Восстановление MFT

[kickman]

Grey_rnd, теперь скачайте свежую свободную версию DMDE с официального сайта, и покажите окно "Разделы" с проблемного диска.
Скорее всего, из опыта, у диска проблемы как раз от коробки A-DATA.
После окна "Разделы" нужно будет посмотреть расположение загрузочного сектора раздела, а в нём посмотреть расположение MFT и её зеркала. И сделать дампы (чтение секторов в файл) начала MFT и всей MFTmirr. Если это стандартный глюк работы A-DATA / USB, то скорее всего, удастся восстановить Ваш диск. Вы пишите, что и как делаете, и какие вопросы, порешаем дальше... Пока что не правьте ничего тестдиском и т.п.

[Grey_rnd]

и покажите окно "Разделы" с проблемного диска. »
После окна "Разделы" нужно будет посмотреть расположение загрузочного сектора раздела, а в нём посмотреть расположение MFT и её зеркала. »
http://i4.imageban.ru/out/2018/01/04/4c3b5cc194f13d7c56720804e585d6e9.png (http://imageban.ru)
Видим два $Volume 01 и 02..какой мне нужен? Под спойлером инфа по $Volume 01.
Криво был "разбит" hdd изначально, что ли?
И сделать дампы (чтение секторов в файл) начала MFT и всей MFTmirr. »
Каким образом ?

[mwz]

Криво был "разбит" hdd изначально, что ли? »

Когда-то он был более-менее нормально разбит единым основным разделом (причём начало раздела в 63 секторе говорит, что раздел этот создавался либо в ХР, либо в каких-то древнючих акронисовых поделках) $Volume 02, а затем переразбит на тоже один — но зачем-то дополнительный, а не основной раздел. Допустимо — но незачем.
Впрочем, даже это не могло стать причиной вашей проблемы.

[kickman]

И сделать дампы (чтение секторов в файл) начала MFT и всей MFTmirr.Каким образом ? »
DMDE - открыть этот диск, закрыть окно "Разделы", потом меню "Сервис" - "Копировать секторы", источник - наш диск, начальный сектор 16152, длиной 9 или 17 секторов, место назначения - в файл, имя не менять. Это будет наш дамп начала MFT. А потом ещё второй дамп, от сектора 307435936, длиной 8 секторов. Выложите их на файлообменник типа rghost.ru
Ещё можно выполнить "Полное сканирование" проблемного диска, тоже из окна "Разделы", но это надолго. Пока что лучше посмотреть дампы.

[Grey_rnd]

наш диск, начальный сектор 16152, длиной 9 или 17 секторов, место назначения - в файл, имя не менять. Это будет наш дамп начала MFT. А потом ещё второй дамп, от сектора 307435936, длиной 8 секторов. »
Можете объяснить почему именно эти сектора?

Выложите их на файлообменник типа rghost.ru
Вот: dump_dev1.zip (https://cloud.mail.ru/public/4pzW/8vFLi27DZ) Выдает файлы формата *.bin, а чем их просмотреть?

[kickman]

Можете объяснить почему именно эти сектора? »В загрузочном секторе указаны MFT start cluster и MFT Mirror cluster, а ещё видно, что в кластере 8 секторов, а раздел начинается в секторе 16128.
Считаем. Кластер 3 - это сектор 3*8=24, плюс начало раздела, то есть +16128, итого 16152. Точно так же с зеркалом.файлы формата *.bin, а чем их просмотреть? »Загружу в DMDE и посмотрю. Можно в любом шестнадцатеричном редакторе смотреть. Лучше в том, который понимает формат файловых записей в MFT.

P.S. Посмотрел. Данные для восстановления есть. Там сильно сдвинуто, и сдвинуто далеко. Давайте посмотрим дамп от 16128 (начало раздела), длиной 161 сектор. На всякий случай проверьте, чтобы там в нём не мелькнули пароли, паспорта и т.п.

[Grey_rnd]

Давайте посмотрим дамп от 16128 (начало раздела), длиной 161 сектор. »
dev1_lba16128_161 (https://cloud.mail.ru/public/E5co/of9UM17rz)

[kickman]

Grey_rnd, вижу, что 24 сектора пострадали в начале MFT, а потом ещё несколько после 80го. Сейчас буду чинить. Какая у Вас ОС сейчас используется для ремонта этого диска? Диск в коробке или по SATA? Как видел на картинке - в коробке USB. Возможно, там и далее тоже есть повреждённые участки. Давайте сделаем Полное сканирование в DMDE (из окна "Разделы"), лог сохраняйте периодически, чтобы не пришлось пересканировать при сбое или нужде выключить. Итоговый (когда всё просканирует) тоже сохраните, и выложите его. Он не содержит личной информации, а только сведения о целостности структур файловой системы. Пока что починю без лога. Если дальше данные не сбились, то будет работать. И жду лог, чтобы проверить.
Вернусь утром.

[Grey_rnd]

Какая у Вас ОС сейчас используется для ремонта этого диска? »
win 7 sp1 32
Как видел на картинке - в коробке USB. »
Внешний hdd, подключён по usb.
Сканирование запустил, как будут результаты отпишусь...
kickman, ..все не так хорошо, как могло бы быть, ошибка вылазит...(((

http://i1.imageban.ru/out/2018/01/05/4694717fdcbd04010bd17fc45b620a50.png (http://imageban.ru)
Было такое на 18%, при повторе все ок, на 21% пришлось игнорировать...
Итоговый (когда всё просканирует) тоже сохраните, и выложите его. »
fullscan_full.7z (https://cloud.mail.ru/public/76Jf/GxhtUJX3F)
http://i3.imageban.ru/out/2018/01/05/c92379112511f79afc264d7ff1344d83.png (http://imageban.ru)

[kickman]

Grey_rnd, win7sp1x86 - это отлично. Сканирование завершилось? Если даже нет, то просто сохраните лог текущего состояния - и выложите его.

[Grey_rnd]

Сканирование завершилось? »
Завершилось норм, выложил выше - 89 (http://forum.oszone.net/post-2789039-89.html) fullscan_full.7z

[kickman]

Grey_rnd, днём я был занят, в субботу днём тоже занят, а вечером посмотрю всё и доделаем. Вроде, всё получается нормально. После внесения исправлений нужно будет проверить диск чекдиском в режиме только чтения, что-то вроде CHKDSK G: (без параметров).

[kickman]

Grey_rnd, приготовил Вам патч для MFT - там только две важные записи, остальное должен смочь правильно исправить чекдиск.
Порядок работы:
1) скачать дамп http://rgho.st/74vzXhmPb
2) в DMDE открыть проблемный диск, закрыть окно "Разделы", зайти в меню "Сервис" - команда "Копировать секторы", источник=ФАЙЛ, выбрать скачанный дамп, место для записи=ДИСК, проблемный диск, стартовый сектор для записи=16152 (смотрите картинку http://rgho.st/8WzPcGs6f )
3) Ещё раз проверить всё в окне подтверждения. Если есть сомнения - выложите картинку, посмотрим вместе.
4) Если всё верно, то пишете дамп в сектор 16152, итого 8 секторов.
5) Выход из DMDE, безопасное извлечение диска, отключение диска по USB, снова подключение. Если предложит проверить/исправить/форматировать - ОТКАЗ!!!
6) В "Управлении дисками" или ещё как-то посмотреть букву диска (раздела), запомнить (например, G: ). Если её нет, присвоить.
7) Запустить CMD.EXE (командную строку) от имени администратора.
8) В командной строке ввести CHKDSK и запомненную букву диска с двоеточием, и нажать ENTER, например CHKDSK G:
9) Показать результат проверки, это без исправлений. Чтобы решить, всё ли верно, и разрешать ли исправлять.
10) Если не очень хорошо, то придётся мне ещё потрудиться, чтобы собрать все возможные уцелевшие записи MFT, а не только две самые важные. Тогда дамп для записи на диск будет побольше, а дальнейшие шаги аналогичны (запись дампа, переподключение диска, проверка чекдиском в режиме только чтения).

[Grey_rnd]

Показать результат проверки, это без исправлений. Чтобы решить, всё ли верно, и разрешать ли исправлять. »

http://i6.imageban.ru/out/2018/01/07/67365e46ce5703bd99345abd321d6da5.png (http://imageban.ru)
http://i6.imageban.ru/out/2018/01/07/e3be60a176a833950e89c941a76e6637.png (http://imageban.ru)
http://i1.imageban.ru/out/2018/01/07/6321ebad5de5eafc4eb8cadb1064a91d.png (http://imageban.ru)

Зайти на диск все так же не представляется возможным, пишет - " Нет доступа. Структура диска повреждена.Чтение невозможно."

[kickman]

Зайти на диск все так же не представляется возможным, пишет - " Нет доступа. Структура диска повреждена.Чтение невозможно." »Логично. До исправлений так и будет.
1. Давайте ещё сохраним текущую MFT в дампы для отката (на случай нужды в откате).
Дампы делать всё так же: Сервис - Копировать секторы, с текущего диска, в файл.
От сектора 16152, длиной 9824
От сектора 19317192, длиной 75168
Эти дампы выкладывать не нужно, просто сохраните их в надёжном месте.
Готово?

2. Теперь желательно посмотреть, что там хранится в файловых записях, на которые ругался чекдиск, их номера: 10624, 23816, 25516.
Откройте в DMDE нужный том (раздел) из окна "Разделы", нажмите ALT+F, введите номер и гляньте имя и другие параметры файла. Если файл не нужен, смотрим второй, потом третий. Если какой-то из них нужен, или там не понятно, какой файл (не видно имени), то попробуем его восстановить.

Напишите результат, и решим, что делать дальше. Например, если всё сохранили, то можно будет дать чекдиску выполнить исправления.

[Grey_rnd]

1. Давайте ещё сохраним текущую MFT в дампы для отката (на случай нужды в откате). »
Сделано.
Теперь желательно посмотреть, что там хранится в файловых записях, на которые ругался чекдиск, их номера: 10624, 23816, 25516. »

http://i1.imageban.ru/out/2018/01/07/28c35a2b7fbb48b66b794e203c373739.png (http://imageban.ru)
http://i5.imageban.ru/out/2018/01/07/034770d6ba826e25b55bf989fefe5207.png (http://imageban.ru)
http://i2.imageban.ru/out/2018/01/07/dd5b0e74061393dc09d3e90fba311169.png (http://imageban.ru)

С 25516 вообще идет все с ошибками красным до 25560.... Что за файлы непонятно...

[kickman]

Grey_rnd, давайте посмотрим дампы этих записей с ошибками - может, там сдвиг на несколько байт, и можно будет исправить. Сделайте и выложите дампы:
от 19328616, длиной 8,
от 19355000, длиной 8,
а насчёт 25516 - там и до него тоже повреждённые записи - так что отмотайте вверх до первой повреждённой, гляньте номер сектора (LBA), и дамп от этого сектора - и до последнего того сектора LBA, где повреждённая запись.

[Grey_rnd]

Сделайте и выложите дампы:
от 19328616, длиной 8,
от 19355000, длиной 8, »
dump193 (https://cloud.mail.ru/public/3QYC/R4mnQq43w)

а насчёт 25516 - там и до него тоже повреждённые записи - так что отмотайте вверх до первой повреждённой, гляньте номер сектора (LBA), и дамп от этого сектора - и до последнего того сектора LBA, где повреждённая запись. »
Сделал дамп с 19358384 по 19358486, там сплошняком красное... Все в архиве выше.

[kickman]

Grey_rnd, прошу прощения, буду занят пару часов. В 17:30 доделаем.
Там действительно есть сдвинутые записи об mp3-файлах. Если они Вам не нужны, то можно пускать чекдиск на исправление. А если нужны, то позже поправлю и выложу. Кроме повреждённых записей, видно, что часть данных из тел файлов попала в MFT. То есть, сами файлы тоже пострадали. Так что имеет смысл их восстановить/скачать заново из надёжных мест - они ведь не уникальные?

[Grey_rnd]

kickman, А можно понимать файлы из каких папок повреждены ? Много таковых ?
Если строго подходить, то уникального нет, но все данные собирались не один год...
А каким образом файлы попали в область mft ? На диске вроде бы еще гб 50 было свободно...
Исходя из характера ошибок, я так понимаю уже можно бежать за новым "винтом" ?