Форум 3DNews
Вернуться   Форум 3DNews > Железо > Носители информации > Восстановление информации

Ответ Создать новую тему
Опции темы Опции просмотра
Непрочитано 19.09.2022, 18:11   [включить плавающее окно]   #1721
Allex.k
Мужской Опытный
 
Регистрация: 29.07.2008
Адрес: Киев
Цитата (goferez) »
посекторную копию нужно всего диска делать или можно только один раздел? или часть секторов?
Я бы делал всего диска. Так надежнее.
Allex.k вне форума  
Ответить с цитированием
Непрочитано 20.09.2022, 01:01   [включить плавающее окно]   #1722
9285
Мужской Умудрённый
 
Аватар для 9285
 
Регистрация: 08.02.2019
goferez
Нельзя сказать что надежней и что проще. Я пишу исходя из основных данных, но чтобы оценить все масштабы надо детально исследовать всё - то есть что реально старая MFT вся цела и её не перезаписали новые данные (метаданные).
Но, если исходить из того что я видел в экспериментах, то MFT сохранилась целиком, тем более что это подтверждает открытие тома в режиме виртуальной реконструкции.
С большой долей вероятности новые метаданные не перезаписали старые данные, хотя и это можно проанализировать - вопрос только в том сколько на это уйдёт времени.
Посекторку надо делать того, что тебе важно и нужно.
Вот у тебя было два раздела. На первом система, а что на втором? Предположим что там какие то прописанные в системе программы. В этом случа е как бы нужно сделать посекторку и второго, но если исходить из того что в его область ничего нового не записалось, то можно просто восстановить из него только нужное и тогда посекторка второго не нужна. А может и восстанавливать а просто в восстановленной системе переустановить эти программы. То есть, всё зависит от обстоятельств.
Но первого то точно нужна.
Кстати, есть два хинта.
1. При наличии посекторки, её можно подключить с помощью программы OSF Mount как том, причем в режиме только чтения. То есть можно просмотреть обычными средствами всё ли на месте, цело ли и проверить тем же чекдиском на предмет ошибок.
2. Использовать программу VMware. В ней есть возможность подключить уже физический диск, в специальном режиме. В этом случае ты сможешь делать какте то изменения на диске, запустить чекдиск с исправлениями и т.п. но, при этом на самом диске никакие изменения не делаются в физическом плане. И если даже что то натворить не так, то после выключения виртуалки исходный диск останется в состоянии как и был.
Так что всё зависит ещё и от твоего желания "потанцевать".
Уже сегодня я уеду по делам, так что если не буду отвечать, не беспокойся. Как только смогу отвечу на возможные вопросы.
PS. Посекторка в файл делается как и дампы, что делал раньше, только сектора выставляешь в соответствии с данными на экране Разделы для нужного тома (начальный и последний).
И да, если вдруг будешь делать посекторку второго раздела, то делай её в отдельный файл.
9285 вне форума  
Ответить с цитированием
Непрочитано 03.10.2022, 17:19   [включить плавающее окно]   #1723
obit
Мужской Новенький
 
Регистрация: 03.10.2022
9285
USB флешку из FAT форматнули в NTFS (телевизором), возможно ли восстановить данные? DMDE, Rstudio и прочие сходу ничего не нашли.
obit вне форума  
Ответить с цитированием
Непрочитано 03.10.2022, 18:13   [включить плавающее окно]   #1724
9285
Мужской Умудрённый
 
Аватар для 9285
 
Регистрация: 08.02.2019
obit
Теоретически:
- файловые таблицы FAT расположены в начале тома
- NTFS-овские метаданные расположены чуть далее, хотя часть может записаться и в начало.
То есть, то, что файловая таблица (хотя бы одна) сохранилась - имеется.
Надо посмотреть где они располагались и есть ли там что то от NTFS.
Для этого надо найти бутсектор FAT-овского раздела и определить где начинается
и заканчивается первая и вторая таблица. Потом открыть том NTFS, далее карту кластеров и понять записано ли что то в секторах расположения FAT.
Если даже что то накрыло в обеих, то возможно получится из двух собрать одну.
Естественно, всё вышенаписанное актуально для случая что был только формат - то есть не было каких то записей-стираний.

Но, есть один вариант того, что телик делает полный формат. Если это так, то тогда данным махаем ручкой. Чтобы убедиться в таком, надо посмотреть что сейчас записано в незанятых секторах. Если нули, то значит подтверждается полный формат.
9285 вне форума  
Ответить с цитированием
Непрочитано 03.10.2022, 18:23   [включить плавающее окно]   #1725
obit
Мужской Новенький
 
Регистрация: 03.10.2022
Цитата (9285) »
надо посмотреть что сейчас записано в незанятых секторах
Как это сделать?
obit вне форума  
Ответить с цитированием
Непрочитано 03.10.2022, 18:38   [включить плавающее окно]   #1726
9285
Мужской Умудрённый
 
Аватар для 9285
 
Регистрация: 08.02.2019
Открываешь том NTFS.
В меню Окна выбираешь Карта кластеров (Ctrl+M).
После построения карты выбираешь любой свободный кластер (обозначен точкой) и щелкаешь по нему дважды мышкой - откроется первый сектор кластера.

Добавлено через 2 минуты

И на этой же карте кластеров посмотри начало тома - есть ли там отличающиеся от точки символы (это занятые данными кластера).
В нижней части окна будет написано название файла, записанного в выделенный кластер (область кластеров).

Добавлено через 4 минуты

Что касается программ, то в них надо выбрать поиск только по FAT и сигнатурам (RAW). Если были стандартные данные, у которых есть сигнатура, то даже без файловых таблиц что то должно найтись - по крайней мере первый фрагмент.

Добавлено через 8 минут

Опять же, если хочется убедиться в том что делает телик, можно:
- сделать посекторку фэшки
- можно форматнуть в FAT и посмотреть данные размещения файловых таблиц (это если сейчас нет старого бутсектора)
- если не форматнуть, или после формата, прописать всю поляну каким либо шаблоном
- форматнуть в NTFS на телике и посмотреть остались ли шаблонные записи
9285 вне форума  
Ответить с цитированием
Непрочитано 04.10.2022, 10:31   [включить плавающее окно]   #1727
obit
Мужской Новенький
 
Регистрация: 03.10.2022
Цитата (9285) »
Открываешь том NTFS.
В меню Окна выбираешь Карта кластеров (Ctrl+M).
После построения карты выбираешь любой свободный кластер (обозначен точкой) и щелкаешь по нему дважды мышкой - откроется первый сектор кластера.

Добавлено через 2 минуты

И на этой же карте кластеров посмотри начало тома - есть ли там отличающиеся от точки символы (это занятые данными кластера).
В нижней части окна будет написано название файла, записанного в выделенный кластер (область кластеров)
Получается как-то так:
https://thumbsnap.com/HR8fxBjr
obit вне форума  
Ответить с цитированием
Непрочитано 04.10.2022, 11:12   [включить плавающее окно]   #1728
9285
Мужской Умудрённый
 
Аватар для 9285
 
Регистрация: 08.02.2019
Цитата (obit) »
Получается как-то так:
У меня не открывается.
Приатачь здесь (в расширенном режиме).
9285 вне форума  
Ответить с цитированием
Непрочитано 04.10.2022, 11:19   [включить плавающее окно]   #1729
obit
Мужской Новенький
 
Регистрация: 03.10.2022
Цитата (9285) »
У меня не открывается.
Приатачь здесь (в расширенном режиме).
А если через ВПН?))

Приаттачить можно только 341.8 Кб, так не получится.

Продублировал сюда:
https://workupload.com/file/Lbhg9ycwxgv
obit вне форума  
Ответить с цитированием
Непрочитано 04.10.2022, 11:34   [включить плавающее окно]   #1730
9285
Мужской Умудрённый
 
Аватар для 9285
 
Регистрация: 08.02.2019
obit
VPN у меня есть в виртуалке, но неохота её заводить.
В общем то, видно что:
- в секторах, незанятых метаданными, не нули. в таком случае должно что то находиться, но если не было чего то специфичного (например использовалась программа шифрования данных).
- метаданные всё таки накрыли начало тома. Но здесь надо всё таки определиться какое количество секторов перезаписано.
надо посмотреть загрузочный сектор фатовского раздела (покажи скриншот экрана Разделы из DMDE*). Расчитать где начинается первая копия, вторая и где заканчивается вторая. Исходя из этих данных смотреть до куда записались метаданные тома.
В дальнейшем можно занулить метаданные NTFS чтобы они не сбивали с толку программы восстановления. Но не стоит торопиться это делать, потому как они записываются по разному. Одни полностью перезаписывают занимаемое место - например $LogFile, $Bitmap, а некоторые записывают только заголовок но не переписывают сектора далее - сейчас я точно не скажу какие именно, но позжее посмотрю.
Если нет фатовского бутсектора, то можно примерно вычислить по обьёму флэшки (если считать что использовался типичный размер кластера).
* В 4-ой версии сильно поменялся интерфейс и я ещё не до конца понял как с ним работать, поэтому проще сделать это в версии 3.хх

PS. Метаданные NTFS перезаписывают занимаемые ими сектора. Кроме одного фалового потока $Secure:$SDS, у которого в начале что то записано а далее старые данные.

Последний раз редактировалось 9285; 04.10.2022 в 13:38. Причина: добавил PS
9285 вне форума  
Ответить с цитированием
Непрочитано 10.10.2022, 12:42   [включить плавающее окно]   #1731
insight81
Мужской Новенький
 
Регистрация: 10.10.2022
Восстановление таблицы разделов внешнего диска Toshiba

Здравствуйте. Помогите, пожалуйста, восстановить диск Toshiba 1 Tb. На диске пропали файлы после использования в телевизоре. 1) Сделал в dmde скриншот (2022-10-09--083410) и дамп первых 100 секторов (dev3_lba0_100_1). Далее в dmde удалил раздел Toshiba EXT. Текущая картина в dmde на втором скриншоте 2022-10-09--090851, дамп первых 100 секторов прилагаю (dev3_lba0_100_2). Что делать теперь?
P.S. Родной раздел, видимо, Toshiba EXT: если нажать Открыть том, на нем видна прежняя структура файлов, часть файлов восстанавливается, но не все.
Миниатюры
Нажмите на изображение для увеличения
Название: 2022-10-09--083410.png
Просмотров: 19
Размер:	38.4 Кб
ID:	61054   Нажмите на изображение для увеличения
Название: 2022-10-09--090851.png
Просмотров: 16
Размер:	60.2 Кб
ID:	61055  
Вложения
Тип файла: zip dev3_lba0_100_1.zip (440 байт, 19 просмотров)
Тип файла: zip dev3_lba0_100_2.zip (441 байт, 10 просмотров)
insight81 вне форума  
Ответить с цитированием
Непрочитано 10.10.2022, 19:27   [включить плавающее окно]   #1732
9285
Мужской Умудрённый
 
Аватар для 9285
 
Регистрация: 08.02.2019
insight81
Судя по скриншотам. телевизор форматнул раздел в fat32.
Соответственно. если он сформировал две фаловые таблицы, то перезаписалось начало тома. А в нём могли располагаться или данные полностью, или их часть, или часть mft. Надеюсь что ограничилось только этим.
Сейчас вважно понять сколько секторов перезаписалось - для этого надо посмотреть скриншот экрана Разделы с выделенным томом FAT32. Нужно посмотреть что там в бутсекторе.
Ещё, что можешь сделать - проверить целостность всех записей MFT. Для этого открой том NTFS и сделай виртуальную реконструкцию. Будут ли сообщения об отсутствии записей. Если будут, то какие (номера записей) отсутствуют.
И ещё сделай дамп сектора 6293504 и 30ти последующих. Посмотрим по ранлисту где располагается mft.

Добавлено через 48 минут

Цитата (insight81) »
часть файлов восстанавливается, но не все.
И ещё хотелось бы подробности по вот этому моменту.
9285 вне форума  
Ответить с цитированием
Непрочитано 11.10.2022, 01:42   [включить плавающее окно]   #1733
9285
Мужской Умудрённый
 
Аватар для 9285
 
Регистрация: 08.02.2019
Пока нет данных бутсектора, решил провести эксперимент с томом такого же размера. Так как винда не форматирует в FAT32 тома такого раздела, производил это при помощи AOMEI partition Assistant. По умолчанию делается кластер размером 64кб (максимальный размер). При таком размере кластера одна FAT занимает примерно 120 тысяч секторов; соответственно две занимают примерно 120 мегабайт.
Если размер кластера меньше, то размер таблиц увеличивается кратно.
Так что, всё зависит от того, какой размер кластера делает форматер телевизора.
Ну и конечно же результат зависит от того что было в этих секторах. Одно дело если несколько больших файлов, а если там куча мелких (фрагментов)* или тот же фрагмент MFT? возможно что там были и индексы каких то папок.
* Вот такое полезно знать тем, кто считает что дефрагментация не нужна.
9285 вне форума  
Ответить с цитированием
Непрочитано 12.10.2022, 13:35   [включить плавающее окно]   #1734
goferez
Мужской Новенький
 
Регистрация: 05.09.2022
Цитата (9285) »
goferez
И да, если вдруг будешь делать посекторку второго раздела, то делай её в отдельный файл.
Приветствую, прошу прощения за задержку. Только сейчас смог найти диск для бэкапа и добраться до ноута.

Сделал копию всего диска на другой диск (не в файл) - это нормально? Или лучше каждый раздел в отдельный файл?

Готов к инструкциям что дальше делать. Надеюсь еще есть возможность помочь.
goferez вне форума  
Ответить с цитированием
Непрочитано 13.10.2022, 00:19   [включить плавающее окно]   #1735
insight81
Мужской Новенький
 
Регистрация: 10.10.2022
Здравствуйте! Спасибо за внимание к моей проблеме!
Выкладываю:
1) скриншот экрана Разделы с выделенным томом FAT32
2) при открытии тома NTFS нажимаю на элементе дерева TOSHIBA EXT, выбираю пункт меню Построить виртуальную ФС. Предлагается на выбор два варианта: Чистая реконструкция и Полное сканирование. Выбираю Чистая реконструкция, на несколько секунд появляется сообщение "Построение виртуальной ФС" и далее оно пропадает. Каких то сообщений (всплывающих окон) об отсутствии записей нет. После построения виртуальной ФС появляется дополнительная папка $R00062 и еще значки папок выглядят по другому. Прилагаю скриншоты до и после построения виртуальной ФС.
3) дамп прилагаю
4) когда открываю том NTFS, вижу файловую структуру, похожую на ту, которая была до сбоя. Пробую восстановить файлы вручную. Некоторые dmde восстанавливает без повреждений, некоторые - с повреждениями (не читаются).
Миниатюры
Нажмите на изображение для увеличения
Название: 2022-10-12--234235.png
Просмотров: 11
Размер:	62.7 Кб
ID:	61064   Нажмите на изображение для увеличения
Название: 2022-10-12--235719.png
Просмотров: 12
Размер:	45.7 Кб
ID:	61066   Нажмите на изображение для увеличения
Название: 2022-10-12--235725.png
Просмотров: 12
Размер:	13.8 Кб
ID:	61067   Нажмите на изображение для увеличения
Название: 2022-10-12--235738.png
Просмотров: 10
Размер:	49.3 Кб
ID:	61068  
Вложения
Тип файла: zip dev3_lba6293504_30.zip (1.8 Кб, 8 просмотров)
insight81 вне форума  
Ответить с цитированием
Непрочитано 13.10.2022, 11:46   [включить плавающее окно]   #1736
9285
Мужской Умудрённый
 
Аватар для 9285
 
Регистрация: 08.02.2019
goferez
Как будет время, проведу эксперимент чтобы дать окончательный ответ по поводу что надо будет делать. Надеюсь что сегодня это произойдёт.
А пока тебе один вопросик. Пользовался ли когда нибудь виртуальными машинами? Интересует Vmware, так как она позволяет проводить лечение фаловой системы без повреждений - по сути можно делать что угодно, при выключении машины всё возращается назад. А когда всё станет понятным, можно уже и делать исправления в реальности.

Добавлено через 7 минут

insight81
Как видно, телевизор создаёт FAT бОльшего размера чем винда; непонятно зачем если кластеров то одинаково.
В итоге получаем что перезаписано 32+238410+238410+8=476860 секторов
Делим это число на 8 и получаем 59607,5 - это число перезаписанных кластеров NTFS. Вот в этих пределах надо проанализировать карту кластеров. Как с ней работать написано в сообщениях раньше.
По сути, то, что записанов этих кластерах и будет повреждено.
MFT однофрагментная и раз при виртуальной реконструкции не было сообщений об ошибке каких то её записей - она цела.
Ну а что касается смены картинки (разного содержимого) то опишу позднее, так как сейчас убегаю по своим делам.
Ну а ты пока займись анализом потерь.
9285 вне форума  
Ответить с цитированием
Непрочитано 14.10.2022, 01:00   [включить плавающее окно]   #1737
insight81
Мужской Новенький
 
Регистрация: 10.10.2022
Здравствуйте.
Есть установленная машина Oracle VM VirtualBox с операционками ubuntu и Win8.1. Если не подходит, могу установить Vmware. Вопрос - какую операционку в ней накатить?
Из тех файлов, что видны в виртуальной ФС, большая часть восстановилась без потерь. Определил файлы, которые dmde восстановил с ошибками (это фото и видео, они не открываются в плеерах). Были ли на диске какие-то файлы, которые dmde вообще не увидел, пока не могу определить.
Про карту кластеров поищу выше.
insight81 вне форума  
Ответить с цитированием
Непрочитано 14.10.2022, 06:42   [включить плавающее окно]   #1738
9285
Мужской Умудрённый
 
Аватар для 9285
 
Регистрация: 08.02.2019
insight81
Не знаю, можно ли в виртуалбоксе делать откат изменений на диске.
Лучше всего поставить в виртуалке винду семёрку.
9285 вне форума  
Ответить с цитированием
Непрочитано 14.10.2022, 13:15   [включить плавающее окно]   #1739
goferez
Мужской Новенький
 
Регистрация: 05.09.2022
Цитата (9285) »
goferez
Как будет время, проведу эксперимент чтобы дать окончательный ответ по поводу что надо будет делать. Надеюсь что сегодня это произойдёт.
А пока тебе один вопросик. Пользовался ли когда нибудь виртуальными машинами? Интересует Vmware, так как она позволяет проводить лечение фаловой системы без повреждений - по сути можно делать что угодно, при выключении машины всё возращается назад. А когда всё станет понятным, можно уже и делать исправления в реальности.
никогда не пользовался. Если это не супер сложно могу попробовать
goferez вне форума  
Ответить с цитированием
Непрочитано 14.10.2022, 19:21   [включить плавающее окно]   #1740
9285
Мужской Умудрённый
 
Аватар для 9285
 
Регистрация: 08.02.2019
goferez
Все элементарно, тем более что я покажу что и как делать.
9285 вне форума  
Ответить с цитированием
Ответ Создать новую тему

Метки
hdd, восстановление, данные, диск d, жесткий диск, потеря данных

Опции темы
Опции просмотра

Ваши права в разделе
Вы не можете создавать новые темы
Вы не можете отвечать в темах
Вы не можете прикреплять вложения
Вы не можете редактировать свои сообщения

BB коды Вкл.
Смайлы Вкл.
[IMG] код Вкл.
HTML код Выкл.

Быстрый переход


Текущее время: 15:48. Часовой пояс GMT +3.


Powered by vBulletin® Version 3.8.4
Copyright ©2000 - 2022, Jelsoft Enterprises Ltd. Перевод: zCarot
Copyright © 2000-2017 3DNews. All Rights Reserved.
Администрация 3DNews требует соблюдения на форуме правил и законов РФ
Серверы размещены в Hostkey