так как сейчас убегаю по своим делам.
Ну а ты пока займись анализом потерь.

[insight81]

Здравствуйте.
Есть установленная машина Oracle VM VirtualBox с операционками ubuntu и Win8.1. Если не подходит, могу установить Vmware. Вопрос - какую операционку в ней накатить?
Из тех файлов, что видны в виртуальной ФС, большая часть восстановилась без потерь. Определил файлы, которые dmde восстановил с ошибками (это фото и видео, они не открываются в плеерах). Были ли на диске какие-то файлы, которые dmde вообще не увидел, пока не могу определить.
Про карту кластеров поищу выше.

[9285]

insight81
Не знаю, можно ли в виртуалбоксе делать откат изменений на диске.
Лучше всего поставить в виртуалке винду семёрку.

[goferez]

Цитата (9285) »

goferez
Как будет время, проведу эксперимент чтобы дать окончательный ответ по поводу что надо будет делать. Надеюсь что сегодня это произойдёт.
А пока тебе один вопросик. Пользовался ли когда нибудь виртуальными машинами? Интересует Vmware, так как она позволяет проводить лечение фаловой системы без повреждений - по сути можно делать что угодно, при выключении машины всё возращается назад. А когда всё станет понятным, можно уже и делать исправления в реальности.

никогда не пользовался. Если это не супер сложно могу попробовать

[9285]

goferez
Все элементарно, тем более что я покажу что и как делать.