Восстановление MFT

[Bikchast]

Помогите пожалуйста разобраться!
Диск Seagate ST3500630A ATA
Данные DMDE

[Tau_0]

Помогите пожалуйста разобраться! »
С чем разобраться --- ничего не понял…
Вижу только, что просканировано 27% от терабайтника, и при этом что-то подозрительное на разделы найдено.

Какая такая беда у Вас приключилась --- каким было первоначальное разбиение.

Сформулируйте --- что Вы конкретно хотите восстановить…???....

[Bikchast]

chkdsk говорит невозможно определить версию тома и его состояние

хотелось бы данные восстановить

[Tau_0]

хотелось бы данные восстановить »
Запустите менеджер дисков Windows (выполнить ==> diskmgmt.msc), и покажите картинку…

[Bikchast]

Файловая система RAW

[Tau_0]

Файловая система RAW »
Как и чем, и на какие примерно разделы был разбит диск 1…???....
Вы какими-либо нештатными менеджерами дисков (Partition Magic, Acronis, etc..) не пользовались…???...

Не просто так разделы слетели… Поэтому для начала проверьте физическое состояние харда --- утилиты Victoria for DOS и/или MHDD Вам руки. SMART и SCAN покажите. Можно пока просто SMART преставить.

[Bikchast]

На диске был только один раздел. Форматировался стандартно из под винды.

[eco]

Или механика или поверхность данного ЖД убита, просканируйте его той же викторией.

[Bikchast]

Bad секторов нет

Данные DMDE.
C 0-100 сектора
MFT Start Claster 786432
MFT Mirror Claster 27493568

[Tau_0]

Данные DMDE. »
Физических ошибок не видно… Но что-то напакостило…

1. В DMDE скопируйте 100 первых секторов LBA в дипазоне [0..99] проблемного харда в файл и выложите на обменник.

2.a Если разбивали в Windows XP сдампируйте 1000 секторов (диапазон [63..1062]). Выложите образ (файл) на обменник

2.b Если форматировали в Seven сдампируйте 1000 секторов (диапазон [2048..3047]). Выложите образ на обменник

3. Найдите на варёзке ещё один дисковый редактор WinHex. В настоящее время доступна версия 16.1, но можно и более низкую версию использовать. Очень этот редактор хорош, как дополнение к DMDE будет.

4. В DMDE доведите поиск NTFS разделов до конца. Я понимаю, что это долго, но сделать надо. Результаты поиска можно сохранять и продолжать затем с контрольной точки. Картинку и файл выложите на обменник. Можно сделать позже…

5. Обязательно посетите руборд, и очень внимательно проанализируйте то, что делает Antech сотоварищи --- сурьёзные там робяты… Не получится здесь --- обращайтесь к ним --- решат...
Товарищи, это уже третий !
Ну что, кто ставит на то, что в бутсекторах тоже размер неправильный ?
…
Все нормально, так и должно быть . Будете третим на данный момент с этим вопросом. А всего таких кейсов решено уже было... довольно много.

См. пост Antech Отправлено: 18:53 28-07-2011. Ну и выше ниже там посмотрите…
Восстановление разделов и информации на HDD (часть 5)
http://forum.ru-board.com/topic.cgi?forum=84&topic=3808#1

ЗЫ Можно попробоватить утилиту testdisk, но это опасно --- можно навредить… Пока повременим.

ЗЗЫ Побольше катинок делайте…

ЗЗЗЫ Пока писал --- ВЫ кое-что прислали --- пока это буду смотреть...

[Bikchast]

Tau_0, Посмотри пожалуйста лог сканирования Ntfs

Tau_0, Дисковый редактор WinHex16.0Rus есть под рукой

Tau_0, Пока все перекидываю на другой HDD 500 Gb через DMDE посекторно

Tau_0, testdiskом я уже поигрался попробовал восстановить данные. Данные восстанавливаются. Но не в том виде как хотелось бы.

[Tau_0]

Но не в том виде как хотелось бы »
Ну, --- тогда --- поехали...

Бегло посмотрел:
1. MBR/MBS --- Bad --- в секторе 0 мусор. Видать в testdisk кнопкафф понажимали…???...

2 В секторе 63 лежит загрузчик Windows XP
Сверьте с
An Examination of the
NTFS Volume Boot Record
Of Microsoft® Windows™ 2000
(NT5.0) and Windows™ XP (NT5.1)
http://thestarman.pcministry.com/asm/mbr/NTFSBR.htm

3. sec_786420_101.ima --- не есть начало MFT, потому что MFT начинается в кластере 786432, который отсчитывается от начала раздела. Если только раздел в самом деле начинался в секторе 63, не Вы “пофиксили”…???...


Снимок из WinHex блока параметров BIOS.
Начало MFT лежит в секторе с
LBA = 63 + 786432 * 8 = 63 + 6291456 = 6291519

Аналогично для зеркала имеем
LBA = 63 + 27493568 * 8 =

ЗЫ Если хотите серьёзно разобраться --- найдите в сети
Брайан Кэрриэ
Криминалистический анализ файловых систем
Питер 2007

ЗЫ Пока не вижу ничего страшного, но за Вами должок --- дампы...

Добавлено
ЗЗЫ Проверьте адреса MFT и MFTMirror --- в WinHeх по View ==> Template Manager (Alt+F12) шаблоны есть...

[Bikchast]

Я начало MFT брал со смещением на всякий пожарный чтобы вы посмотрели, а не с сектора 786432.
Пока не могу дампы выложить так как копирую на другой диск.

[Tau_0]

Пока не могу дампы выложить так как копирую на другой диск. »
В WinHex посекторное копирование гораздо быстрее идёт , а DMDE для физически сбойных лучше подходит.

[Bikchast]

Думаете прервать лучше? И в WinHexе перезапустить? 48% скопировано.

Tau_0, 3. sec_786420_101.ima --- не есть начало MFT, потому что MFT начинается в кластере 786432, который отсчитывается от начала раздела. Если только раздел в самом деле начинался в секторе 63, не Вы “пофиксили”…???...
Может я его пофиксил. когда в WinHexе с boot сектором ковырялся.

[Tau_0]

Думаете прервать лучше? И в WinHexе перезапустить? 48% скопировано. »
Зачем...???...

Я и в DMDE 1 Tb часто WD копировал (в фоне фффторкнул и пошёл гулять…) --- нет беды обязательно кончится (правда без ответа/подтверждения станет --- Ваше право выбора ). И в WinHex тоже клон делал. Если бэдов нет --- WinHex выиграшнее. А если они есть --- ...???...

DMDE (я Вам уже раньше ответил…), сделает копию очень хорошо --- настолько, накольноль это возможно… Бывает, что только так и Вытянуть максимум информации можно.

WinHex на нормальном харде сделает бысре, но если сложно --- грохнется.

Что лучше…???..... --- Вам решать…

Да, пусть DMDE доработает --- Вы пока о глобальном думайте….

ЗЫ Был у меня очень мощный оппонент на руборде он ВСЕХ запросто простенькими вопросами в тупик ставил и затрахивал …. Да сгинул :search:--- грущу вот…

Может я его пофиксил. когда в WinHexе с boot сектором ковырялся. »
Может да, а может и нет --- тут только дампы ВСЁ расшифруют.

ЗЫ Вы теорию изучайте ,и погка никаких корректировок --- меня только запутаете, а я Вас..

[Bikchast]

Еще чуть чуть и все будет клон.

Tau_0, А с последнего сектора 0 сектор можно восстановить?

ЗЫ Вы теорию изучайте ,и погка никаких корректировок --- меня только запутаете, а я Вас.. » ок

2.a Если разбивали в Windows XP сдампируйте 1000 секторов (диапазон [63..1062]). Выложите образ (файл) на обменник »
http://narod.ru/disk/20399030001/DMDE.zip.html

В XP при открытии выдает другую ошибку.
http://narod.ru/disk/20399128001/%D0%9D%D0%B5%D1%82%20%D0%B4%D0%BE%D1%81%D1%82%D1%83%D0%BF%D0%B0.zip.html

ЗЗЫ Проверьте адреса MFT и MFTMirror --- в WinHeх по View ==> Template Manager (Alt+F12) шаблоны есть... »
http://narod.ru/disk/20400331001/MFT.zip.html

[Tau_0]

Tau_0, А с последнего сектора 0 сектор можно восстановить? »
Можно (не всегда), но только для данного раздела.

Различайте загрузку IPL уровень MBR/MBS и загрузчик NTFS --- это совсем разные вещи. Хотя они связаны, --- похоже, что и то, и другое править надо...

Загрузочный сектор (если только судьба, или Вы сами) те заветные секторы не затёрли, порою очень просто восстановить можно. А можно и реконструировать.

ЗЫ И MBR/MBS можно запросто из пепла возродить (в Вашеи случае особенно, --- я надеюсь), вот только подряд ВСЕ кнопкаффф нажимать --- авось найду "кнопку зашибись" не стоит --- Мамонт за Вами не гонится...

ЗЗЫ Я так и не понял --- откуда у Вас беда. На то похоже --- Вы многое затемнили, и сами себе её создали...


Добавлено 30.07.2011

I MFT и Зеркало --- с виду... --- Гуд

II По поводу доступа к харду --- используйте ERD comander Марка Руссиновича
http://sovetolog.com/index.php?name=files&op=view&id=34



У Вас просто --- был только один раздел, который стандардно начинался в сеторе LBA = 63. Всё остальное тоже стандартно.

1. Испорчена MBR/MBS --- вот, что примерно должно быть в секторе LBA = 0.
См.
An Examination of the
Windows 2000 ( NT5.0 )
and
Windows XP ( NT5.1 )
MBR ( Master Boot Record )
http://thestarman.pcministry.com/asm/mbr/Win2kmbr.htm#INTRO

У Вас там мусор…
2. Безжалостно затираем нулями сектор LBA = 0

3. Делаем fixmbr для этого диска.

4. Вручную записываем запись для одного раздела.
В секторе LBA = 0 со смещением 1BE создаём одну запись для таблицы разделов. Раздел монтируем как Primary (основной или первичный)
Делаем примерно как здесь описано.

Урок 4. Восстановление удаленных разделов
http://www.rdm.kiev.ua/Data_Recovery/lessons/urok4.php

Искать MFT не надо, итак ВСЁ знаем, но можно побаловаться....

Приступайте…

ЗЫ А сектор 0 надо хранить в надёжном месте...

[IgNat]

Bikchast, если после Вашего предыдущего сообщения нет сообщений других пользователей и прошло менее 3-х дней, то не создавайте новое сообщение! Добавляйте информацию в своё последнее сообщение ч/з функцию Редактировать. Иначе, будет рассматриваться как нарушение п.3.14 ОПК (http://forum.oszone.net/rules.html)

[Bikchast]

Tau_0, Что-то не получается. :help:
Поиск NTFS (клон диск).
http://narod.ru/disk/20649881001/%D0%9F%D0%BE%D0%B8%D1%81%D0%BA%20NTFS.7z.html