Форум 3DNews
Вернуться   Форум 3DNews > Железо > Носители информации

Ответ Создать новую тему
Опции темы Опции просмотра
Непрочитано 09.10.2019, 22:47   [включить плавающее окно]   #1641
Flintpit
Мужской Новенький
 
Регистрация: 28.09.2019
Question

Цитата (9285) »
Flintpit
Но самое главное - проанализировать ситуацию. Если ты нашёл какой то однозначный (*) файл, то сравнить его физическое расположение и расположение по записям в MFT.
Физическое начало (номер сектора применительно к открытому логическому диску) указано в имени файла следом за буквой f, и он же фигурирует в ID.
Затем, делишь это число на значение размера кластера в секторах и получаеь адрес начального кластера. Псоле этого находишь запись этого файла в MFT и смотришь какой у него начальный кластер.
Сравниваешь значения.
Как то так.
И ещё, если какие то из восстанавливаемых давно удалённых имеют имя отличающееся от 1,2,3 и т.п. - том можно в резульатах полного сканирования попробовать найти это имя - по сути определить есть ли его запись, причём не только в реальной MFT а в каких то фантомах. Если найдётся - посмотреть какой там начальный кластер.
Как то так.
Опишите, пожалуйста, поподробнее и со скриншотами, как по однозначному файлу найти остальные, чтобы не лопатить глазами 33000 файлов из папки RAW.
Спасибо
Flintpit вне форума  
Ответить с цитированием
Непрочитано 10.10.2019, 18:54   [включить плавающее окно]   #1642
9285
Мужской Опытный
 
Регистрация: 08.02.2019
Написанное про оригинальные файлы используется для того, чтобы понять возможную причину проблемы.
И если она будет найдена (*) - лишь тогда это может помочь восстановить остальные файлы.

Что касается перелопачивания файлов, то в случае фоток, имеющих EXIF можно воспользоваться утилитой imagesorter https://www.acelab.ru/dep.pc/information.php , которая рассортирует файлы по папкам на основе данных о камере и дате сьёмки. Зная даты сьёмок, можно уже поискать есть ли в MFT записи подобных файлов.

Ну и ещё, для общего понимания того, почему считаю ситуацию невероятной.
Далее просто пример с гипотетическими цифрами.
На диске имеется файл с характерной сигнатурой (те же фотки), размером 2 мегабайта и начинается он в кластере 100500. Ты удалил его.
1. Если его запись его не перезаписана чем то другим - файл восстанавливается в полном обьёме.
2. Если запись перезаписалась, но при этом само занимаемое файлом место не перезаписано - файл восстановится сигнатурно в части первого фрагмента (если он не фраментирован, то полноценно).
3. Если запись не перезаписана, но в месте где записан файл успело записаться что то новое, то файл восстановится со свои именем и размеором, но он будет битым в той или иной степени - зависит от обьёма перезаписанного и места презаписи.
Вот в этой ситуации, если начало вновь записанного файла находится в том же кластере и его размер в пределах прежнего, то под старым именем восстановится вновь записанный - но не какой то ранее записанный.

А по твоим словам получается что восстанавливается записанное до. Теоретически, это можно обьяснить тем, что после удаления более старого файла, производилась дефрагментация (в том числе и MFT). В этом случае на диске могут остаться артефакты старых записей MFT, в которых прописано расположение этого файла, но на его месте записан удалённый недавно.
Но при таком раскладе, артефактные записи могут найтись лишь при полном сканировании а не при простой виртуальной реконструкции, потому как они находятся вне зоны актуальной MFT. Да и сма то веришь в то, что так удачно много файлов попало точно в начало прежних?

(*) Просто гипотетическая ситуация - на нескольких контрольных файлах определяется что данные ранлиста не соответствуют их реальному расположению. При этом выясняется что причиной этого является неправильный байт ХХ; причём он может быть одинаковым и изменён на одинаковом смещении.

PS. Подробней и со скриншотами можно описывать очень долго и не факт что всё охватится. Поэтому могу написать по конкретным данным - которых от тебя пока почти что и нет.

Последний раз редактировалось 9285; 10.10.2019 в 18:57.
9285 вне форума  
Ответить с цитированием
Непрочитано 08.11.2019, 17:59   [включить плавающее окно]   #1643
Altaf
Мужской Новенький
 
Регистрация: 30.04.2007
Адрес: Татарстан
9285
Приветствую.
Я чуток опоздал, не сразу нашел. С проблемой...

Друг хороший передал ST 31000524AS, 1 Т.б. Говорит при очередном запуске компа он не загрузился. Информация в диске хоть и материальной ценности не имеет, но хотел бы достать. У него уже кто-то "смотрел" и сказал, что диск сгорел.
Мы в деревне вылезать получается редко. Никто этот диск никуда отдавать не будет, хотелось попробовать помощь другу.

Попробовал в системнике с ХР, диск определился, однако, загрузиться компу не давал, зависал после начала запуска Винды - ХР моего диска. Контакты чистил. Потом разок запустил - подключив в горячую. Увидел оба раздела. Обращался по вопросам восстановления, требовали показать Смарт. Уговорили, мол восстанавливать инфу хотите, а рисковать снять Смарт, показать нет.
И вот попытка не удалось, теперь уже при попытке защелкал, правда не много ... потом уже определился как ST - ML3FQBL. DMDE показал 1 раздел исходящим 4,14 Гиг, доступный 8,46 и выбранный 8,46.

Не уверен, но это вроде не конец, что-то можно сделать. Вот и хотел у Вас спросить что можно сделать и как?
И все равно, если можно первично вытащить что либо.

Спасибо.
Цитата
Могу лишь сказать что не стоит его включать пока не будет ясно что надо делать. Чуть раньше можно было глянуть SMART, а ещё раньше желательно было сделать MBRoff.
Спасибо.

Последний раз редактировалось Altaf; 09.11.2019 в 06:45.
Altaf вне форума  
Ответить с цитированием
Непрочитано 08.11.2019, 20:17   [включить плавающее окно]   #1644
9285
Мужской Опытный
 
Регистрация: 08.02.2019
Altaf
Я видел твой случай в другом месте. И там тебе igor_me дал волне толковые советы. Но тогда он ещё определялся нормально - сейчас у него (насколько понимаю) всё уже более серьёзно; наверное повреждение служебки.
Увы, я "специализируюсь" по логическому восстановлению, если даже и не логическому, то в случае несерьёзных физических повреждений.
Могу лишь сказать что не стоит его включать пока не будет ясно что надо делать. Чуть раньше можно было глянуть SMART, а ещё раньше желательно было сделать MBRoff.
9285 вне форума  
Ответить с цитированием
Ответ Создать новую тему

Метки
hdd, восстановление, данные, диск d, жесткий диск, потеря данных

Опции темы
Опции просмотра

Ваши права в разделе
Вы не можете создавать новые темы
Вы не можете отвечать в темах
Вы не можете прикреплять вложения
Вы не можете редактировать свои сообщения

BB коды Вкл.
Смайлы Вкл.
[IMG] код Вкл.
HTML код Выкл.

Быстрый переход


Текущее время: 02:38. Часовой пояс GMT +3.


Powered by vBulletin® Version 3.8.4
Copyright ©2000 - 2019, Jelsoft Enterprises Ltd. Перевод: zCarot
Copyright © 2000-2017 3DNews. All Rights Reserved.
Администрация 3DNews требует соблюдения на форуме правил и законов РФ
Серверы размещены в Hostkey