Форум 3DNews
Вернуться   Форум 3DNews > Железо > Носители информации

Ответ Создать новую тему
Опции темы Опции просмотра
Непрочитано 04.09.2019, 12:56   [включить плавающее окно]   #1601
msq
Мужской Новенький
 
Регистрация: 04.09.2019
Адрес: РБ
Цитата (9285) »
msq
А где картинки? А заодно и дамп секторов 6291519+7 и 6293504+100.
Остальное чуть позжее напишу.
Все файлы - в архиве https://dropmefiles.com/02R7Q т.к. дамп не проходил по ограничениям.
Миниатюры
Нажмите на изображение для увеличения
Название: Disk.png
Просмотров: 51
Размер:	57.6 Кб
ID:	55602   Нажмите на изображение для увеличения
Название: DMDE.png
Просмотров: 54
Размер:	54.7 Кб
ID:	55603   Нажмите на изображение для увеличения
Название: DMDE-VirtualFS-01.png
Просмотров: 49
Размер:	27.2 Кб
ID:	55604   Нажмите на изображение для увеличения
Название: DMDE-VirtualFS-02.png
Просмотров: 52
Размер:	28.0 Кб
ID:	55605   Нажмите на изображение для увеличения
Название: DMDE-VirtualFS-03.png
Просмотров: 47
Размер:	66.1 Кб
ID:	55606  


Последний раз редактировалось msq; 04.09.2019 в 12:58.
msq вне форума  
Ответить с цитированием
Непрочитано 04.09.2019, 12:57   [включить плавающее окно]   #1602
msq
Мужской Новенький
 
Регистрация: 04.09.2019
Адрес: РБ
Цитата (9285) »
msq
А где картинки? А заодно и дамп секторов 6291519+7 и 6293504+100.
Остальное чуть позжее напишу.
Ещё 3 картинки.
Сектора - https://dropmefiles.com/mCJFO
Миниатюры
Нажмите на изображение для увеличения
Название: testdisk-01.png
Просмотров: 44
Размер:	21.4 Кб
ID:	55607   Нажмите на изображение для увеличения
Название: testdisk-02.png
Просмотров: 42
Размер:	17.4 Кб
ID:	55608   Нажмите на изображение для увеличения
Название: testdisk-03.png
Просмотров: 45
Размер:	29.0 Кб
ID:	55609  

Последний раз редактировалось msq; 04.09.2019 в 13:07.
msq вне форума  
Ответить с цитированием
Непрочитано 04.09.2019, 13:02   [включить плавающее окно]   #1603
Allex.k
Мужской Опытный
 
Регистрация: 29.07.2008
Адрес: Киев
Цитата (msq) »
Информацию переписать некуда, поэтому идеальный вариант - исправление ошибок и восстановление доступа к разделу на этом же диске.
Вот этого делать категорически не стоит.

Первое, что нужно - это найти, куда копировать данные, чтобы ничего не писать на пострадавший диск.
Allex.k вне форума  
Ответить с цитированием
Непрочитано 04.09.2019, 17:58   [включить плавающее окно]   #1604
9285
Мужской Опытный
 
Регистрация: 08.02.2019
msq
Собственно, картина маслом.
Что на новый, что старый раздел был форматирован виндой и размещение MFT в пределах тома идентично.По сути, если бы был просто переформат старого раздела, то перезаписалось бы 256 записей (столько новых формирует винда начиная с висты) и этим бы и ограничилось.
НО, у тебя новый том смещён и если бы не описанное далее, то были бы те же потери, но только в других записях. Здесь же сдвиг сделал потери бОльшими, потому как перед MFT записывается битовая карта MFT. Впрочем. это всего 1 кластер=8секторов=4 записи.
А вот битовая карта тома поболее, и её размещение не обязательно ещё чуть раньше (как и логфайла ФС), но в твоём случае именно перед они и записались.
Собственно, на скриншоте прекрасно видно что и чем перезаписалось.

Если рассмотреть дотошно, то можно заметить что в пределах перезаписанного "выжило" 8 записей. Но и это обьясняется достаточно просто.
записи 0-3 восстановились из зеркала, а ещё 4 записи за счёт неиспользованных сектороы в конце файла $Bitmap.
Миниатюры
Нажмите на изображение для увеличения
Название: rewrite.png
Просмотров: 50
Размер:	14.2 Кб
ID:	55610  
9285 вне форума  
Ответить с цитированием
Непрочитано 04.09.2019, 23:43   [включить плавающее окно]   #1605
msq
Мужской Новенький
 
Регистрация: 04.09.2019
Адрес: РБ
Цитата (9285) »
msq
Я правильно понимаю, что заставить FS работать на первом разделе невозможно даже ценой потери информации о некоторых файлах?
И testdisk с его DeepScan не поможет?

Остаётся
1) запустить Virtual FS DMDE, сохранить найденные по оставшейся таблице файлы,
2) запустить R-Studio, сохранить найденные сканированием по сигнатурам файлы,
3) объединить 1) и 2) и отформатировать HDD-источник?
msq вне форума  
Ответить с цитированием
Непрочитано 05.09.2019, 08:24   [включить плавающее окно]   #1606
9285
Мужской Опытный
 
Регистрация: 08.02.2019
msq
Если в общих чертах - то именно так.
Но только потери будут не некоторых файлов а поболее.
Возможно что какие то альтернативные драйвера (линуксовые?) Ntfs работают как то по другому, но виндовые пишут новые данные в свободную запись с наименьшим номером. Это означает что начальные записи (которые перезаписаны) практически всегда заняты, поэтому потери будут серьёзные.
К тому же, том с данными. Если бы он был с виндой, то в первых тысячах (в основном) были бы файлы и папки самой винды и потеря таковых была бы не критична для пользовательских, размещённых далее.

Цитата
И testdisk с его DeepScan не поможет?
DeepScan может помочь в случае проблем с разделами - их удалении, сбое при изменении размеров, или даже форматировании но разными средствами, когда старая MFT может выжить в полном обьёме. Но в данном случае уже и так видно что нет 1200 записей - откуда им взяться?
Кстати, тут ещё подлянка в том, что перезапись была именно этими файлами.
В структуре тома есть ещё несколько метафайлов, которые как бы занимают мегабайт 10, но по сути перезаписывают лишь только начальные сектора этой "поляны" и есть шанс что записи "по ними" выживут. НО битовая карта и журнал ФС - файлы ,в которых не может содержаться мусор, поэтому они перезаписывают своё месторасположение полностью.

Что касается действий, то хотелось бы на всякий случай уточнить.
0) Лично я бы проанализировал куда записались данные новой ФС чтобы понимать что ещё перезаписалось. Затем бы заполнил ту же битовую карту и журнал ФС каким то специфичным шаблоном. Это для того, чтобы потом, в уже восстановленных файлах поискать этот шаблон - по сути понять что испортилось этими перезаписями. Обязательно бы занулил новые записи mFT, потому как при определённых условиях они могут внести путаницу в структуру реконструированных данных.
1) Да, запустить виртуальную реконструкцию и по её результату восстанавливать данные не только из root, но и из папок с именами типа $Fxxx, потому как в таковых несомненно будет какая то часть данных.
Чтобы не сильно ковыряться в подобных папках, можно воспользоваться поиском по шаблонам и именам и в результатах увидеть в каких есть нужные данные.
2) Да, поиск по сигнатурам тут несомненно нужен. По крайней мере если понятно что на первом этапе не всё восстановлено. В DMDE тоже есть таковой режим восстановления (RAW), но в данном режиме восстановления он может и уступать иному ПО, особенно в части числи поддерживаемых форматов и нет возможности предпросмотра. Но в данном режиме восстановления нет явных лидеров - каждая программа может лучше восстановить тот или иной тип файлов. Поэтому можно пробовать разные - пока не будет восстановлено всё что можно или не надоест переберить результаты такового поиска.
3) Ну хотя бы из спортивного интереса, запустить чекдиск и дать ему отрихтовать остатки записей.
После чего посмотреть что выживет в оригинальных папках и что ещё будет в папке Found.000

Последний раз редактировалось 9285; 05.09.2019 в 08:46.
9285 вне форума  
Ответить с цитированием
Непрочитано 05.09.2019, 10:30   [включить плавающее окно]   #1607
9285
Мужской Опытный
 
Регистрация: 08.02.2019
И ещё один момент, который немного пропустил.
Насколько понимаю, ты удалил созданный новый том и вставил два прежних.
Здесь надо понимать что вставка без какого то анализа может привести к печальным последствиям. Да, второй том находится очень далеко от начала вновь созданного тома, тем не менее, нельзя исключать шанс того что и в его области делалась перезапись. Но на первом то перезапись была точно, и я уже выше написал что 4 записи система восстановила из зеркала. И тут есть опасность того. что может сработать автоматическая проверка файловой системы при перезагрузке - это если системы старее 8-ки. В случае 8-ки (10ки) чекдиск и без запросов может "полечить" файловую систему. И при таком раскладе, том мог бы восстановиться (пустышкой или с частью данных) и после этого на него уже могли бы производится новые записи, которые могут добивать остатки старых. Поэтому, в таких случаях необходимо исключить любую работу винды с томами.
Если второй раздел не нужен. то сделать всему диску MBRoff - после восстановления MBRon. Если второй нужен для тех же восстанавливаемых файлов - изменить тип ФС в таблице разделов на тот, с которым винда не работает - тот же 82 или 83. И да, второй том проверь на наличие ошибок - запуская в режиме только чтения.
9285 вне форума  
Ответить с цитированием
Непрочитано 05.09.2019, 12:52   [включить плавающее окно]   #1608
msq
Мужской Новенький
 
Регистрация: 04.09.2019
Адрес: РБ
Цитата (9285) »
Детально и доступно! Спасибо!
Если начальные сектора диска так важны и уникальны, полагаю, нормальным средством от детей может быть создание первым пустого тома, например, на 1 ГБ, а дальше - 1 или несколько разделов
Была мысль прогнать CheckDisk-ом, но непонятно, как исправить запись в таблице, чтобы Windows понимала первый том как NTFS, а не RAW. Наверно, там какая-то простая проверка по смещениям, по результатам которой система "забивает" и помечает том с ошибками как RAW. можно это как-то обойти (после восстановления файлов сторонним ПО)? Или Checkdisk умеет исправлять ошибки в таблицах? (не запускал со времён Window XP )

Последний раз редактировалось msq; 05.09.2019 в 12:56.
msq вне форума  
Ответить с цитированием
Непрочитано 05.09.2019, 13:10   [включить плавающее окно]   #1609
9285
Мужской Опытный
 
Регистрация: 08.02.2019
Проверки чекдиском делать после окончания восстановления данных.
Назначить букву тома и запустить проверку - по логике должно сработать.
Если буква не назначится, то можно запустить по идентификатору тома.

И, настоятельно рекомендую, занулить вклинившиеся записи новой MFT.
9285 вне форума  
Ответить с цитированием
Непрочитано 11.09.2019, 10:05   [включить плавающее окно]   #1610
msq
Мужской Новенький
 
Регистрация: 04.09.2019
Адрес: РБ
Цитата (9285) »
Проверки чекдиском делать после окончания восстановления данных.
Назначить букву тома и запустить проверку - по логике должно сработать.
Если буква не назначится, то можно запустить по идентификатору тома.

И, настоятельно рекомендую, занулить вклинившиеся записи новой MFT.
Добрый день!
Ещё раз спасибо за советы и пояснения!
1) файлы на 2-м разделе - целые,
2) товарищ принёс внешний диск - скопировал и 1-й раздел,
3) через VirtualFS на первом разделе нашлось 43 каталога вида $F000хх - всё удалось скопировать, файлы рабочие,
4) остался только вопрос с каталогами, помеченными красным "крестиком", все файлы из которых - нерабочие. Я правильно понимаю, что это - обычные нормально удалённые из ОС каталоги, место файлов из которых перезаписано новыми данными?
msq вне форума  
Ответить с цитированием
Непрочитано 11.09.2019, 20:41   [включить плавающее окно]   #1611
9285
Мужской Опытный
 
Регистрация: 08.02.2019
Цитата (msq) »
остался только вопрос с каталогами, помеченными красным "крестиком",
Я не припомню такого значка, поэтому не знаю что ответить.
Лучше всего показать как всё выглядит.
9285 вне форума  
Ответить с цитированием
Непрочитано 11.09.2019, 20:57   [включить плавающее окно]   #1612
msq
Мужской Новенький
 
Регистрация: 04.09.2019
Адрес: РБ
Цитата (9285) »
Я не припомню такого значка, поэтому не знаю что ответить.
Лучше всего показать как всё выглядит.
Не заскриншотил
Выглядит как на приложенном образце (это - другой диск; "подопытный" возвращён товарищу).
Файлы восстанавливались, но не открывались.
Миниатюры
Нажмите на изображение для увеличения
Название: Example.png
Просмотров: 42
Размер:	56.5 Кб
ID:	55671  

Последний раз редактировалось msq; 11.09.2019 в 21:02.
msq вне форума  
Ответить с цитированием
Непрочитано 11.09.2019, 21:19   [включить плавающее окно]   #1613
9285
Мужской Опытный
 
Регистрация: 08.02.2019
msq
В программе очень хорошая справка и в ней описано что означают те или иные значки.
Скриншот прояснил ситуацию. В данном случае речь идёт об удалённых (пустых) папках. И ещё - используется старая версия, и есть подозрение что ломанная.
Если что, как раз ломанная этой версии, восстанавливает "битые" файлы, при том что нормальная версия восстанавливает нормальные.
Если после формата не было каких то записей на диск, то потери конечно будут, но всё зависит от того куда попали новые записи. В описанном тобой - основные потери от перезаписи записей MFT, что в основном выглядит как отсутствие файлов. Хотя, если пропавшие записи относятся к тем, что принадлежали к сильно фрагментированным файлам, то файл тоже будет "битым". Если нужно знать точно. надо смотреть дампы записей и т.п.
9285 вне форума  
Ответить с цитированием
Непрочитано 12.09.2019, 10:17   [включить плавающее окно]   #1614
9285
Мужской Опытный
 
Регистрация: 08.02.2019
Цитата (msq) »
Если начальные сектора диска так важны и уникальны, полагаю, нормальным средством от детей может быть создание первым пустого тома, например, на 1 ГБ, а дальше - 1 или несколько разделов
Как то пропустил этот момент.
Сдвиг от начала может и защитит в такой ситуации (*), но не факт что перезапишется что то другое. А если бы ещё и винда установилась, то тогда вообще кранты.
(*) По большому счёту, он может защитить лишь от действий, уничтожающих самое начало диска - например ошибочно запущено зануление диска и вовремя остановили. Или при записи образа диска (размером меньше выделяемого отступа) вместо флэшки выбрали внешний диск - хотя и в этом случае не факт что программа не "размажет" образ по всему диску пропорционально. Или как та же микрософтовская утиль для создания инсталлятора 10-ки - судя по случаям с форумов, перезаписывает 32 гига.
Так что, актуально то, что если есть что то важное, то оно должно иметь бэкап.
9285 вне форума  
Ответить с цитированием
Непрочитано 18.09.2019, 10:17   [включить плавающее окно]   #1615
DrMaxSter
Мужской Новенький
 
Регистрация: 18.09.2019
Доброго времени суток!
Ребёнок выдернул внешний жёсткий диск во время копирования документов, как результат звуковое определение подключение устройства и всё. В моём компьютере не появляется, в управлении дисками только как не размеченная область. Может можно что-то сделать?
Миниатюры
Нажмите на изображение для увеличения
Название: 1.png
Просмотров: 33
Размер:	76.4 Кб
ID:	55749  
DrMaxSter вне форума  
Ответить с цитированием
Непрочитано 18.09.2019, 15:44   [включить плавающее окно]   #1616
9285
Мужской Опытный
 
Регистрация: 08.02.2019
DrMaxSter
Если диск выдергивался в рабочем состояни, то нельзя исключать и физические ошибки типа появления сбойных секторов. Поэтом обязательно смотреть состояние SMART и в случае каких то тормозов, посторонних звуков, ошибок вычитывания при восстановлении данных (в дальнейшем) - сразу прекращать работу.
Ситуация почти ясная, но есть кое какие непонятности.
Диск подключён родном боксе или через что то другое?
9285 вне форума  
Ответить с цитированием
Непрочитано 18.09.2019, 15:58   [включить плавающее окно]   #1617
DrMaxSter
Мужской Новенький
 
Регистрация: 18.09.2019
Цитата (9285) »
DrMaxSter
Если диск выдергивался в рабочем состояни, то нельзя исключать и физические ошибки типа появления сбойных секторов. Поэтом обязательно смотреть состояние SMART и в случае каких то тормозов, посторонних звуков, ошибок вычитывания при восстановлении данных (в дальнейшем) - сразу прекращать работу.
Ситуация почти ясная, но есть кое какие непонятности.
Диск подключён родном боксе или через что то другое?
Диск в родном боксе. Смарт не могу посмотреть, не видят проги его.
Дайте уже инфу какую, буду мучать его - инфа нужна была ещё вчера, которая там)

Последний раз редактировалось DrMaxSter; 18.09.2019 в 19:11.
DrMaxSter вне форума  
Ответить с цитированием
Непрочитано 18.09.2019, 23:09   [включить плавающее окно]   #1618
9285
Мужской Опытный
 
Регистрация: 08.02.2019
DrMaxSter
Такое впечатление что e у диска HPA или его что то ограничивает по обьёму.
В общем то видно что диск размечался под ХР и при размере "сектора" 4096 байт.
Сейчас же бокс транслирует 512байтные сектора, но их должно быть больше.
Винда к которой ты подключаешь - ХР? И можно ли взглянуть на диспетчер дисков винды?
Если диск не гарантийный можно было бы его разобрать и подключить без бокса. чтобы исключить его глюки, но контроллер вроде бы шифрующий на лету, поэтому подобное надо делать очень аккуратно, чтобы ничего не повредить в секторах диска (ни в коем случае не инициализировать и т.п.
Ну и ещё можно попробовать при открытии диска в DNMDE, в параметрах выбрать размер сектора 4096.
9285 вне форума  
Ответить с цитированием
Непрочитано 19.09.2019, 04:35   [включить плавающее окно]   #1619
DrMaxSter
Мужской Новенький
 
Регистрация: 18.09.2019
Цитата (9285) »
DrMaxSter
Такое впечатление что e у диска HPA или его что то ограничивает по обьёму.
В общем то видно что диск размечался под ХР и при размере "сектора" 4096 байт.
Сейчас же бокс транслирует 512байтные сектора, но их должно быть больше.
Винда к которой ты подключаешь - ХР? И можно ли взглянуть на диспетчер дисков винды?
Если диск не гарантийный можно было бы его разобрать и подключить без бокса. чтобы исключить его глюки, но контроллер вроде бы шифрующий на лету, поэтому подобное надо делать очень аккуратно, чтобы ничего не повредить в секторах диска (ни в коем случае не инициализировать и т.п.
Ну и ещё можно попробовать при открытии диска в DNMDE, в параметрах выбрать размер сектора 4096.
Диск покупался давным давно) Винда 10. Скрин прикрепляю
Миниатюры
Нажмите на изображение для увеличения
Название: 2.png
Просмотров: 29
Размер:	64.5 Кб
ID:	55758  
DrMaxSter вне форума  
Ответить с цитированием
Непрочитано 19.09.2019, 07:08   [включить плавающее окно]   #1620
9285
Мужской Опытный
 
Регистрация: 08.02.2019
Да уж..
Вполне естественна, версия обрезки емкости диска (или проблем с контроллером).
Но червоточит мысль о том, что значение обьёма достаточно характерное - при подключении к ХР не поддерживающей такие диски, или если размечать диск в ХР (но при 512 байтном секторе) то или остаётся такой остаток + основной раздел на 2тб или доступен только такой для создания тома - но в таких случаях сам диск вроде бы как 2,746. Хотя в любом контроллеере возможны специфичные "обрезания".
В принципе, если нужные тебе данные располагались в пределе этих 746 гигов - восстанавливай их через DMDE и обязательно проверяй.
А так - надо разбираться с диском.
PS. Естественно, если нет желания влазить в неведомое (вскрывать диск и не сбить возможное шифрование, снимать HPA в случае его наличия), то обратись к хорошему спецу в реале.
PPS. 10 как бывает такие вещи творит что диву даёшься. Поэтому не лишним было бы исключить и её воздействие - проверитиь диск на нормальной системе.
9285 вне форума  
Ответить с цитированием
Ответ Создать новую тему

Метки
hdd, восстановление, данные, диск d, жесткий диск, потеря данных

Опции темы
Опции просмотра

Ваши права в разделе
Вы не можете создавать новые темы
Вы не можете отвечать в темах
Вы не можете прикреплять вложения
Вы не можете редактировать свои сообщения

BB коды Вкл.
Смайлы Вкл.
[IMG] код Вкл.
HTML код Выкл.

Быстрый переход


Текущее время: 03:44. Часовой пояс GMT +3.


Powered by vBulletin® Version 3.8.4
Copyright ©2000 - 2019, Jelsoft Enterprises Ltd. Перевод: zCarot
Copyright © 2000-2017 3DNews. All Rights Reserved.
Администрация 3DNews требует соблюдения на форуме правил и законов РФ
Серверы размещены в Hostkey